הגדרת מאגר תוכנות של VCF

כדי לפרוס ולשדרג את VMware Cloud Foundation‏ (VCF) בפתרון VMware ב- Google Cloud, מכשירי VCF Installer ו-SDDC Manager צריכים גישה לחבילות התוכנה, לתיקונים ולמטא-נתונים של התאימות של VCF. במאמר הזה אנחנו משווים בין הארכיטקטורות הזמינות של מאגרי התוכנה של VCF, ומסבירים איך להגדיר קישוריות פרטית למאגר אופליין ש-Google מספקת באמצעות Private Service Connect.

בחירת ארכיטקטורת המאגר

אתם יכולים לספק חבילות תוכנה של VCF לסביבת VMware Solution באחת מהשיטות הבאות:

• מאגר ציבורי של Broadcom (מאגר אונליין): מחברים את מכשירי VCF Installer ו-SDDC Manager ישירות למאגר אונליין של Broadcom דרך האינטרנט (לדוגמה, באמצעות Cloud NAT או שרת proxy לאינטרנט לתעבורה יוצאת), מאמתים באמצעות פרטי הכניסה של פורטל התמיכה של Broadcom ומורידים את הטוקן. למידע נוסף, קראו את המאמר של Broadcom בנושא התחברות למאגר אונליין.
• מאגר אופליין ש-Google מספקת (Private Service Connect): חיבור פרטי למאגר תוכנות אזורי שמתארח ב- Google Cloudדרך נקודת קצה (endpoint) של Private Service Connect. כל הורדות התוכנה נשארות ברשת הפנימית של Google Cloud , בלי צורך בתעבורת נתונים לאינטרנט.

בטבלה הבאה מוצגת השוואה בין שתי הארכיטקטורות של המאגרים:

תכונה	מאגר אונליין של Broadcom	מאגר אופליין ש-Google מספקת
נתיב רשת	גישה לאינטרנט לתעבורת נתונים יוצאת (Cloud NAT או שרת proxy)	קישוריות VPC פרטית (נקודת קצה של Private Service Connect)
אימות	טוקן להורדה מפורטל התמיכה של Broadcom	בקרת גישה ברמת ה-VPC באמצעות Private Service Connect
רוחב פס וזמן אחזור	תלוי בהגדרת תעבורת הנתונים לאינטרנט	העברה אזורית עם תפוקה גבוהה בתוך Google Cloud
תמיכה בסביבות עם Air Gap	לא נתמך בלי שרת Jump חיצוני	נתמך בסביבות VPC מבודדות

לפני שמתחילים

הערה: אם אתם משתמשים באחד מתהליכי העבודה לפריסה שמפורטים בסקירה הכללית של אפשרויות הפריסה, ערכת הכלים של פתרון VMware מגדירה בשבילכם את המאגר אופליין. מדלגים על הקטע Configure the Google-provided offline depot ועוברים אל What's next.

לפני שמגדירים נקודת קצה (endpoint) של Private Service Connect למאגר אופליין ש-Google מספקת, צריך לבצע את הפעולות הבאות:

1. מפעילים את ממשקי ה-API הנדרשים של Google Cloud בפרויקט. בטבלה הבאה מפורטים ממשקי ה-API הנדרשים:

   שם השירות	מזהה API	מטרה
   Compute Engine API	compute.googleapis.com	הקצאת תת-רשתות, כתובות IP פנימיות וכללי העברה
   Cloud DNS API	dns.googleapis.com	יצירת תחום DNS ורשומות פרטיים לזיהוי מאגרים
   Service Directory API	servicedirectory.googleapis.com	רישום נקודות קצה (endpoint) של Private Service Connect

   כדי להפעיל את ממשקי ה-API האלה באמצעות Google Cloud CLI, מריצים את הפקודה הבאה:

   gcloud services enable compute.googleapis.com \
      dns.googleapis.com \
      servicedirectory.googleapis.com \
      --project=PROJECT_ID
   

   לפני שמריצים את הפקודה, מחליפים את הערכים הבאים:

   • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

2. מוודאים שלחשבון המשתמש או לחשבון השירות יש את התפקידים הבאים של ניהול זהויות והרשאות גישה (IAM) בפרויקט היעד:

   • אדמין של רשת Compute‏ (roles/compute.networkAdmin)
   • אדמין DNS‏ (roles/dns.admin)

3. הגדרת רשת הענן הווירטואלי הפרטי (VPC) ותכנון טווחי כתובות ה-IP של רשת המשנה לניהול, ל-vSAN, ל-vMotion ולנקודות הקצה של מנהרת NSX‏ (TEP). מגדירים את ה-MTU של רשת ה-VPC ל-8896 בייטים לפני פריסת הצמתים, ויוצרים רשתות משנה חדשות בפתרון VMware בזמן יצירת הצמתים.

