Azure Stack HCI için iki düğümlü depolama anahtarlı, tam yakınsanmış dağıtım ağ başvuru deseni gözden geçirin

Şunlar için geçerlidir: Azure Stack HCI, sürüm 23H2 ve 22H2

Bu makalede, Azure Stack HCI çözümünüzü dağıtmak için kullanabileceğiniz iki tor anahtarı ağ başvurusu deseniyle tam olarak yakınsanmış iki düğümlü depolama alanı hakkında bilgi edineceksiniz. Bu makaledeki bilgiler, bu yapılandırmanın dağıtım planlama gereksinimlerinize uygun olup olmadığını belirlemenize de yardımcı olur. Bu makale, veri merkezlerinde Azure Stack HCI'yi dağıtan ve yöneten BT yöneticilerine yöneliktir.

Diğer ağ desenleri hakkında bilgi için bkz. Azure Stack HCI ağ dağıtım desenleri.

Senaryolar

Bu ağ düzenine yönelik senaryolar laboratuvarları, şubeleri ve veri merkezi tesislerini içerir.

Ek düğümler eklemeyi planlıyorsanız ve kuzey-güney trafiği için bant genişliği gereksinimleriniz için ayrılmış bağdaştırıcılar gerekmiyorsa bu düzeni göz önünde bulundurun. Fiziksel anahtar bağlantı noktaları az olduğunda ve çözümünüz için maliyet azaltmaları aradığınızda bu çözüm iyi bir seçenek olabilir. Bu düzen, depolama trafiğini iş yükünden ve yönetim trafiğinden korumak için paylaşılan ana bilgisayar ağ bağdaştırıcıları QoS ilkelerine ince ayar yapmak için ek işlem maliyetleri gerektirir. SDN L3 hizmetleri bu düzende tam olarak desteklenir.

BGP gibi yönlendirme hizmetleri, L3 hizmetlerini destekliyorsa doğrudan TOR anahtarlarında yapılandırılabilir. Mikro ayırma ve QoS gibi ağ güvenlik özellikleri, sanal ağ bağdaştırıcısı katmanında uygulandığından güvenlik duvarı cihazında ek yapılandırma gerektirmez.

Fiziksel bağlantı bileşenleri

Aşağıdaki diyagramda açıklandığı gibi, bu desen aşağıdaki fiziksel ağ bileşenlerine sahiptir:

• Northbound/southbound trafiği için bu desendeki küme, MLAG yapılandırmasında iki TOR anahtarıyla uygulanır.

• İki ekipli ağ kartı, TOR anahtarlarına bağlı yönetim, işlem ve RDMA depolama trafiğini işler. Her NIC farklı bir TOR anahtarına bağlıdır. Çok kanallı SMB özelliği, yol toplama ve hataya dayanıklılık sağlar.

• Bir seçenek olarak, dağıtımlar ortamın uzaktan yönetimini etkinleştirmek için bir BMC kartı içerebilir. Bazı çözümler, güvenlik amacıyla BMC kartı olmayan bir başsız yapılandırma kullanabilir.

Ağlar	Yönetim, işlem, depolama	BMC
Bağlantı hızı	10 Gb/sn hızında	Donanım üreticisine danışın
Arabirim türü	SFP+ veya SFP28	RJ45
Bağlantı noktaları ve toplama	Ekip olarak sunulan iki bağlantı noktası	Bir bağlantı noktası

