Megosztás a következőn keresztül:


Tekintse át az Azure Stack HCI kétcsomópontos, teljes mértékben konvergens üzembehelyezési hálózati referenciamintáját

A következőkre vonatkozik: Azure Stack HCI, 23H2 és 22H2 verzió

Ebben a cikkben megismerheti a kétcsomópontos, két TOR-kapcsolóval teljesen konvergált tárolóhálózati referenciamintát, amellyel üzembe helyezheti az Azure Stack HCI-megoldást. A cikkben található információk azt is segítenek meghatározni, hogy ez a konfiguráció megvalósítható-e az üzembehelyezési tervezési igényekhez. Ez a cikk azoknak az informatikai rendszergazdáknak szól, akik az Azure Stack HCI-t az adatközpontjaikban helyezik üzembe és kezelik.

További információ az egyéb hálózati mintákkal kapcsolatban: Azure Stack HCI hálózati üzembehelyezési minták.

Forgatókönyvek

Ennek a hálózati mintának a forgatókönyvei közé tartoznak a laboratóriumok, a fiókirodák és az adatközponti létesítmények.

Vegye figyelembe ezt a mintát, ha további csomópontokat szeretne hozzáadni, és az észak-déli forgalom sávszélesség-követelményeihez nincs szükség dedikált adapterekre. Ez a megoldás akkor lehet jó megoldás, ha a fizikai kapcsolóportok szűkösek, és költségcsökkentést keres a megoldáshoz. Ez a minta további működési költségeket igényel a megosztott gazdagép hálózati adaptereinek QoS-házirendjeinek finomhangolásához, hogy megvédje a tárolási forgalmat a számítási feladatoktól és a felügyeleti forgalomtól. Az SDN L3-szolgáltatások teljes mértékben támogatottak ebben a mintában.

Az útválasztási szolgáltatások, például a BGP közvetlenül konfigurálhatók a TOR-kapcsolókon, ha támogatják az L3-szolgáltatásokat. Az olyan hálózati biztonsági funkciók, mint a mikroszegmentáció és a QoS, nem igényelnek további konfigurációt a tűzfaleszközön, mivel a virtuális hálózati adapter rétegében vannak implementálva.

Fizikai kapcsolati összetevők

Az alábbi ábrán leírtak szerint ez a minta a következő fizikai hálózati összetevőket tartalmazza:

  • Az északi/déli forgalom esetében az ebben a mintában szereplő fürt két TOR-kapcsolóval van implementálva az MLAG-konfigurációban.

  • A TOR-kapcsolókhoz kapcsolódó felügyeleti, számítási és RDMA-tárolási forgalmat két csoportosított hálózati kártya kezeli. Minden hálózati adapter egy másik TOR-kapcsolóhoz csatlakozik. A többcsatornás SMB-képesség útvonal-összesítést és hibatűrést biztosít.

  • Az üzemelő példányok egy BMC-kártyát is tartalmazhatnak a környezet távoli felügyeletének engedélyezéséhez. Egyes megoldások biztonsági okokból BMC-kártya nélküli fej nélküli konfigurációt használhatnak.

Kétcsomópontos, kapcsoló nélküli fizikai kapcsolat elrendezését bemutató ábra.

Hálózatok Felügyelet, számítás, tárolás BMC
Kapcsolat sebessége 10 Gb/s-nál Kérdezze meg a hardver gyártójától
Interfész típusa SFP+ vagy SFP28 RJ45
Portok és összesítés Két összevonási port Egy port

