NSX 疊加和邊緣路由

Google Cloud 上的 VMware 解決方案使用 VMware NSX，為 VMware Cloud Foundation (VCF) 工作負載虛擬機器 (VM) 提供軟體定義網路 (SDN) 和安全性。本文說明 NSX 疊加網路如何與Google Cloud 虛擬私有雲 (VPC) 底層互動，並比較 NSX Edge 節點和虛擬私有雲網路之間的路由架構。

Google Cloud中的 NSX 總覽

在 VMware 解決方案中， Google Cloud 虛擬私有雲網路會為裸機 ESXi 主機 (Compute Engine z3-highmem-192-highlssd-metal 執行個體) 和管理設備，提供實體和虛擬化底層。VMware NSX 位於這個底層之上，為 VCF 工作負載 VM 提供抽象的網路拓撲：

  • Geneve 疊加封裝：ESXi 主機和 NSX Edge 節點會在專屬的 NSX-TEP 虛擬私有雲子網路上建立傳輸端點 (TEP) 介面 (vmk10 或 vmk3)。工作負載 VM 流量會封裝在 Geneve 封包 (UDP 通訊埠 6081) 中，並透過 Google Cloud虛擬私有雲底層，在主機 TEP 之間轉送，最大傳輸單位 (MTU) 為 8896 位元組。
  • 分離 IP 定址：連線至 NSX 疊加區隔的工作負載 VM 可使用任意 IP 位址範圍，不會耗用基礎 Google Cloud 虛擬私有雲子網路的 IP 位址，也不會達到虛擬私有雲子網路 IP 配額。
  • 多層級轉送架構：
    • 第 1 級 (T1) 閘道：提供疊加區隔、本地化 DHCP 服務和閘道防火牆規則之間的東西向轉送。
    • 第 0 層 (T0) 閘道：在 NSX 疊加環境和基礎 Google Cloud 虛擬私有雲網路之間，提供南北向轉送。
  • 分散式安全性：NSX 分散式防火牆 (DFW) 會直接在每個工作負載 VM 的虛擬網路介面卡 (vNIC) 上，強制執行具狀態的微區隔政策，無論 VM 位於哪個疊加區隔或 ESXi 主機。

底層與疊加層拓撲

網路架構分為兩個不同的層級： Google Cloud 虛擬私有雲底層和 VMware NSX 疊加層，如下圖所示 (按一下即可放大)：

Google Cloud 虛擬私有雲底層，託管 Z3 執行個體和 VMware NSX 疊加層下方的 VCF 設備。 Google Cloud 虛擬私有雲底層，託管 Z3 執行個體和 VMware NSX 疊加層下方的 VCF 設備。

下表摘要列出各網路層的元件和職責：

網路層 主要元件 責任
Google Cloud 虛擬私有雲底層
  • 裸機 ESXi 主機 (主要 NIC 和 Dynamic NIC)
  • VCF 管理 VM (vCenter Server、SDDC Manager、NSX Manager 叢集、VMware HCX)
  • VPC 子網路 (Management、vSAN、vMotion、NSX-TEP、NSX-Uplink)
  • 區域性內部負載平衡器和 Network Connectivity Center 路由器設備
  • 提供 ESXi 主機 VMkernel 連接埠之間的 IP 連線能力
  • 直接在虛擬私有雲子網路上託管 VCF 控制層設備
  • 在 ESXi 主機 TEP 和 NSX Edge TEP 之間傳輸封裝的 Geneve 封包
  • 連結地端部署網路、對接的虛擬私有雲和Google Cloud服務
NSX SDN 疊加層
  • NSX Edge 叢集 (第 0 級和第 1 級邏輯路由器)
  • NSX 疊加層區隔
  • 工作負載 VM
  • NSX 分散式防火牆 (DFW) 和閘道防火牆
  • 為工作負載 VM 提供獨立的第 2 層網域和東西向轉送
  • 透過第 0 層閘道，向虛擬私有雲底層 advertise 工作負載 CIDR 區塊
  • 提供負載平衡、NAT 和南北向邊緣安全性