   כדי לתמוך ברשתות שמבוססות על VLAN, בפתרון של VMware צריך להגדיר את המאפיין Resolve Subnet Mask של רשתות המשנה של רשת ה-VPC לערך Broadcast primary range only with learning. פותחים כרטיס תמיכה במרכז התמיכה של מסוףGoogle Cloud ומציינים את הפרטים הבאים:

   • המוצר: Google Cloud VMware Engine
   • עדיפות: P2
   • קטגוריה: קישוריות רשת
   • ההשפעה על העסק: שאלה טכנית כללית
   • לספק פרטים נוספים: Allowlist L2 network connectivity for my project, יחד עם מזהה הפרויקט, מספר הפרויקט, והאזור והתחום של הפריסה.

   מידע נוסף על תמיכה ברשתות מבוססות-VLAN זמין במאמר אמולציה של שכבה 2: שידור ARP ולמידת MAC בהתאמה אישית.

הגדרת מאגר אופליין ש-Google מספקת

כדי להגדיר גישה פרטית למאגר האופליין האזורי של VCF, צריך להקצות רשת משנה ייעודית רגילה (לא שידור של שכבה 2), לפרוס נקודת קצה (endpoint) של Private Service Connect ולהגדיר את הרזולוציה של Cloud DNS.

הקצאת רשת המשנה של המאגר אופליין

יוצרים תת-רשת רגילה ייעודית (לא שידור של שכבה 2) עם גודל CIDR מינימלי של /29 באותו אזור שבו נמצאים צומתי ה-Bare Metal:

הערה: אל תפרסו את נקודת הקצה של Private Service Connect ואל תשריינו את כתובת ה-IP שלה ב-GCE_ENDPOINT ברשתות משנה של צמתים עם תיוג של VLAN או שידור ARP בשכבה 2 (כמו רשתות המשנה של ניהול VCF,‏ vSAN,‏ vMotion או NSX-TEP). מידע נוסף זמין במאמר בעיות מוכרות.

gcloud compute networks subnets create SUBNET_NAME \
    --network=VPC_NETWORK_NAME \
    --region=REGION \
    --range=SUBNET_CIDR \
    --project=PROJECT_ID

לפני שמריצים את הפקודה, מחליפים את הערכים הבאים:

• ‫SUBNET_NAME: השם של תת-הרשת הרגילה של נקודת הקצה של מאגר הנתונים אופליין (לדוגמה, snet-offline-depot).
• ‫VPC_NETWORK_NAME: השם של רשת ה-VPC
• ‫REGION: האזור ב- Google Cloud שבו נמצאים הצמתים שלכם במחשב פיזי (לדוגמה, us-central1).
• ‫SUBNET_CIDR: בלוק CIDR שלא בשימוש בגודל /29 או יותר (לדוגמה, 192.168.10.0/29).
• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

פריסת נקודת הקצה של Private Service Connect

שומרים כתובת IP פנימית לנקודת הקצה ויוצרים כלל העברה שמטרגט את חיבור השירות האזורי של מאגר הנתונים אופליין:

1. שומרים כתובת IP פנימית אזורית עם המטרה GCE_ENDPOINT:

   gcloud compute addresses create offline-depot-ip \
      --region=REGION \
      --subnet=SUBNET_NAME \
      --purpose=GCE_ENDPOINT \
      --project=PROJECT_ID
   

   לפני שמריצים את הפקודה, מחליפים את הערכים הבאים:

   • ‫REGION: האזור ב- Google Cloud (לדוגמה, us-central1).
   • ‫SUBNET_NAME: השם של תת-הרשת הרגילה של המאגר אופליין.
   • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

2. אחזור של כתובת ה-IP הפנימית השמורה כדי שתוכלו להשתמש בה כשאתם מגדירים את ה-DNS:

   gcloud compute addresses describe offline-depot-ip \
      --region=REGION \
      --format='get(address)' \
      --project=PROJECT_ID
   

   לפני שמריצים את הפקודה, מחליפים את הערכים הבאים:

   • ‫REGION: האזור של Google Cloud .
   • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