Hálózati ATC-szándékok

Kétcsomópontos kapcsoló nélküli hálózati ATC-szándékokat bemutató ábra

Felügyeleti, számítási és tárolási szándék

  • Szándék típusa: Felügyelet, számítás és tárolás
  • Szándék mód: Fürt mód
  • Összevonás: Igen. A pNIC01 és a pNIC02 össze van vonásban
  • Alapértelmezett felügyeleti VLAN: A felügyeleti adapterekhez konfigurált VLAN nincs módosítva
  • Storage vNIC 1:
    • VLAN 711
    • 10.71.1.0/24 alhálózat az 1. tárolóhálózathoz
  • Storage vNIC 2:
    • VLAN 712
    • 10.71.2.0/24 alhálózat a 2. tárolóhálózathoz
  • A Storage vNIC1 és a Storage vNIC2 többcsatornás SMB használatával biztosítja a rugalmasságot és a sávszélesség-összesítést
  • PA VLAN és vNIC: A hálózati ATC transzparens a pa vNI-k és a VLAN számára
  • Számítási VLAN-k és virtuális hálózati adapterek: A hálózati ATC transzparens a számítási virtuális gépek virtuális hálózati adapterei és VLAN-jai számára

További információ: Gazdagép-hálózat üzembe helyezése.

Az alábbi lépéseket követve hozzon létre hálózati szándékokat ehhez a referenciamintához:

  1. Futtassa a PowerShellt rendszergazdaként.

  2. Futtassa az alábbi parancsot:

    Add-NetIntent -Name <Management_Compute> -Management -Compute -Storage -ClusterName <HCI01> -AdapterName <pNIC01, pNIC02>
    

Logikai kapcsolat összetevői

Az alábbi ábrán látható módon ez a minta a következő logikai hálózati összetevőket tartalmazza:

Az egycsomópontos kapcsoló nélküli fizikai kapcsolat elrendezését bemutató ábra.

Tárolóhálózati VLAN-k

Ebben a mintában a tárolási szándékon alapuló forgalom a fizikai hálózati adaptereket a felügyelettel és a számítással osztja meg.

A tárolóhálózat különböző IP-alhálózatokon működik. Minden tárolóhálózat alapértelmezés szerint az ATC előre definiált VLAN-okat használja (711 és 712). Ezek a VLAN-k azonban szükség esetén testre szabhatók. Emellett ha az ATC által definiált alapértelmezett alhálózat nem használható, ön felelős a fürtben található összes tárolási IP-cím hozzárendeléséért.

További információ: A hálózati ATC áttekintése.

OOB-hálózat

A sávon kívüli (OOB) hálózat a "lights-out" kiszolgálófelügyeleti felület, más néven az alaplapi felügyeleti vezérlő (BMC) támogatására szolgál. Minden BMC-felület egy ügyfél által biztosított kapcsolóhoz csatlakozik. A BMC a PXE rendszerindítási forgatókönyveinek automatizálására szolgál.

A felügyeleti hálózatnak hozzá kell férnie a BMC-felülethez az Intelligent Platform Management Interface (IPMI) User Datagram Protocol (UDP) 623-at használó portján keresztül.

Az OOB-hálózat el van különítve a számítási feladatoktól, és nem megoldásalapú üzemelő példányok esetén nem kötelező.

Felügyeleti VLAN

Minden fizikai számítási gazdagépnek hozzá kell férnie a felügyeleti logikai hálózathoz. Az IP-címek tervezéséhez minden fizikai számítási gazdagépnek rendelkeznie kell legalább egy, a felügyeleti logikai hálózatból hozzárendelt IP-címmel.

A DHCP-kiszolgáló automatikusan hozzárendelhet IP-címeket a felügyeleti hálózathoz, vagy manuálisan is hozzárendelhet statikus IP-címeket. Ha a DHCP az előnyben részesített IP-hozzárendelési módszer, javasoljuk, hogy lejárat nélküli DHCP-foglalásokat használjon.

A felügyeleti hálózat a következő VLAN-konfigurációkat támogatja:

  • Natív VLAN – nem szükséges VLAN-azonosítókat megadnia. Ez a megoldásalapú telepítések esetében szükséges.

  • Címkézett VLAN – A VLAN-azonosítókat az üzembe helyezés időpontjában adja meg.

A felügyeleti hálózat támogatja a fürt felügyeletéhez használt összes forgalmat, beleértve a távoli asztalt, a Windows Admin Center és az Active Directoryt.

