Pemilihan rute edge dan overlay NSX

Solusi VMware di Google Cloud menggunakan VMware NSX untuk menyediakan software-defined networking (SDN) dan keamanan untuk virtual machine (VM) workload VMware Cloud Foundation (VCF) Anda. Dokumen ini menjelaskan cara jaringan overlay NSX berinteraksi dengan underlay Virtual Private Cloud (VPC)Google Cloud dan membandingkan arsitektur perutean antara node NSX Edge dan jaringan VPC Anda.

Ringkasan NSX di Google Cloud

Dalam solusi VMware, jaringan VPC Google Cloud menyediakan underlay fisik dan virtual untuk host ESXi bare-metal (instance Compute Engine z3-highmem-192-highlssd-metal) dan peralatan pengelolaan. VMware NSX berada di atas underlay ini untuk menyediakan topologi jaringan yang diabstraksi untuk VM workload VCF Anda:

  • Enkapsulasi overlay Geneve: Host ESXi dan node NSX Edge membuat antarmuka Transport Endpoint (TEP) (vmk10 atau vmk3) di subnet VPC NSX-TEP khusus. Traffic VM workload dienkapsulasi dalam paket Geneve (port UDP 6081) dan dirutekan di antara TEP host melalui underlay VPC Google Cloud menggunakan unit transmisi maksimum (MTU) sebesar 8896 byte.
  • Penetapan alamat IP yang dipisahkan: VM workload yang terhubung ke segmen overlay NSX dapat menggunakan rentang alamat IP arbitrer tanpa menggunakan alamat IP dari subnet VPC Google Cloud yang mendasarinya atau mencapai kuota IP subnet VPC.
  • Arsitektur pemilihan rute multi-tingkat:
    • Gateway Tingkat-1 (T1): Menyediakan perutean east-west antara segmen overlay, layanan DHCP yang dilokalkan, dan aturan firewall gateway.
    • Gateway Tingkat-0 (T0): Menyediakan pemilihan rute utara-selatan antara lingkungan overlay NSX dan jaringan VPC Google Cloud yang mendasarinya.
  • Keamanan terdistribusi: NSX Distributed Firewall (DFW) menerapkan kebijakan mikrosegmentasi stateful langsung di kartu antarmuka jaringan virtual (vNIC) setiap VM workload, terlepas dari segmen overlay atau host ESXi tempat VM berada.

Topologi underlay versus overlay

Arsitektur jaringan dibagi menjadi dua lapisan yang berbeda—underlay VPC Google Cloud dan overlay VMware NSX—seperti yang ditunjukkan dalam diagram berikut (klik untuk memperbesar):

Underlay VPCGoogle Cloud yang menghosting instance Z3 dan peralatan VCF di bawah overlay VMware NSX. Underlay VPCGoogle Cloud yang menghosting instance Z3 dan peralatan VCF di bawah overlay VMware NSX.

Tabel berikut merangkum komponen dan tanggung jawab setiap lapisan jaringan:

Lapisan jaringan Komponen utama Tanggung Jawab
Google Cloud Underlay VPC
  • Host ESXi bare metal (NIC utama dan NIC Dinamis)
  • VM pengelolaan VCF (vCenter Server, SDDC Manager, cluster NSX Manager, VMware HCX)
  • Subnet VPC (Management, vSAN, vMotion, NSX-TEP, NSX-Uplink)
  • Load balancer internal regional dan Router Appliance Network Connectivity Center
  • Menyediakan keterjangkauan IP antara port VMkernel host ESXi
  • Menghosting peralatan bidang kontrol VCF langsung di subnet VPC
  • Mengangkut paket Geneve yang dienkapsulasi antara TEP host ESXi dan TEP NSX Edge
  • Menghubungkan jaringan lokal, VPC yang di-peering, dan layanan Google Cloud
Overlay SDN NSX
  • Cluster NSX Edge (router logis Tingkat 0 dan Tingkat 1)
  • Segmen overlay NSX
  • VM Workload
  • NSX Distributed Firewall (DFW) dan Gateway Firewall
  • Menyediakan domain Lapisan 2 yang terisolasi dan pemilihan rute timur-barat untuk VM workload
  • Memberitahukan blok CIDR workload ke underlay VPC melalui gateway Tingkat 0
  • Menyediakan load balancing, NAT, dan keamanan edge north-south

Kasus penggunaan arsitektur lanjutan

Anda dapat menyusun topologi NSX dan VPC untuk mendukung berbagai persyaratan isolasi dan multi-tenancy:

  • Domain workload gabungan dalam satu VPC: Deploy domain pengelolaan VCF dan satu atau beberapa domain workload VI dalam satu jaringan VPCGoogle Cloud . Setiap domain workload menggunakan subnet vSAN, vMotion, dan NSX-TEP khusus dalam VPC yang sama sambil berbagi atau mengisolasi cluster NSX Edge untuk perutean north-south.
  • Pemetaan multi-VPC: Menghubungkan gateway NSX Tier-0 yang berbeda atau cluster NSX Edge terpisah ke jaringan VPC Google Cloud yang terisolasi (misalnya, VPC terpisah untuk workload produksi, jaringan perimeter, dan layanan bersama). Topologi ini mempertahankan batas firewall dan perutean tingkat VPC yang ketat di Google Cloud sekaligus mempertahankan pengelolaan siklus proses VCF terpusat.

