搜索

[12916] 2018-07-07_企业与云VPN组网自动化实践

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-07-07_企业与云VPN组网自动化实践 企 业 与 云 V P N 组 网 自 动 化 实 践 a c c e s s h u b   F r e e B u f   2 0 1 8 - 0 7 - 0 7 伴 随 着 不 断 出 现 的 外 部 ， 内 部 挑 战 ， 我 们 将 业 务 向 公 有 云 迁 移 。 随 着 时 间 的 推 移 ， 逐 渐 形 成 了 混 合 云 架 构 。 伴 随 着 不 断 出 现 的 外 部 ， 内 部 挑 战 ， 我 们 将 业 务 向 公 有 云 迁 移 。 随 着 时 间 的 推 移 ， 逐 渐 形 成 了 混 合 云 架 构 。 混 合 云 架 构 需 要 组 建 虚 拟 专 用 网 络 ， 实 现 资 源 互 通 ， 满 足 加 密 传 输 要 求 。 混 合 云 网 络 连 接 类 型 总 结 如 下 ： 1 、 V P C 到 V P C （ 同 一 个 云 服 务 商 ） 2 、 V P C 到 V P C （ 不 同 云 服 务 商 之 间 ） 3 、   企 业 本 地 网 络 到 V P C 常 见 的 组 网 方 案 有 ： 专 线 ， V P N ， S D - W A N 。 但 也 会 带 来 以 下 问 题 ： 首 先 是 V P C 的 互 通 。 例 如 ， 将 阿 里 云 北 京 的 V P C 资 源 接 入 A W S 新 加 坡 的 V P C 。 通 常 我 们 使 用 V P N 软 件 解 决 ， 但 繁 琐 的 C L I 和 不 同 云 服 务 商 不 同 工 作 流 的 部 署 方 法 ， 会 造 成 在 基 础 设 施 上 花 费 太 多 的 精 力 。 其 次 是 V P C 和 企 业 私 网 互 通 。 例 如 ， 将 阿 里 云 杭 州 的 V P C 基 础 设 施 接 入 到 北 京 的 数 据 中 心 。 传 统 的 连 接 方 式 依 赖 硬
件 ， 需 要 改 动 网 络 ， 部 署 花 费 几 天 或 几 周 的 时 间 。 最 后 则 是 快 速 提 供 网 络 服 务 能 力 。 业 务 需 求 是 更 快 的 发 布 应 用 程 序 。 拼 凑 使 用 多 种 连 接 方 式 组 网 ， 会 使 网 络 架 构 臃 肿 ， 增 加 复 杂 度 。 快 ， 敏 捷 将 是 难 以 实 现 的 。 基 于 以 上 问 题 。 如 何 减 少 网 络 改 动 ， 采 用 一 致 的 工 作 流 程 ， 简 化 加 密 隧 道 的 创 建 ， 删 除 和 管 理 ？ 我 们 结 合 容 器 ， 探 究 出 了 一 种 自 动 化 实 现 方 案 。 从 图 中 可 以 看 出 ， 我 们 参 考 了 S D N 软 件 架 构 设 计 ， 将 V P N 网 关 的 功 能 抽 象 出 来 逻 辑 分 层 ， 实 现 集 中 管 理 。 V P N 组 网 自 动 化 方 案 需 要 以 下 3 个 组 件 ： 1 、 V P N 容 器 部 署 在 V P C 或 本 地 网 络 处 理 I P S e c 流 量 通 过 W e b S o c k e t 与 控 制 器 连 接 2 、 控 制 器 通 过 R e s t f u l   A P I 完 成 指 定 隧 道 的 创 建 ， 删 除 ， 管 理
