NSX 오버레이 및 에지 라우팅
Google Cloud 의 VMware 솔루션은 VMware NSX를 사용하여 VMware Cloud Foundation (VCF) 워크로드 가상 머신 (VM)에 소프트웨어 정의 네트워킹(SDN) 및 보안을 제공합니다. 이 문서에서는 NSX 오버레이 네트워킹이Google Cloud Virtual Private Cloud (VPC) 언더레이와 상호작용하는 방식을 설명하고 NSX Edge 노드와 VPC 네트워크 간의 라우팅 아키텍처를 비교합니다.
Google Cloud의 NSX 개요
VMware 솔루션에서 Google Cloud VPC 네트워크는 베어메탈 ESXi 호스트(Compute Engine z3-highmem-192-highlssd-metal 인스턴스) 및 관리 어플라이언스에 물리적 및 가상화된 언더레이를 제공합니다. VMware NSX는 이 언더레이 위에 위치하여 VCF 워크로드 VM에 추상화된 네트워크 토폴로지를 제공합니다.
- Geneve 오버레이 캡슐화: ESXi 호스트 및 NSX Edge 노드는 전용
NSX-TEPVPC 서브넷에 전송 엔드포인트 (TEP) 인터페이스 (vmk10또는vmk3)를 설정합니다. 워크로드 VM 트래픽은 Geneve 패킷(UDP 포트6081)에 캡슐화되고8896바이트의 최대 전송 단위 (MTU)를 사용하여 Google CloudVPC 언더레이를 통해 호스트 TEP 간에 라우팅됩니다. - 분리된 IP 주소 지정: NSX 오버레이 세그먼트에 연결된 워크로드 VM은 기본 Google Cloud VPC 서브넷의 IP 주소를 사용하거나 VPC 서브넷 IP 할당량을 초과하지 않고 임의의 IP 주소 범위를 사용할 수 있습니다.
- 다중 등급 라우팅 아키텍처:
- 계층 1(T1) 게이트웨이: 오버레이 세그먼트, 현지화된 DHCP 서비스, 게이트웨이 방화벽 규칙 간에 횡방향(East-West) 라우팅을 제공합니다.
- Tier-0 (T0) 게이트웨이: NSX 오버레이 환경과 기본 Google Cloud VPC 네트워크 간에 North-South 라우팅을 제공합니다.
- 분산 보안: NSX 분산 방화벽(DFW)은 VM이 상주하는 오버레이 세그먼트 또는 ESXi 호스트에 관계없이 각 워크로드 VM의 가상 네트워크 인터페이스 카드(vNIC)에서 직접 스테이트풀(Stateful) 마이크로 세그먼트 정책을 시행합니다.
언더레이 토폴로지와 오버레이 토폴로지
네트워크 아키텍처는 다음 다이어그램과 같이 Google Cloud VPC 언더레이와 VMware NSX 오버레이라는 두 개의 고유한 레이어로 나뉩니다 (확대하려면 클릭).
다음 표에는 각 네트워크 계층의 구성요소와 책임이 요약되어 있습니다.
| 네트워크 계층 | 기본 구성요소 | 책임 |
|---|---|---|
| Google Cloud VPC 언더레이 |
|
|
| NSX SDN 오버레이 |
|
|
고급 아키텍처 사용 사례
다양한 격리 및 멀티 테넌시 요구사항을 지원하도록 NSX 및 VPC 토폴로지를 구성할 수 있습니다.
- 단일 VPC의 통합 워크로드 도메인: 단일Google Cloud VPC 네트워크 내에 VCF 관리 도메인과 하나 이상의 VI 워크로드 도메인을 배포합니다. 각 워크로드 도메인은 동일한 VPC 내에서 전용
vSAN,vMotion,NSX-TEP서브넷을 사용하면서 남북 라우팅을 위해 NSX Edge 클러스터를 공유하거나 격리합니다. - 멀티 VPC 매핑: 고유한 NSX Tier-0 게이트웨이 또는 별도의 NSX Edge 클러스터를 격리된 Google Cloud VPC 네트워크에 연결합니다 (예: 프로덕션 워크로드, 경계 네트워크, 공유 서비스에 대한 별도의 VPC). 이 토폴로지는 중앙 집중식 VCF 수명 주기 관리를 유지하면서 Google Cloud 에서 엄격한 VPC 수준 방화벽 및 라우팅 경계를 유지합니다.
