{"id":71608,"date":"2020-02-27T08:51:12","date_gmt":"2020-02-27T05:51:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-v-yandeks-oblake-ustroeno-virtual-private-cloud-i-kak-nashi-polzovateli-pomogayut-nam-vnedryat-poleznye-funkczii"},"modified":"2026-05-21T17:55:47","modified_gmt":"2026-05-21T15:55:47","slug":"kak-v-yandeks-oblake-ustroeno-virtual-private-cloud-i-kak-nashi-polzovateli-pomogayut-nam-vnedryat-poleznye-funkczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/kak-v-yandeks-oblake-ustroeno-virtual-private-cloud-i-kak-nashi-polzovateli-pomogayut-nam-vnedryat-poleznye-funkczii","title":{"rendered":"Jak funguje Virtual Private Cloud v Yandex.Cloud a jak n\u00e1m na\u0161i u\u017eivatel\u00e9 pom\u00e1haj\u00ed implementovat u\u017eite\u010dn\u00e9 funkce","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ahoj, jmenuji se Kostya Kramlih, jsem vedouc\u00ed v\u00fdvoj\u00e1\u0159 odd\u011blen\u00ed Virtu\u00e1ln\u00edho Priv\u00e1tn\u00edho Cloudu ve Yandex.Cloud. Zab\u00fdv\u00e1m se virtu\u00e1ln\u00edmi s\u00edt\u011bmi a, jak asi tu\u0161\u00edte, v tomto \u010dl\u00e1nku v\u00e1m pov\u00edm o architektu\u0159e Virtu\u00e1ln\u00edho Priv\u00e1tn\u00edho Cloudu (VPC) a virtu\u00e1ln\u00ed s\u00edti jako takov\u00e9. Tak\u00e9 se dozv\u00edte, pro\u010d my, v\u00fdvoj\u00e1\u0159i t\u00e9to slu\u017eby, oce\u0148ujeme zp\u011btnou vazbu od na\u0161ich u\u017eivatel\u016f. Ale v\u0161echno p\u011bkn\u011b popo\u0159\u00e1dku.<\/p>\n

\"Jak<\/p>\n

<\/a><\/p>\n

Co je to VPC?<\/h2>\n

Dnes m\u00e1me k dispozici r\u016fzn\u00e9 mo\u017enosti pro nasazen\u00ed slu\u017eeb. Jsem si jist\u00fd, \u017ee n\u011bkdo st\u00e1le dr\u017e\u00ed server pod stolem administr\u00e1tora, i kdy\u017e douf\u00e1m, \u017ee takov\u00fdch p\u0159\u00edb\u011bh\u016f ub\u00fdv\u00e1.<\/p>\n

V sou\u010dasnosti se slu\u017eby sna\u017e\u00ed migrovat do ve\u0159ejn\u00fdch cloud\u016f, a pr\u00e1v\u011b zde se setk\u00e1vaj\u00ed s VPC. VPC je \u010d\u00e1st ve\u0159ejn\u00e9ho cloudu, kter\u00e1 spojuje u\u017eivatelsk\u00e9, infrastrukturn\u00ed, platformn\u00ed a dal\u0161\u00ed zdroje dohromady, bez ohledu na to, kde se nach\u00e1zej\u00ed, a\u0165 u\u017e v na\u0161em cloudu nebo mimo n\u011bj. VPC tak\u00e9 umo\u017e\u0148uje, abyste tyto zdroje nezve\u0159ej\u0148ovali na internetu, ale z\u016fstaly v r\u00e1mci va\u0161\u00ed izolovan\u00e9 s\u00edt\u011b.<\/p>\n

Jak vypad\u00e1 virtu\u00e1ln\u00ed s\u00ed\u0165 zven\u010d\u00ed<\/h2>\n

\"Jak<\/p>\n

V r\u00e1mci VPC rozum\u00edme p\u0159edev\u0161\u00edm overlay s\u00edti a s\u00ed\u0165ov\u00fdm slu\u017eb\u00e1m, jako jsou VPNaaS, NATaas, LBaas atd. A to v\u0161e funguje nad odolnou s\u00ed\u0165ovou infrastrukturou, o kter\u00e9 se ji\u017e psalo v\u00fdborn\u00fd \u010dl\u00e1nek<\/a> na tomto m\u00edst\u011b na Habru.<\/p>\n