通 过 云 服 务 商 A P I 完 成 V P C 的 路 由 配 置 通 过 R e s t f u l   A P I 与 W e b   C l i e n t 通 信 3 、 W e b   C l i e n t 配 置 管 理 界 面 连 接 可 视 化 各 组 件 连 接 关 系 如 下 图 ： 云 与 云 创 建 V P C 加 密 对 等 连 接 的 过 程 及 其 实 现 如 下 ： 1 、 用 户 在 管 理 界 面 点 击 需 要 互 通 的 网 络 ， W e b   C l i e n t 向 控 制 器 发 送 创 建 连 接 请 求 ， 控 制 器 向 指 定 V P N 容 器 下 发 I P S e c 配 置 ， 同 时 在 V P C 路 由 表 添 加 到 达 对 端 网 络 的 路 由 条 目 。 配 置 完 成 后 拉 起 隧 道 ， 两 端 网 络 完 成 互 通 。 2 、 如 果 遇 到 两 端 网 络 V P C   C I D R 冲 突 的 情 况 ， 可 以 通 过 管 理 界 面 修 改 指 定 连 接 的 C I D R ， W e b   C l i e n t 向 控 制 器 发 送 修 改 C I D R 请 求 ， 控 制 器 向 V P N 容 器 下 发 新 的 I P S e c 配 置 ， 同 时 更 新 V P C 路 由 条 目 。 完 成 后 重 新 拉 起 隧 道 。 3 、 如 果 网 络 环 境 发 生 变 化 ， 例 如 云 服 务 器 的 公 网 I P 变 更 ， 监 控 服 务 会 通 知 容 器 自 动 更 新 I P S e c 配 置 ， 同 时 更 新 V P C 路 由 条 目 ， 重 新 拉 起 隧 道 。
以 上 就 是 系 统 的 工 作 原 理 。 从 中 我 们 可 以 看 出 ， 系 统 已 经 很 好 地 解 决 了 传 统 连 接 方 式 所 遇 到 的 问 题 ： 1 、 控 制 器 通 过 V P N 容 器 A P I 接 口 完 成 I P S e c 连 接 配 置 ， 使 用 云 服 务 商 A P I 接 口 完 成 V P C 路 由 配 置 ， 从 而 实 现 了 自 动 化 。 这 种 设 计 的 优 势 在 于 可 以 消 除 复 杂 度 ， 不 需 要 网 络 工 程 师 ， 任 何 人 都 可 以 运 行 。 2 、 对 于 企 业 和 云 网 络 互 通 需 求 ， 由 运 行 在 本 地 数 据 中 心 的 V P N 容 器 向 运 行 在 云 网 络 的 V P N 容 器 发 起 I P S e c 连 接 ， 这 样 设 计 是 为 了 避 免 对 企 业 网 络 进 行 改 动 ， 减 少 对 硬 件 设 备 的 依 赖 ， 适 应 主 流 的 互 联 网 接 入 方 式 。 3 、 采 用 容 器 化 的 部 署 方 式 ， 简 化 部 署 过 程 。 由 于 采 用 了 集 中 管 理 ， 分 布 运 行 的 设 计 ， 可 以 满 足 随 处 运 行 ， 可 持 续 升 级 的 需 求 。 为 了 提 高 使 用 体 验 ， 我 们 在 设 计 与 实 现 时 考 虑 到 了 很 多 细 节 ， 在 这 里 拿 出 来 与 大 家 分 享 。 1 、 容 器 与 控 制 器 的 通 信 协 议 选 择 在 选 择 容 器 与 控 制 器 通 信 协 议 时 ， 考 虑 了 以 下 几 点 ： A 、 控 制 器 能 及 时 联 系 到 容 器 ： 用 户 在 W e b 界 面 的 操 作 （ 例 如 下 发 配 置 信 息 或 查 询 运 行 状 态 数 据 ） ， 得 到 及 时 响 应 ； B 、 尽 可 能 减 少 对 运 行 环 境 的 要 求 ， 比 如 开 放 端 口 、 配 置 防 火 墙 等 ； C 、 适 应 运 行 环 境 的 各 种 I n t e r n e t 接 入 方 式 ， 包 括 直 接 路 由 、 N A T 、 P r o x y 。 基 于 上 述 约 束 ， 初 步 确 定 了 容 器 作 为 通 讯 的 客 户 端 ， 控 制 器 作 为 通 讯 的 服 务 端 。 