NSX Edge 라우팅
NSX 오버레이 세그먼트와 Google Cloud VPC 네트워크 간에 트래픽을 라우팅하려면 NSX Edge VM이 NSX-Uplink VPC 서브넷을 통해 경로를 교환하거나 패킷을 전달해야 합니다. 다음 옵션 중 하나를 사용하여 NSX Tier-0 게이트웨이와 VPC 네트워크 간에 남북 라우팅을 구성할 수 있습니다.
옵션 1: VPC 정적 라우팅 (활성-대기)
정적 라우팅 토폴로지에서 NSX Edge 노드의 활성-대기 쌍은 다음 다이어그램과 같이 리전 내부 패스 스루 네트워크 부하 분산기가 앞에 있는 NSX-Uplink VPC 서브넷에서 부동 가상 IP 주소 (VIP)를 사용합니다 (클릭하여 확대).
- 라우팅 메커니즘: NSX 오버레이 워크로드 CIDR 블록을 대상으로 지정하고 NSX Edge 부동 VIP (또는 내부 부하 분산기 전달 규칙)를 다음 홉으로 지정하는 커스텀 정적 경로를Google Cloud VPC 경로 테이블에 만듭니다.
- 고가용성:
GARP_RA고가용성 정책 (또는 별칭 IP 범위 핸드오버)과 함께 리전 내부 백엔드 서비스를 사용하는 경우 활성 에지 노드가 실패하면 트래픽이 대기 NSX 에지 노드로 자동으로 리디렉션됩니다. - 사용 사례: 워크로드 CIDR 블록이 자주 변경되지 않고 단일 에지 대역폭이 처리량 요구사항을 충족하는 소규모 배포 또는 정적 오버레이 토폴로지에 가장 적합합니다.
옵션 2: Network Connectivity Center 라우터 어플라이언스를 사용한 동적 BGP 라우팅 (활성-활성)
동적 경로 교환 및 수평 대역폭 확장을 구성하려면 다음 다이어그램과 같이 Network Connectivity Center 라우터 어플라이언스를 사용하여 NSX Tier-0 게이트웨이와 Cloud Router 간에 경계 게이트웨이 프로토콜 (BGP) 피어링을 사용합니다 (확대하려면 클릭).
- 동적 경로 교환: NSX Tier-0 게이트웨이는 BGP를 통해 새로 생성된 NSX 오버레이 세그먼트 CIDR 블록을 Cloud Router에 자동으로 공지하고 커스텀 경로 공지를 통해 VPC 및 온프레미스 경로 (
0.0.0.0/0또는 특정 프리픽스)를 학습합니다. 이 아키텍처는 수동 VPC 정적 경로 업데이트를 제거합니다. - 활성-활성 ECMP 확장: Tier-0 게이트웨이당 최대 8개의 활성 NSX Edge 노드에서 등가 멀티 경로 (ECMP) 라우팅을 지원하여 남북 처리량을 확장하고 양방향 전송 감지 (BFD)를 통한 장애 조치를 지원합니다.
- 에지-호스트 고정 요구사항: NSX Edge VM은 ESXi 호스트 내에서 실행되므로 가상 업링크 인터페이스가 기본 베어메탈 Compute Engine 인스턴스의 특정 Dynamic NIC에 매핑됩니다. Cloud Router가 BGP 및 데이터 영역 트래픽을 각 NSX Edge VM이 상주하는 정확한 베어메탈 호스트로 전달하도록 하려면 VMware Distributed Resource Scheduler (DRS) 어피니티 규칙 (
VM-Host어피니티 규칙)을 구성하여 각 NSX Edge VM을 지정된 ESXi 호스트에 고정해야 합니다. - 중복 BGP 세션: 호스트 유지보수 이벤트 중에 지속적인 컨트롤 플레인 가용성을 유지하기 위해
NSX-Uplink서브넷의 각 NSX Edge 노드 업링크 인터페이스와 중복 Cloud Router 인터페이스 간에 이중 BGP 세션을 구성합니다.
다음 단계
- 언더레이 VPC 네트워킹, 레이어 2 MAC 학습, DNS를 검토하여 Dynamic NIC가 ESXi 물리적 어댑터에 매핑되는 방식을 이해합니다.
- VCF 관리 VM 및 NSX Edge 노드의 VCF 어플라이언스의 고가용성 부하 분산에 대해 알아봅니다.
- 배포 옵션 개요 읽기