Poj\u010fme se bl\u00ed\u017ee pod\u00edvat na virtu\u00e1ln\u00ed s\u00ed\u0165 a jej\u00ed strukturu.<\/p>\n

\"Jak<\/p>\n

Prozkoumejme dv\u011b z\u00f3ny dostupnosti. Poskytujeme virtu\u00e1ln\u00ed s\u00ed\u0165 \u2013 to, \u010demu \u0159\u00edk\u00e1me VPC. Ve skute\u010dnosti definuje prostor jedine\u010dnosti va\u0161ich \u201e\u0161ed\u00fdch\u201c adres. V r\u00e1mci ka\u017ed\u00e9 virtu\u00e1ln\u00ed s\u00edt\u011b pln\u011b spravujete adresn\u00ed prostor, kter\u00fd m\u016f\u017eete p\u0159i\u0159adit v\u00fdpo\u010detn\u00edm zdroj\u016fm.<\/p>\n

S\u00ed\u0165 je glob\u00e1ln\u00ed. Projikuje se do ka\u017ed\u00e9 z\u00f3ny dostupnosti jako entita s n\u00e1zvem Subnet. Pro ka\u017edou Subnet p\u0159i\u0159azujete ur\u010dit\u00e9 CIDR velikosti 16 nebo men\u0161\u00ed. V ka\u017ed\u00e9 z\u00f3n\u011b dostupnosti m\u016f\u017ee b\u00fdt v\u00edce takov\u00fdch entit, p\u0159i\u010dem\u017e mezi nimi v\u017edy existuje transparentn\u00ed routov\u00e1n\u00ed. To znamen\u00e1, \u017ee v\u0161echny va\u0161e zdroje v r\u00e1mci jedn\u00e9 VPC mohou \u201ekomunikovat\u201c navz\u00e1jem, i kdy\u017e se nach\u00e1zej\u00ed v r\u016fzn\u00fdch z\u00f3n\u00e1ch dostupnosti. \u201eKomunikuj\u00ed\u201c bez opu\u0161t\u011bn\u00ed internetov\u00fdch kan\u00e1l\u016f, po na\u0161ich intern\u00edch kan\u00e1lech, \u201emysl\u00edce\u201c, \u017ee jsou v r\u00e1mci jedn\u00e9 soukrom\u00e9 s\u00edt\u011b.<\/p>\n

Na sch\u00e9mat je uvedena typick\u00e1 situace: dv\u011b VPC, kter\u00e9 se n\u011bkde p\u0159ekr\u00fdvaj\u00ed podle adres. Ob\u011b mohou pat\u0159it v\u00e1m. Nap\u0159\u00edklad jedna pro v\u00fdvoj, druh\u00e1 \u2013 pro testov\u00e1n\u00ed. Mohou zde b\u00fdt tak\u00e9 r\u016fzn\u00ed u\u017eivatel\u00e9 \u2013 v tomto p\u0159\u00edpad\u011b je to nepodstatn\u00e9. A do ka\u017ed\u00e9 VPC je zapojena jedna virtu\u00e1ln\u00ed stroj.<\/p>\n

\"Jak<\/p>\n

Zhor\u0161ujeme sch\u00e9ma. M\u016f\u017eete to ud\u011blat tak, \u017ee jedno virtu\u00e1ln\u00ed stroj se vlo\u017e\u00ed najednou do n\u011bkolika Subnet. A ne jen tak, ale v r\u016fzn\u00fdch virtu\u00e1ln\u00edch s\u00edt\u00edch.<\/p>\n

\"Jak<\/p>\n

Pokud pot\u0159ebujete vystavit stroje na internet, m\u016f\u017eete to ud\u011blat prost\u0159ednictv\u00edm API nebo UI. K tomu je t\u0159eba nastavit p\u0159eklad NAT va\u0161eho \u201e\u0161ed\u00e9ho\u201c, vnit\u0159n\u00edho adresu na \u201eb\u00edl\u00fd\u201c \u2013 ve\u0159ejn\u00fd. \u201eB\u00edlou\u201c adresu si vybrat nem\u016f\u017eete, je p\u0159i\u0159azena n\u00e1hodn\u011b z na\u0161eho adresn\u00edho poolu. Jakmile p\u0159estanete pou\u017e\u00edvat extern\u00ed IP, vr\u00e1t\u00ed se do poolu. Plat\u00edte pouze za dobu pou\u017e\u00edv\u00e1n\u00ed \u201eb\u00edl\u00e9\u201c adresy.<\/p>\n