在 具 体 通 信 协 议 的 选 择 时 ， 考 虑 了 M Q T T 和 W e b S o c k e t 。 两 者 比 较 ， 前 者 有 成 熟 的 开 源 组 件 ， 用 很 少 的 开 发 就 可 以 实 现 设 备 接 入 、 消 息 路 由 、 数 据 存 储 、 自 动 订 阅   、 状 态 监 控 等 功 能 ； 而 后 者 实 现 相 同 的 功 能 ， 需 要 额 外 的 工 作 量 。 但 是 考 虑 到 W e b S o c k e t 基 于 H T T P / H T T P S ， 对 防 火 墙 更 友 好 ， 我 们 选 择 了 W e b S o c k e t 作 为 网 关 与 控 制 器 的 通 信 协 议 。 网 关 作 为 W e b S o c k e t 客 户 端 ， 控 制 器 作 为 W e b S o c k e t 服 务 端 ， 这 样 实 现 了 用 户 侧 的 防 火 墙 零 配 置 ， 而 基 于 W e b S o c k e t 的 长 连 接 又 可 以 满 足 通 信 的 实 时 性 。 2 、 如 何 简 化 部 署 及 使 用 ？ 在 用 户 部 署 对 等 网 络 时 ， 我 们 希 望 能 够 将 用 户 的 操 作 最 简 化 ， 不 需 要 去 查 V p c I D 、 R o u t e r T a b l e I D 、 C i d r B l o c k 等 等 信 息 ， 只 需 要 输 入 容 器 的 公 网 I P 地 址 。 为 实 现 这 个 目 标 ， 我 们 充 分 利 用 云 厂 商 的 A P I 来 获 取 配 置 所 需 的 参 数 、 信 息 ， 再
通 过 A P I 完 成 V P C 路 由 的 配 置 。 各 家 公 有 云 的 实 现 不 一 样 ， A P I 的 表 现 也 不 一 样 。 例 如 V P C 路 由 配 置 A P I ， 有 的 厂 商 是 同 步 操 作 ， 有 的 是 异 步 操 作 。 异 步 操 作 又 间 接 限 制 并 发 请 求 ， 甚 至 对 A P I 调 用 间 隔 也 产 生 了 间 接 限 制 。 我 们 对 各 家 公 有 云 厂 商 的 A P I 进 行 适 配 ， 最 终 实 现 配 置 简 化 的 目 标 。 3 、 控 制 器 的 设 计 控 制 器 与 容 器 的 交 互 仅 限 于 配 置 信 息 下 发 、 运 行 状 态 查 询 等 带 外 管 理 功 能 。 网 络 之 间 的 流 量 直 接 通 过 V P N 容 器 建 立 起 来 的 加 密 隧 道 传 输 ， 不 经 过 控 制 器 。 考 虑 到 控 制 器 存 在 单 点 故 障 的 可 能 性 ， 控 制 器 采 用 了 多 活 集 群 设 计 ， 可 以 横 向 扩 展 ， 实 现 容 器 带 外 管 理 负 载 。 V P N 组 网 自 动 化 方 案 解 决 了 几 个 问 题 ： 快 速 组 网 快 速 组 网 ： 使 用 I P S e c 连 接 基 础 设 施 ， 在 云 与 云 ， 企 业 与 云 之 间 建 立 任 意 互 联 。 在 几 分 钟 内 ， 将 资 源 连 接 到 任 何 位 置 。 使 用 简 化 使 用 简 化 ： 用 自 动 化 工 作 流 取 代 复 杂 的 c l i 手 动 配 置 ， 让 D e v O p s 专 注 于 核 心 业 务 ， 而 不 是 基 础 设 施 。 网 络 改 动 少 网 络 改 动 少 ： 适 应 原 有 网 络 ， 不 对 原 有 网 络 进 行 改 动 。
* 本 文 作 者 ： 本 文 作 者 ： a c c e s s h u b ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理