Ağ ATC amaçları

Yönetim, işlem ve depolama amacı

• Amaç Türü: Yönetim, işlem ve depolama
• Amaç Modu: Küme modu
• Ekip oluşturma: Evet. pNIC01 ve pNIC02 ekip olarak oluşturulur
• Varsayılan Yönetim VLAN'ı: Yönetim bağdaştırıcıları için yapılandırılan VLAN değiştirilmez
• Depolama vNIC 1:
  • VLAN 711
  • Depolama ağı 1 için alt ağ 10.71.1.0/24
• Depolama vNIC 2:
  • VLAN 712
  • Depolama ağı 2 için alt ağ 10.71.2.0/24
• Depolama vNIC1 ve depolama vNIC2, dayanıklılık ve bant genişliği toplama sağlamak için Çok Kanallı SMB kullanır
• PA VLAN ve vNIC'ler: Ağ ATC,PA vNIC'leri ve VLAN için saydamdır
• İşlem VLAN'ları ve vNIC'ler: Ağ ATC,VM vNIC'lerini ve VLAN'larını hesaplamak için saydamdır

Daha fazla bilgi için bkz. Konak ağını dağıtma.

Bu başvuru düzenine yönelik ağ amaçları oluşturmak için şu adımları izleyin:

1. PowerShell'i yönetici olarak çalıştırın.

2. Şu komutu çalıştırın:

   Add-NetIntent -Name <Management_Compute> -Management -Compute -Storage -ClusterName <HCI01> -AdapterName <pNIC01, pNIC02>
   

Mantıksal bağlantı bileşenleri

Aşağıdaki diyagramda gösterildiği gibi, bu desen aşağıdaki mantıksal ağ bileşenlerine sahiptir:

Depolama Ağı VLAN'ları

Bu desendeki depolama amacı tabanlı trafik, fiziksel ağ bağdaştırıcılarını yönetim ve işlemle paylaşır.

Depolama ağı farklı IP alt ağlarında çalışır. Her depolama ağı varsayılan olarak ATC önceden tanımlanmış VLAN'ları kullanır (711 ve 712). Ancak, bu VLAN'lar gerekirse özelleştirilebilir. Ayrıca, ATC tarafından tanımlanan varsayılan alt ağ kullanılabilir değilse, kümedeki tüm depolama IP adreslerini atamak sizin sorumluluğunızdadır.

Daha fazla bilgi için bkz . Ağ ATC'ye genel bakış.

OOB ağı

Bant Dışı (OOB) ağı, temel kart yönetim denetleyicisi (BMC) olarak da bilinen "lights-out" sunucu yönetim arabirimini desteklemeye ayrılmıştır. Her BMC arabirimi, müşteri tarafından sağlanan bir anahtara bağlanır. BMC, PXE önyükleme senaryolarını otomatikleştirmek için kullanılır.

Yönetim ağı, Akıllı Platform Yönetim Arabirimi (IPMI) Kullanıcı Veri Birimi Protokolü (UDP) bağlantı noktası 623 kullanılarak BMC arabirimine erişim gerektirir.

OOB ağı işlem iş yüklerinden yalıtılır ve çözüm tabanlı olmayan dağıtımlar için isteğe bağlıdır.

Yönetim VLAN'sı

Tüm fiziksel işlem konakları yönetim mantıksal ağına erişim gerektirir. IP adresi planlaması için, her fiziksel işlem konağının yönetim mantıksal ağından atanmış en az bir IP adresi olmalıdır.

DHCP sunucusu yönetim ağı için IP adreslerini otomatik olarak atayabilir veya statik IP adreslerini el ile atayabilirsiniz. Tercih edilen IP atama yöntemi DHCP olduğunda, süresi dolmadan DHCP ayırmaları kullanmanızı öneririz.

Yönetim ağı aşağıdaki VLAN yapılandırmalarını destekler:

• Yerel VLAN - VLAN kimliklerini sağlamanız gerekmez. Bu, çözüm tabanlı yüklemeler için gereklidir.

• Etiketli VLAN - Dağıtım sırasında VLAN kimlikleri sağlarsınız.

Yönetim ağı Uzak Masaüstü, Windows Admin Center ve Active Directory dahil olmak üzere kümenin yönetimi için kullanılan tüm trafiği destekler.

Daha fazla bilgi için bkz. SDN altyapısı planlama: Yönetim ve HNV Sağlayıcısı.

