Caso d'uso 1: hub privato e spoke con traffico VNF trasparente e spoke - to - spoke

La figura 1 illustra un VNF trasparente utilizzato nel VPC di transito (hub) per elaborare il traffico di dati all'interno dei raggi VPC.

Sono configurate le seguenti risorse:

• L'hub VPC contiene l'NLB privato, configurato in "Modalità di instradamento" e i VNFs trasparenti vengono aggiunti al suo pool per abilitare l'HA.
• VPC-spoke#1 contiene un IBM Cloud Application Load Balancer (ALB) privato per VPC con un pool che contiene le sottoreti del carico di lavoro per zone1 (10.174.0.0/24) e zone2 (10.174.4.0/24).
• VPC-spoke#2 contiene un ALB privato con un pool contenente la sottorete del workload per zone1 (10.174.2.0/24).
• Un transit gateway gestisce le interconnessioni tra l'hub e gli spoke.
• Lo spoofing IP sull'interfaccia VNF è il prossimo hop nell'hub.

Un carico di lavoro in VPC-spoke#1 zone1 che deve comunicare con un carico di lavoro in VPC-spoke#2 zone1 deve attraversare il VNF in VPC - hub. Un instradamento in uscita dalla sottorete (10.174.0.0/24) VPC-spoke#1 (destinata a VPC-spoke#2 (10.174.2.0/24) che passa attraverso l'NLB VPC - hub (10.175.0.4), consente al traffico in uscita di raggiungere la propria destinazione. Un instradamento simile viene creato su VPC-spoke#2, che consente alla risposta di attraversare anche VPC - hub. Per i workload in VPC-spoke#1 zone2, viene creata anche una rotta di uscita simile per il traffico in uscita.

Infine, poiché l'NLB potrebbe eseguire il failover e richiedere un aggiornamento all'hop successivo, viene creato un instradamento in ingresso con l'origine come gateway di transito per garantire che l'IP dell'NLB venga aggiornato in caso di failover. L'NLB può aggiornare le rotte personalizzate solo all'interno del suo VPC (VPC - hub) e non può aggiornare automaticamente le rotte nei VPC spoke.

Caso di utilizzo 2: VNF trasparente HA attivo / attivo (VPC regione singola, multizona)

La figura 2 illustra una VNF (Active / Active Virtual Network Function) trasparente e ad alta disponibilità. Questa topologia di distribuzione garantisce che la rete e i relativi servizi siano sempre attivi, sempre accessibili e che le sessioni attive siano sempre gestite senza interruzioni.

Poiché questa VNF è trasparente, il client (sorgente) effettua una richiesta TCP all'istanza del server virtuale di destinazione (destinazione) all'indirizzo 10.241.66.5 anziché all'indirizzo IP del firewall.

È stato creato un instradamento personalizzato in uscita per garantire che i pacchetti di dati del client (10.241.0.6) destinati alla destinazione (10.241.66.5) passino attraverso l'NLB. Poiché NLB è configurato con la modalità di routing abilitata, le richieste di TCP su tutte le porte vengono inoltrate automaticamente alla loro destinazione. Poiché i VNFs sono nel pool NLB, sono l'hop successivo dopo l'NLB. In questo esempio di singola regione Active / Active, è richiesto anche un instradamento in uscita per garantire che il pacchetto di ritorno dalla destinazione passerà attraverso l'NLB nel viaggio di ritorno, quindi attraverso lo stesso VNF attraverso il quale è stato inviato e infine di nuovo al client. In questo caso di utilizzo, il client si trova in una zona diversa dalla destinazione, ma la destinazione si trova nella stessa zona di NLB e VNF.

Caso d'uso 3: Configurazione multizona ad alta disponibilità con routing asimmetrico

La seguente configurazione può essere utilizzata solo con un NLB privato in modalità route-mode con un algoritmo di pool di inoltro ponderato.

La figura 3 illustra un bilanciatore di carico di rete (NLB) in modalità route privata, progettato per garantire l'alta disponibilità su più zone tramite un routing asimmetrico. In questa architettura, il traffico dei consumatori raggiunge il VPC hub del provider tramite un collegamento diretto, un gateway di transito o Internet. L'NLB in modalità route privata inoltra quindi il traffico attraverso un Transit Gateway alle istanze del server virtuale situate nella VPC spoke. Quando è abilitato il forwarding ponderato, il traffico che ha origine e destinazione all’interno della stessa zona segue un percorso simmetrico. Il design supporta inoltre l'instradamento asimmetrico, consentendo al traffico di ritorno di seguire un percorso diverso rispetto alla richiesta originale senza dipendere dallo stato di una connessione esistente.

Ad esempio, un pacchetto di richiesta potrebbe entrare nel servizio tramite un NLB nella Zona 1 ed essere inoltrato a un server virtuale nella VPC 1, mentre il pacchetto di risposta ritorna tramite l'NLB nella Zona 2. Poiché l'inoltro è indipendente dal percorso di connessione originale, la risposta viene accettata e inoltrata correttamente. I pesi configurati continuano a influenzare la distribuzione del traffico su ciascun NLB, consentendo agli operatori di indirizzare una maggiore quantità di traffico verso i backend con maggiore capacità, mantenendo al contempo l'alta disponibilità multizona.

Questa architettura garantisce inoltre un’elevata disponibilità a livello regionale. Gli annunci di routing vengono automaticamente ritirati in caso di interruzione di zona, perdita di tutte le istanze del firewall operative o indisponibilità di tutti i dispositivi NLB operativi. Questo comportamento contribuisce a impedire che il traffico venga indirizzato verso risorse non disponibili e garantisce che il traffico venga instradato solo verso zone operative.

Prima di iniziare

Assicurati di disporre delle autorizzazioni IAM richieste per configurare l'instradamento personalizzato e abilitare lo spoofing IP.

Introduzione

Attieniti alla seguente procedura di base per configurare l'alta disponibilità per le VNFs IBM Cloud supportate:

1. Esaminare i problemi noti per le funzioni di rete virtuali.
2. Configurare le risorse VPC.
3. Configurare i gruppi di sicurezza.
4. Distribuisci un VNF.
5. Crea un programma di bilanciamento del carico di rete con modalità di instradamento.
6. Configurare le rotte personalizzate.

Limitazioni delle VNF

Le implementazioni di Virtual Network Function (VNF) ad alta disponibilità (HA) presentano le seguenti limitazioni:

• La Virtual Network Function (VNF) deve condividere una subnet con il Network Load Balancer (NLB).