進階架構用途

您可以建構 NSX 和虛擬私有雲拓撲，支援不同的隔離和多租戶需求：

  • 單一虛擬私有雲中的整合式工作負載網域：在單一Google Cloud 虛擬私有雲網路中，部署 VCF 管理網域和一或多個 VI 工作負載網域。每個工作負載網域都會使用同一虛擬私有雲中的專屬 vSAN、vMotion 和 NSX-TEP 子網路，同時共用或隔離 NSX Edge 叢集，以便進行南北向轉送。
  • 多虛擬私有雲對應：將不同的 NSX Tier-0 閘道或獨立的 NSX Edge 叢集，連線至隔離的 Google Cloud 虛擬私有雲網路 (例如，用於正式環境工作負載、周邊網路和共用服務的獨立虛擬私有雲)。這個拓撲可保留 Google Cloud 中嚴格的虛擬私有雲層級防火牆和轉送邊界，同時維持集中式 VCF 生命週期管理。

NSX Edge 轉送

如要在 NSX 疊加區段和 Google Cloud 虛擬私有雲網路之間轉送流量，NSX Edge VM 必須透過NSX-Uplink虛擬私有雲子網路交換路徑或轉送封包。您可以使用下列任一選項，在 NSX 第 0 層閘道和虛擬私有雲網路之間設定南北向轉送：

選項 1：虛擬私有雲靜態轉送 (主動/待命)

在靜態轉送拓撲中，一組主動-待命 NSX Edge 節點會使用 NSX-Uplink 虛擬私有雲子網路上的浮動虛擬 IP 位址 (VIP)，並由區域性內部直通式網路負載平衡器前端，如下圖所示 (點選可放大)：

虛擬私有雲靜態路由，會透過內部負載平衡器，將 NSX 疊加層流量導向主動-待命 NSX Edge 節點。 虛擬私有雲靜態路由，會透過內部負載平衡器，將 NSX 疊加層流量導向主動-待命 NSX Edge 節點。

  • 轉送機制：在Google Cloud 虛擬私有雲路由表中建立自訂靜態路由，指定 NSX 疊加工作負載 CIDR 區塊為目的地，並指定 NSX Edge 浮動 VIP (或內部負載平衡器轉送規則) 為下一個躍點。
  • 高可用性：如果區域性內部後端服務採用 GARP_RA 高可用性政策 (或別名 IP 範圍交接)，當使用中的 NSX Edge 節點故障時，流量會自動重新導向至待命 Edge 節點。
  • 用途：最適合小型部署作業或靜態疊加拓撲，其中工作負載 CIDR 區塊不會頻繁變更，且單一邊緣頻寬符合處理量需求。

選項 2：使用 Network Connectivity Center 路由器設備 (主動-主動) 進行動態 BGP 轉送

如要設定動態路由交換和水平頻寬擴充，請使用 Network Connectivity Center 路由器設備，在 NSX Tier-0 閘道和 Cloud Router 之間建立邊界閘道通訊協定 (BGP) 對等互連，如下圖所示 (點選可放大)：

Cloud Router 透過 BGP 與 NSX Edge 路由器設備對等互連，並透過 DRS 相似性規則固定至 Z3 主機。 Cloud Router 透過 BGP 與 NSX Edge 路由器設備對等互連，並透過 DRS 相似性規則固定至 Z3 主機。

  • 動態路由交換：NSX Tier-0 閘道會透過 BGP，自動向 Cloud Router advertise 新建立的 NSX 疊加區段 CIDR 區塊，並透過自訂路由 advertising 學習 VPC 和地端部署路由 (0.0.0.0/0 或特定前置字元)。這種架構可免除手動更新虛擬私有雲靜態路徑。
  • 主動-主動 ECMP 擴充：支援等價多路徑 (ECMP) 轉送，每個第 0 層閘道最多可跨八個主動 NSX Edge 節點，擴充南北向處理量，並支援雙向轉送偵測 (BFD) 容錯移轉。
  • 邊緣對主機固定需求：由於 NSX Edge VM 是在 ESXi 主機內執行，因此其虛擬上行介面會對應至基礎裸機 Compute Engine 執行個體上的特定 Dynamic NIC。為確保 Cloud Router 將 BGP 和資料層流量轉送至每個 NSX Edge VM 所在的確切裸機主機，您必須設定 VMware Distributed Resource Scheduler (DRS) 相似性規則 (VM-Host 相似性規則)，將每個 NSX Edge VM 固定至指定的 ESXi 主機。
  • 備援 BGP 工作階段：在 NSX-Uplink 子網路上，為每個 NSX Edge 節點的上行介面和備援 Cloud Router 介面設定雙 BGP 工作階段，以便在主機維護事件期間，持續維持控制層可用性。

後續步驟