További információ: SDN-infrastruktúra megtervezése: Felügyelet és HNV-szolgáltató.

Számítási VLAN-k

Bizonyos esetekben nem kell SDN virtuális hálózatokat használnia virtuális bővíthető LAN (VXLAN) beágyazással. Ehelyett hagyományos VLAN-okkal elkülönítheti a bérlői számítási feladatokat. Ezek a VLAN-ok a TOR-kapcsoló portján vannak konfigurálva törzs módban. Amikor új virtuális gépeket csatlakoztat ezekhez a VLAN-okhoz, a megfelelő VLAN-címke van definiálva a virtuális hálózati adapteren.

HNV-szolgáltatói cím (PA) hálózat

A Hyper-V hálózatvirtualizálási (HNV) szolgáltatói cím (PA) hálózat szolgál a kelet-nyugati (belső-belső) bérlői forgalom, az észak/déli (külső-belső) bérlői forgalom mögöttes fizikai hálózataként, valamint a BGP társviszony-létesítési információk fizikai hálózattal való cseréjéhez. Ez a hálózat csak akkor szükséges, ha virtuális hálózatok VXLAN-beágyazással történő üzembe helyezésére van szükség egy másik elkülönítési réteghez és a hálózati több-bérlősséghez.

További információ: SDN-infrastruktúra megtervezése: Felügyelet és HNV-szolgáltató.

Hálózatelkülönítési lehetőségek

A következő hálózatelkülönítési lehetőségek támogatottak:

VLAN-ok (IEEE 802.1Q)

A VLAN-ok lehetővé teszik azokat az eszközöket, amelyeket külön kell tartani ahhoz, hogy megosszák egy fizikai hálózat kábelezését, és mégis megakadályozzák, hogy közvetlenül kommunikáljanak egymással. Ez a felügyelt megosztás egyszerűséget, biztonságot, forgalomkezelést és gazdaságosságot eredményez. A VLAN használatával például elkülöníthető a vállalaton belüli forgalom az egyes felhasználók vagy felhasználói csoportok vagy szerepkörök alapján, vagy a forgalom jellemzői alapján. Számos internetes üzemeltetési szolgáltatás VLAN-okkal választja el a privát zónákat egymástól, így az egyes ügyfelek kiszolgálói egyetlen hálózati szegmensbe csoportosíthatók, függetlenül attól, hogy az egyes kiszolgálók az adatközpontban találhatók-e. Bizonyos óvintézkedésekre van szükség annak megakadályozásához, hogy a forgalom "elszabaduljon" egy adott VLAN-ból, amely egy VLAN-beli kiugró biztonsági rés.

További információ: A virtuális hálózatok és a VLAN-k használatának ismertetése.

Alapértelmezett hálózati hozzáférési szabályzatok és mikroszegmentáció

Az alapértelmezett hálózati hozzáférési szabályzatok biztosítják, hogy az Azure Stack HCI-fürt összes virtuális gépe (VM) alapértelmezés szerint biztonságos legyen a külső fenyegetések ellen. Ezekkel a szabályzatokkal alapértelmezés szerint letiltjuk a virtuális gépek bejövő hozzáférését, ugyanakkor lehetővé tesszük a szelektív bejövő portok engedélyezését, és ezáltal a virtuális gépek védelmét a külső támadások ellen. Ez a kényszerítés olyan felügyeleti eszközökkel érhető el, mint a Windows Admin Center.

A mikroszegmentáció részletes hálózati szabályzatok létrehozását foglalja magában az alkalmazások és szolgáltatások között. Ez lényegében az egyes alkalmazások vagy virtuális gépek körüli kerítésre csökkenti a biztonsági szegélyt. Ez a kerítés csak az alkalmazásszintek vagy más logikai határok közötti szükséges kommunikációt teszi lehetővé, ami rendkívül megnehezíti a kibertámadások oldalirányú terjesztését az egyik rendszerről a másikra. A mikroszegmentáció biztonságosan elkülöníti egymástól a hálózatokat, és csökkenti a hálózati biztonsági incidensek teljes támadási felületét.