İşlem VLAN'ları

Bazı senaryolarda, Sanal Genişletilebilir LAN (VXLAN) kapsüllemesi ile SDN Sanal Ağları kullanmanız gerekmez. Bunun yerine, kiracı iş yüklerinizi yalıtmak için geleneksel VLAN'ları kullanabilirsiniz. Bu VLAN'lar, TOR anahtarının bağlantı noktasında gövde modunda yapılandırılır. Bu VLAN'lara yeni VM'ler bağlanırken, sanal ağ bağdaştırıcısında buna karşılık gelen VLAN etiketi tanımlanır.

HNV Sağlayıcı Adresi (PA) ağı

Hyper-V Ağ Sanallaştırma (HNV) Sağlayıcı Adresi (PA) ağı Doğu/Batı (iç-iç) kiracı trafiği, Kuzey/Güney (dış-iç) kiracı trafiği ve bgp eşleme bilgilerini fiziksel ağ ile değiştirmek için temel fiziksel ağ olarak görev alır. Bu ağ yalnızca başka bir yalıtım katmanı ve ağ çok kiracılılığı için VXLAN kapsüllemesini kullanarak sanal ağları dağıtma gereksinimi olduğunda gereklidir.

Daha fazla bilgi için bkz. SDN altyapısı planlama: Yönetim ve HNV Sağlayıcısı.

Ağ yalıtımı seçenekleri

Aşağıdaki ağ yalıtım seçenekleri desteklenir:

VLAN'lar (IEEE 802.1Q)

VLAN'lar, fiziksel ağın kablolarını paylaşmak için ayrı tutulması gereken ve bununla birlikte birbirleriyle doğrudan etkileşim kurması engellenen cihazlara izin verir. Bu yönetilen paylaşım basitlik, güvenlik, trafik yönetimi ve ekonomi açısından kazanç sağlar. Örneğin VLAN, bir işletme içindeki trafiği tek tek kullanıcılara veya kullanıcı gruplarına ya da rollerine göre ya da trafik özelliklerine göre ayırmak için kullanılabilir. Birçok internet barındırma hizmeti, özel bölgeleri birbirinden ayırmak için VLAN'ları kullanır ve her müşterinin sunucularının, tek tek sunucuların veri merkezinde nerede bulunduğuna bakılmaksızın tek bir ağ kesiminde gruplandırılabilmesini sağlar. VLAN atlama olarak bilinen belirli bir VLAN'dan gelen trafiğin "kaçmasını" önlemek için bazı önlemler gerekir.

Daha fazla bilgi için bkz. Sanal ağların ve VLAN'ların kullanımını anlama.

Varsayılan ağ erişim ilkeleri ve mikro ayrım

Varsayılan ağ erişim ilkeleri, Azure Stack HCI kümenizdeki tüm sanal makinelerin (VM) varsayılan olarak dış tehditlere karşı güvenli olmasını sağlar. Bu ilkelerle, bir VM'ye gelen erişimi varsayılan olarak engellerken, seçmeli gelen bağlantı noktalarını etkinleştirme ve dolayısıyla VM'leri dış saldırılara karşı koruma seçeneği sunarız. Bu zorlama, Windows Admin Center gibi yönetim araçları aracılığıyla kullanılabilir.

Mikro ayrım, uygulamalar ve hizmetler arasında ayrıntılı ağ ilkeleri oluşturmayı içerir. Bu temelde güvenlik çevresini her uygulamanın veya VM'nin etrafındaki bir çite düşürür. Bu çit yalnızca uygulama katmanları veya diğer mantıksal sınırlar arasında gerekli iletişime izin verir, bu nedenle siber tehditlerin bir sistemden diğerine yayılımını aşırı zorlaştırır. Mikro ayrım, ağları birbirinden güvenli bir şekilde yalıtarak ağ güvenlik olayının toplam saldırı yüzeyini azaltır.