3. יוצרים את כלל ההעברה של Private Service Connect שמפנה לקובץ המצורף של שירות ה-depot האזורי אופליין:

   gcloud compute forwarding-rules create offline-depot-endpoint \
      --region=REGION \
      --network=VPC_NETWORK_NAME \
      --address=offline-depot-ip \
      --target-service-attachment=projects/smve-prod-offline-depot/regions/REGION/serviceAttachments/offline-depot-service-attachment-REGION \
      --project=PROJECT_ID
   

   לפני שמריצים את הפקודה, מחליפים את הערכים הבאים:

   • ‫REGION: האזור ב- Google Cloud שבו פרוסים הצמתים שלכם ב-Bare Metal (לדוגמה, us-central1).
   • ‫VPC_NETWORK_NAME: השם של רשת ה-VPC
   • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

הגדרת פענוח DNS ב-Cloud DNS

שרת ה-HTTPS של המאגר אופליין מציג אישור TLS של offline-depot.REGION.selfmanagedvmwareengine.goog. יוצרים תחום Cloud DNS פרטי ורשומת A כדי שמכשירי ה-VCF יפענחו את שם הדומיין שמוגדר במלואו (FQDN) לכתובת ה-IP של נקודת הקצה של Private Service Connect:

1. יוצרים תחום DNS פרטי מנוהל לדומיין האזורי:

   gcloud dns managed-zones create offline-depot-zone \
      --dns-name=REGION.selfmanagedvmwareengine.goog. \
      --description='Private DNS zone for the regional VCF offline depot' \
      --visibility=private \
      --networks=VPC_NETWORK_NAME \
      --project=PROJECT_ID
   

   לפני שמריצים את הפקודה, מחליפים את הערכים הבאים:

   • ‫REGION: האזור ב- Google Cloud (לדוגמה, us-central1).
   • ‫VPC_NETWORK_NAME: השם של רשת ה-VPC
   • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

2. יוצרים רשומת A בשביל offline-depot.REGION.selfmanagedvmwareengine.goog. שממפה לכתובת ה-IP השמורה של Private Service Connect:

   gcloud dns record-sets create offline-depot.REGION.selfmanagedvmwareengine.goog. \
      --zone=offline-depot-zone \
      --type=A \
      --ttl=300 \
      --rrdatas=PSC_INTERNAL_IP \
      --project=PROJECT_ID
   

   לפני שמריצים את הפקודה, מחליפים את הערכים הבאים:

   • ‫REGION: האזור של Google Cloud .
   • ‫PSC_INTERNAL_IP: כתובת ה-IP הפנימית ששמורה ל-offline-depot-ip.
   • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
   הערה: אם רושמים את כלל ההעברה של Private Service Connect במרחב שמות של Service Directory במהלך יצירת נקודת הקצה,Google Cloud יכול לאכלס באופן אוטומטי את רשומת ה-DNS הפרטית בתחום ה-Cloud DNS המקושר.

שיוך תחום ה-DNS לרשתות VPC מחוברות

אם מכשירי הניהול של VCF או מארח ה-Jump נמצאים ב-VPC משותף או ברשת VPC שכנה, צריך לתת לרשתות האלה הרשאה לשלוח שאילתות לאזור הפרטי של offline-depot-zone. במאמר ניהול אזורים פרטיים ברשתות VPC מוסבר איך לקשר רשתות VPC נוספות או להגדיר קישור בין רשתות שכנות (peering) ב-DNS בין פרויקטים.

בדיקת הקישוריות

ממארח Jump או ממכונה וירטואלית לניהול ברשת ה-VPC, מוודאים שפענוח ה-DNS והקישוריות ב-HTTPS למאגר האזורי במצב אופליין פועלים כמו שצריך:

1. מוודאים שה-FQDN האזורי מתפרש לכתובת ה-IP הפנימית של Private Service Connect:

   nslookup offline-depot.REGION.selfmanagedvmwareengine.goog
   

2. בודקים את הקישוריות של HTTPS לנקודת הקצה של המאגר אופליין:

   curl -I https://offline-depot.REGION.selfmanagedvmwareengine.goog
   

   לפני שמריצים את הפקודות, מחליפים את הערכים הבאים:

   • ‫REGION: האזור ב- Google Cloud שבו הגדרתם את נקודת הקצה (לדוגמה, us-central1).

   אם החיבור יצליח, תוחזר תגובת HTTP 200 OK או 301/302 משרת האינטרנט של המאגר.

המאמרים הבאים

• קוראים את הסקירה הכללית על אפשרויות הפריסה.
• פורסים את הסביבה באמצעות פריסת צמתים ו-VCF באמצעות Terraform וערכת הכלים או פריסת צמתים והגדרת רשתות של מכשירים באמצעות המסוף.