Az alapértelmezett hálózati hozzáférési szabályzatok és mikroszegmentáció ötrekordos állapotalapú (forráscímelőtag, forrásport, célcímelőtag, célport és protokoll) tűzfalszabályokként valósul meg az Azure Stack HCI-fürtökön. A tűzfalszabályokat hálózati biztonsági csoportoknak (NSG-knek) is nevezik. Ezek a szabályzatok az egyes virtuális gépek vSwitch portján lesznek kikényszeríthetők. A szabályzatok leküldése a felügyeleti rétegen keresztül történik, és az SDN hálózati vezérlő az összes megfelelő gazdagépre osztja őket. Ezek a szabályzatok a hagyományos VLAN-hálózatokon és az SDN-átfedő hálózatokon futó virtuális gépekhez érhetők el.

További információ: Mi az az adatközponti tűzfal?.  

QoS virtuálisgép-hálózati adapterekhez

Konfigurálhatja a szolgáltatásminőséget (QoS) egy virtuálisgép-hálózati adapterhez, hogy korlátozza a sávszélességet a virtuális adapteren, hogy a nagy forgalmú virtuális gépek ne vehessenek részt más virtuális gépek hálózati forgalmával. A QoS-t úgy is konfigurálhatja, hogy egy adott sávszélességet lefoglaljon egy virtuális gép számára, hogy a virtuális gép a hálózaton lévő többi forgalomtól függetlenül képes legyen forgalmat küldeni. Ez alkalmazható a hagyományos VLAN-hálózatokhoz csatlakoztatott virtuális gépekre, valamint az SDN-átfedő hálózatokhoz csatlakoztatott virtuális gépekre.

További információ: QoS konfigurálása virtuálisgép-hálózati adapterhez.

Virtuális hálózatok

A hálózatvirtualizálás virtuális hálózatokat biztosít a virtuális gépek számára, hasonlóan ahhoz, ahogyan a kiszolgálóvirtualizálás (hipervizor) biztosítja a virtuális gépeket az operációs rendszer számára. A hálózatvirtualizálás leválasztja a virtuális hálózatokat a fizikai hálózati infrastruktúráról, és eltávolítja a VLAN és a hierarchikus IP-cím-hozzárendelés korlátait a virtuális gépek kiépítéséből. Az ilyen rugalmasság megkönnyíti az IaaS-felhőkre való áttérést, és hatékony a gazdagépek és adatközpontok rendszergazdái számára az infrastruktúra kezeléséhez, valamint a szükséges több-bérlős elkülönítés, biztonsági követelmények és átfedésben lévő virtuálisgép-IP-címek fenntartásához.

További információ: Hyper-V hálózatvirtualizálás.

L3 hálózatkezelési szolgáltatások beállításai

A következő L3 hálózatkezelési szolgáltatási lehetőségek érhetők el:

Társviszony létesítése virtuális hálózatok között

A virtuális hálózatok közötti társviszony-létesítés lehetővé teszi két virtuális hálózat zökkenőmentes összekapcsolását. A társviszony létesítése után kapcsolati okokból a virtuális hálózatok egyként jelennek meg. A virtuális társhálózatok használatának előnyei:

  • A társviszonyban lévő virtuális hálózatok virtuális gépei közötti forgalmat a rendszer csak magánhálózati IP-címeken keresztül irányítja át a gerincinfrastruktúrán. A virtuális hálózatok közötti kommunikációhoz nincs szükség nyilvános internetre vagy átjárókra.
  • Kis késésű, nagy sávszélességű kapcsolat jön létre eltérő virtuális hálózatokba tartozó erőforrások között.
  • Az a képesség, hogy egy virtuális hálózat erőforrásai kommunikáljanak egy másik virtuális hálózat erőforrásaival.
  • A társviszony létrehozásakor egyik virtuális hálózatban sem áll le az erőforrások állásideje.