Varsayılan ağ erişim ilkeleri ve mikro ayrım, Azure Stack HCI kümelerinde durum bilgisi olan beş tanımlama grubu (kaynak adres ön eki, kaynak bağlantı noktası, hedef adres ön eki, hedef bağlantı noktası ve protokol) güvenlik duvarı kuralları olarak gerçekleştirilir. Güvenlik duvarı kuralları Ağ Güvenlik Grupları (NSG) olarak da bilinir. Bu ilkeler her vm'nin vSwitch bağlantı noktasında zorlanır. İlkeler yönetim katmanından geçirilir ve SDN Ağ Denetleyicisi bunları tüm geçerli konaklara dağıtır. Bu ilkeler, geleneksel VLAN ağlarında ve SDN katman ağlarında bulunan VM'ler için kullanılabilir.

Daha fazla bilgi için bkz. Datacenter Güvenlik Duvarı nedir?.  

VM ağ bağdaştırıcıları için QoS

Yüksek trafikli bir VM'nin diğer VM ağ trafiğiyle bağlanmasını önlemek amacıyla bir sanal arabirimdeki bant genişliğini sınırlamak için VM ağ bağdaştırıcısı için Hizmet Kalitesi'ni (QoS) yapılandırabilirsiniz. Ağ üzerindeki diğer trafiğe bakılmaksızın VM'nin trafik gönderebilmesini sağlamak için QoS'yi vm için belirli bir bant genişliği ayıracak şekilde de yapılandırabilirsiniz. Bu, geleneksel VLAN ağlarına bağlı VM'lerin yanı sıra SDN katman ağlarına bağlı VM'lere de uygulanabilir.

Daha fazla bilgi için bkz. VM ağ bağdaştırıcısı için QoS'yi yapılandırma.

Sanal ağlar

Ağ sanallaştırma, vm'lere sunucu sanallaştırmanın (hiper yönetici) işletim sistemine vm'ler sağlamasına benzer sanal ağlar sağlar. Ağ sanallaştırma, sanal ağları fiziksel ağ altyapısından ayırır ve VLAN ve hiyerarşik IP adresi atama kısıtlamalarını VM sağlamadan kaldırır. Bu esneklik, (Hizmet Olarak Altyapı) IaaS bulutlarına geçmenizi kolaylaştırır ve barındırıcıların ve veri merkezi yöneticilerinin altyapılarını yönetmesi ve gerekli çok kiracılı yalıtımı, güvenlik gereksinimlerini ve çakışan VM IP adreslerini korumasını sağlar.

Daha fazla bilgi için bkz. Hyper-V Ağ Sanallaştırma.

L3 ağ hizmetleri seçenekleri

Aşağıdaki L3 ağ hizmeti seçenekleri kullanılabilir:

Sanal ağ eşleme

Sanal ağ eşleme, iki sanal ağı sorunsuz bir şekilde bağlamanızı sağlar. Eşlendikten sonra, bağlantı amacıyla sanal ağlar tek bir ağ olarak görünür. Sanal ağ eşlemesini kullanmanın avantajları şunlardır:

• Eşlenen sanal ağlardaki VM'ler arasındaki trafik yalnızca özel IP adresleri aracılığıyla omurga altyapısı üzerinden yönlendirilir. Sanal ağlar arasındaki iletişim için genel İnternet veya ağ geçitleri gerekmez.
• Farklı sanal ağlardaki kaynaklar arasında düşük gecikme süresi ve yüksek bant genişlikli bağlantı.
• Bir sanal ağdaki kaynakların farklı bir sanal ağdaki kaynaklarla iletişim kurabilmesi.
• Eşleme oluşturulurken iki sanal ağdaki kaynaklarda kapalı kalma süresi yoktur.

Daha fazla bilgi için bkz. Sanal ağ eşlemesi.