Pemilihan rute NSX Edge

Untuk merutekan traffic antara segmen overlay NSX dan jaringan VPC Google Cloud Anda, VM NSX Edge harus bertukar rute atau meneruskan paket melalui subnet VPC NSX-Uplink. Anda dapat mengonfigurasi perutean utara-selatan antara gateway Tingkat-0 NSX dan jaringan VPC menggunakan salah satu opsi berikut:

Opsi 1: Perutean statis VPC (aktif-standby)

Dalam topologi perutean statis, pasangan aktif-standby node NSX Edge menggunakan alamat IP virtual (VIP) mengambang di subnet VPC NSX-Uplink yang dihadapkan oleh Load Balancer Jaringan passthrough internal regional, seperti yang ditunjukkan dalam diagram berikut (klik untuk memperbesar):

Rute statis VPC yang mengarahkan traffic overlay NSX melalui load balancer internal ke node NSX Edge aktif-standby. Rute statis VPC yang mengarahkan traffic overlay NSX melalui load balancer internal ke node NSX Edge aktif-standby.

  • Mekanisme pemilihan rute: Anda membuat rute statis kustom di tabel rute VPCGoogle Cloud yang menentukan blok CIDR workload overlay NSX sebagai tujuan dan VIP mengambang NSX Edge (atau aturan penerusan load balancer internal) sebagai next hop.
  • Ketersediaan tinggi: Saat Anda menggunakan layanan backend internal regional dengan kebijakan ketersediaan tinggi GARP_RA (atau penyerahan rentang IP alias), traffic akan otomatis dialihkan ke node NSX Edge standby jika node Edge aktif gagal.
  • Kasus penggunaan: Paling cocok untuk deployment yang lebih kecil atau topologi overlay statis tempat blok CIDR workload tidak sering berubah dan bandwidth edge tunggal memenuhi persyaratan throughput Anda.

Opsi 2: Perutean BGP dinamis menggunakan Router Appliance Network Connectivity Center (aktif-aktif)

Untuk mengonfigurasi pertukaran rute dinamis dan penskalaan bandwidth horizontal, gunakan peering Border Gateway Protocol (BGP) antara gateway NSX Tier-0 dan Cloud Router menggunakan Router Appliance Network Connectivity Center, seperti yang ditunjukkan dalam diagram berikut (klik untuk memperbesar):

Peering Cloud Router melalui BGP dengan Router appliance Edge NSX yang disematkan ke host Z3 oleh aturan afinitas DRS. Peering Cloud Router melalui BGP dengan Router appliance Edge NSX yang disematkan ke host Z3 oleh aturan afinitas DRS.

  • Pertukaran rute dinamis: Gateway NSX Tier-0 secara otomatis memberitahukan blok CIDR segmen overlay NSX yang baru dibuat ke Cloud Router melalui BGP, dan mempelajari rute VPC dan lokal (0.0.0.0/0 atau awalan tertentu) melalui pemberitahuan rute kustom. Arsitektur ini menghilangkan update rute statis VPC manual.
  • Penskalaan ECMP aktif-aktif: Mendukung perutean Equal-Cost Multi-Path (ECMP) di hingga delapan node NSX Edge aktif per gateway Tier-0, menskalakan throughput utara-selatan, dan mendukung failover dengan Bidirectional Forwarding Detection (BFD).
  • Persyaratan penyematan edge-to-host: Karena VM NSX Edge berjalan di dalam host ESXi, antarmuka uplink virtualnya dipetakan ke Dynamic NIC tertentu pada instance Compute Engine bare-metal yang mendasarinya. Untuk memastikan bahwa Cloud Router meneruskan traffic bidang data dan BGP ke host bare-metal yang tepat tempat setiap VM NSX Edge berada, Anda harus mengonfigurasi aturan afinitas VMware Distributed Resource Scheduler (DRS) (aturan afinitas VM-Host) untuk menyematkan setiap VM NSX Edge ke host ESXi yang ditetapkan.
  • Sesi BGP redundan: Konfigurasikan sesi BGP ganda antara setiap antarmuka uplink node NSX Edge di subnet NSX-Uplink dan antarmuka Cloud Router redundan untuk mempertahankan ketersediaan bidang kontrol yang berkelanjutan selama peristiwa pemeliharaan host.

Langkah berikutnya