\"Jak<\/p>\n

Tak\u00e9 je mo\u017en\u00e9 poskytnout stroji p\u0159\u00edstup na internet pomoc\u00ed NAT-instance. Na instanci m\u016f\u017eete p\u0159esm\u011brovat provoz prost\u0159ednictv\u00edm statick\u00e9 tabulky sm\u011brov\u00e1n\u00ed. Tento p\u0159\u00edpad jsme zohlednili, proto\u017ee je pot\u0159eba u\u017eivatel\u016fm a v\u00edme o tom. V na\u0161em katalogu obraz\u016f se nach\u00e1z\u00ed speci\u00e1ln\u011b nakonfigurovan\u00fd NAT-obraz.<\/p>\n

\"Jak<\/p>\n

Ale i kdy\u017e je p\u0159ipraven\u00fd NAT-obraz, konfigurace m\u016f\u017ee b\u00fdt slo\u017eit\u00e1. Ch\u00e1pali jsme, \u017ee pro n\u011bkter\u00e9 u\u017eivatele to nen\u00ed nejpohodln\u011bj\u0161\u00ed varianta, a proto jsme nakonec zavedli mo\u017enost zapnout NAT pro konkr\u00e9tn\u00ed Subnet jedn\u00edm kliknut\u00edm. Tato funkce je zat\u00edm v uzav\u0159en\u00e9m preview p\u0159\u00edstupu, kde se testuje s pomoc\u00ed \u010dlen\u016f komunity.<\/p>\n

Jak je virtu\u00e1ln\u00ed s\u00ed\u0165 uspo\u0159\u00e1d\u00e1na zevnit\u0159<\/h2>\n

\"Jak<\/p>\n

Jak u\u017eivatel interaguje s virtu\u00e1ln\u00ed s\u00edt\u00ed? S\u00ed\u0165 se d\u00edv\u00e1 ven sv\u00fdm API. U\u017eivatel p\u0159ich\u00e1z\u00ed do API a pracuje s c\u00edlov\u00fdm stavem. Prost\u0159ednictv\u00edm API u\u017eivatel vid\u00ed, jak by m\u011blo b\u00fdt v\u0161e uspo\u0159\u00e1d\u00e1no a nastaveno, p\u0159i\u010dem\u017e vid\u00ed stav, jak moc se aktu\u00e1ln\u00ed stav li\u0161\u00ed od po\u017eadovan\u00e9ho. To je pohled u\u017eivatele. A co se d\u011bje uvnit\u0159?<\/p>\n

Z\u00e1pis po\u017eadovan\u00e9ho stavu do Yandex Database a p\u0159ech\u00e1z\u00edme k konfiguraci r\u016fzn\u00fdch \u010d\u00e1st\u00ed na\u0161\u00ed VPC. Overlay s\u00ed\u0165 v Yandex.Cloud je postavena na vybran\u00fdch komponent\u00e1ch OpenContrail, kter\u00fd se v posledn\u00ed dob\u011b naz\u00fdv\u00e1 Tungsten Fabric. S\u00ed\u0165ov\u00e9 slu\u017eby jsou realizov\u00e1ny na jedn\u00e9 platform\u011b CloudGate. V CloudGate jsme tak\u00e9 pou\u017eili ur\u010dit\u00e9 mno\u017estv\u00ed open source komponent\u016f: GoBGP \u2013 pro dotazov\u00e1n\u00ed na kontroln\u00ed informace, a tak\u00e9 VPP \u2013 pro realizaci programov\u00e9ho routeru, funguj\u00edc\u00edho nad DPDK pro data path.<\/p>\n

Tungsten Fabric komunikuje s CloudGate p\u0159es GoBGP. Informuje o tom, co se d\u011bje v overlay s\u00edti. CloudGate zase propojuje overlay s\u00edt\u011b navz\u00e1jem a s internetem.<\/p>\n