SDN yazılım yük dengeleyici

Bulut Hizmeti Sağlayıcıları (CSP'ler) ve Yazılım Tanımlı Ağ (SDN) dağıtan kuruluşlar, müşteri ağ trafiğini sanal ağ kaynakları arasında eşit bir şekilde dağıtmak için Yazılım Load Balancer (SLB) kullanabilir. SLB, birden çok sunucunun aynı iş yükünü barındırmasını sağlayarak yüksek kullanılabilirlik ve ölçeklenebilirlik sağlar. Vm'lere gelen erişim için gelen Ağ Adresi Çevirisi (NAT) hizmetleri ve giden bağlantı için giden NAT hizmetleri sağlamak için de kullanılır.

SLB kullanarak, diğer VM iş yükleriniz için kullandığınız Hyper-V işlem sunucularında SLB VM'lerini kullanarak yük dengeleme özelliklerinizin ölçeğini genişletebilirsiniz. SLB, CSP işlemleri için gereken yük dengeleme uç noktalarının hızlı oluşturulmasını ve silinmesini destekler. Buna ek olarak, SLB küme başına onlarca gigabayt destekler, basit bir sağlama modeli sağlar ve ölçeği genişletmek ve daraltmak kolaydır. SLB, sanal IP adreslerini fiziksel ağa tanıtmak için Sınır Ağ Geçidi Protokolü kullanır.

Daha fazla bilgi için bkz. SDN için SLB nedir?

SDN VPN ağ geçitleri

SDN Ağ Geçidi, Hyper-V Ağ Sanallaştırma (HNV) kullanarak çok kiracılı sanal ağları barındıran CSP'ler ve kuruluşlar için tasarlanmış yazılım tabanlı bir Sınır Ağ Geçidi Protokolü (BGP) özellikli yönlendiricidir. RAS Ağ Geçidi'ni kullanarak bir sanal ağ ile başka bir ağ (yerel veya uzak) arasında ağ trafiğini yönlendirebilirsiniz.

SDN Ağ Geçidi şunları yapmak için kullanılabilir:

• İnternet üzerinden SDN sanal ağları ile dış müşteri ağları arasında güvenli siteden siteye IPsec bağlantıları oluşturun.

• SDN sanal ağları ile dış ağlar arasında Genel Yönlendirme Kapsüllemesi (GRE) bağlantıları oluşturun. Siteden siteye bağlantılar ile GRE bağlantıları arasındaki fark, ikincisinin şifreli bir bağlantı olmamasıdır.

  GRE bağlantı senaryoları hakkında daha fazla bilgi için bkz. Windows Server'da GRE Tüneli.

• SDN sanal ağları ile dış ağlar arasında Katman 3 (L3) bağlantıları oluşturun. Bu durumda, SDN ağ geçidi yalnızca sanal ağınızla dış ağ arasında bir yönlendirici işlevi görür.

SDN Ağ Geçidi için SDN Ağ Denetleyicisi gerekir. Ağ Denetleyicisi ağ geçidi havuzlarının dağıtımını gerçekleştirir, her ağ geçidinde kiracı bağlantılarını yapılandırabilir ve ağ geçidi başarısız olursa ağ trafiği akışlarını beklemedeki ağ geçidine değiştirir.

Ağ geçitleri, GRE uç noktalarını tanıtmak ve noktadan noktaya bağlantılar kurmak için Sınır Ağ Geçidi Protokolü'ne kullanır. SDN dağıtımı, tüm bağlantı türlerini destekleyen bir varsayılan ağ geçidi havuzu oluşturur. Bu havuz içinde, etkin bir ağ geçidinin başarısız olması durumunda beklemede kaç ağ geçidinin ayrılacağını belirtebilirsiniz.

Daha fazla bilgi için bkz. SDN için RAS Ağ Geçidi nedir?

Sonraki adımlar

İki düğümlü depolama alanı anahtarlanmış, yakınsanmayan ağ deseni hakkında bilgi edinin.