További információ: Virtuális hálózatok közötti társviszony-létesítés.

SDN szoftveres terheléselosztó

A felhőszolgáltatók (CSP-k) és a szoftveralapú hálózatkezelést (SDN) üzembe helyező vállalatok a Szoftver Load Balancer (SLB) használatával egyenletesen eloszthatják az ügyfelek hálózati forgalmát a virtuális hálózati erőforrások között. Az SLB lehetővé teszi, hogy több kiszolgáló is üzemeltethesse ugyanazt a számítási feladatot, ami magas rendelkezésre állást és méretezhetőséget biztosít. Emellett bejövő hálózati címfordítási (NAT) szolgáltatásokat is biztosít a virtuális gépekhez való bejövő hozzáféréshez, valamint kimenő NAT-szolgáltatásokat a kimenő kapcsolatokhoz.

Az SLB használatával vertikálisan felskálázhatja a terheléselosztási képességeket ugyanazon a Hyper-V számítási kiszolgálón található SLB virtuális gépek használatával, amelyeket a többi virtuális gép számítási feladataihoz is használ. Az SLB támogatja a terheléselosztási végpontok gyors létrehozását és törlését a CSP-műveletekhez szükséges módon. Az SLB emellett fürtönként több tíz gigabájtot is támogat, egyszerű kiépítési modellt biztosít, és könnyen fel- és leskálázható. Az SLB a Border Gateway Protocol használatával hirdeti meg a virtuális IP-címeket a fizikai hálózaton.

További információ: Mi az SLB az SDN-hez?

SDN VPN-átjárók

Az SDN-átjáró egy szoftveralapú Border Gateway Protocol (BGP) kompatibilis útválasztó, amelyet a Hyper-V hálózatvirtualizálást (HNV) használó több-bérlős virtuális hálózatokat üzemeltető csp-k és nagyvállalatok számára terveztek. A RAS-átjáróval irányíthatja a hálózati forgalmat egy virtuális hálózat és egy másik, helyi vagy távoli hálózat között.

Az SDN-átjáró a következő célokra használható:

  • Biztonságos helyek közötti IPsec-kapcsolatok létrehozása SDN virtuális hálózatok és külső ügyfélhálózatok között az interneten keresztül.

  • Hozzon létre általános útválasztási beágyazási (GRE) kapcsolatokat az SDN virtuális hálózatok és a külső hálózatok között. A helyek közötti kapcsolatok és a GRE-kapcsolatok közötti különbség az, hogy az utóbbi nem titkosított kapcsolat.

    További információ a GRE-kapcsolati forgatókönyvekről: GRE-bújtatás Windows Serveren.

  • Hozzon létre 3. rétegbeli (L3) kapcsolatokat az SDN-alapú virtuális hálózatok és a külső hálózatok között. Ebben az esetben az SDN-átjáró egyszerűen útválasztóként működik a virtuális hálózat és a külső hálózat között.

Az SDN-átjáróhoz SDN hálózati vezérlő szükséges. A hálózati vezérlő elvégzi az átjárókészletek üzembe helyezését, konfigurálja a bérlői kapcsolatokat az egyes átjárókon, és ha egy átjáró meghibásodik, a hálózati forgalom készenléti átjáróra vált.

Az átjárók a Border Gateway Protocol használatával hirdetik a GRE-végpontokat, és pont–pont kapcsolatokat hoznak létre. Az SDN üzembe helyezése létrehoz egy alapértelmezett átjárókészletet, amely minden kapcsolattípust támogat. Ebben a készletben megadhatja, hogy hány átjáró van lefoglalva készenléti állapotban, ha egy aktív átjáró meghibásodik.

További információ: Mi az a RAS-átjáró az SDN-hez?

Következő lépések

Ismerje meg a kétcsomópontos, nem konvergens hálózati mintát.