\"Jak<\/p>\n

Nyn\u00ed se pod\u00edvejme, jak virtu\u00e1ln\u00ed s\u00ed\u0165 \u0159e\u0161\u00ed probl\u00e9my s \u0161k\u00e1lov\u00e1n\u00edm a dostupnost\u00ed. Pod\u00edv\u00e1me se na jednoduch\u00fd p\u0159\u00edpad. M\u00e1me jednu z\u00f3nu dostupnosti, ve kter\u00e9 jsou vytvo\u0159eny dv\u011b VPC. Nasadili jsme jeden instance Tungsten Fabric, kter\u00e1 pojme n\u011bkolik des\u00edtek tis\u00edc s\u00edt\u00ed. S\u00edt\u011b jsou spojeny s CloudGate. CloudGate, jak u\u017e jsme \u0159ekli, zaji\u0161\u0165uje jejich propojen\u00ed mezi sebou a s internetem.<\/p>\n

\"Jak<\/p>\n

P\u0159edpokl\u00e1dejme, \u017ee se p\u0159id\u00e1v\u00e1 druh\u00e1 z\u00f3na dostupnosti. Ta by m\u011bla b\u00fdt pln\u011b nez\u00e1visl\u00e1 na prvn\u00ed. Proto mus\u00edme ve druh\u00e9 z\u00f3n\u011b dostupnosti nasadit samostatnou instanci Tungsten Fabric. Bude to samostatn\u00fd syst\u00e9m, kter\u00fd se star\u00e1 o overlay a m\u00e1 m\u00e1lo informac\u00ed o prvn\u00ed syst\u00e9mu. A viditelnost, \u017ee na\u0161e virtu\u00e1ln\u00ed s\u00ed\u0165 je glob\u00e1ln\u00ed, vlastn\u011b vytv\u00e1\u0159\u00ed n\u00e1\u0161 VPC API. To je jeho \u00fakol.<\/p>\n

VPC1 se prom\u00edt\u00e1 do z\u00f3ny dostupnosti B, pokud v z\u00f3n\u011b dostupnosti B jsou zdroje, kter\u00e9 se p\u0159ipojuj\u00ed k VPC1. Pokud v z\u00f3n\u011b dostupnosti B nejsou \u017e\u00e1dn\u00e9 zdroje z VPC2, VPC2 v t\u00e9to z\u00f3n\u011b nematerializujeme. Naopak, proto\u017ee zdroje z VPC3 existuj\u00ed pouze v z\u00f3n\u011b B, VPC3 nen\u00ed v z\u00f3n\u011b A. V\u0161echno je jednoduch\u00e9 a logick\u00e9.<\/p>\n

Poj\u010fme se pod\u00edvat hloub\u011bji a zjistit, jak je konkr\u00e9tn\u00ed host v Yandex.Cloud uspo\u0159\u00e1d\u00e1n. Hlavn\u00ed, co chceme zd\u016fraznit, je, \u017ee v\u0161echny hosty jsou uspo\u0159\u00e1d\u00e1ny stejn\u011b. D\u011bl\u00e1me to tak, \u017ee pouze nezbytn\u00e9 minimum slu\u017eeb b\u011b\u017e\u00ed na '\u017eeleze', v\u0161echny ostatn\u00ed funguj\u00ed na virtual machines<\/a>. Budujeme slu\u017eby vy\u0161\u0161\u00ed \u00farovn\u011b na z\u00e1klad\u011b z\u00e1kladn\u00edch infrastrukturn\u00edch slu\u017eeb a tak\u00e9 vyu\u017e\u00edv\u00e1me Cloud pro \u0159e\u0161en\u00ed n\u011bkter\u00fdch in\u017een\u00fdrsk\u00fdch \u00fakol\u016f, nap\u0159\u00edklad v r\u00e1mci Continuous Integration.<\/p>\n

\"Jak<\/p>\n

Pod\u00edv\u00e1me-li se na konkr\u00e9tn\u00ed hostitel, uvid\u00edme, \u017ee na hostitelsk\u00e9m syst\u00e9mu b\u011b\u017e\u00ed t\u0159i komponenty:<\/p>\n