![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/62b3d222c1911fb28a345defdd81135c.jpeg\")
<\/p>\nTere, minu nimi on Kostja Kramlih, olen Yandex.Cloudi Virtuaalse Eraklubi arenduse juht. Tegelen virtuaalse v\u00f5rguga ja nagu v\u00f5ite arvata, r\u00e4\u00e4gin selles artiklis Virtuaalse Eraklubi (VPC) toimimisest \u00fcldiselt ja virtuaalsest v\u00f5rgust spetsiifiliselt. Samuti saate teada, miks me, teenuse arendajad, hindame tagasisidet meie kasutajatelt. Aga k\u00f5igest j\u00e4rgem\u00f6\u00f6da.<\/p>\n
<\/p>\n
<\/a><\/p>\n T\u00e4nap\u00e4eval on teenuste k\u00e4ivitamiseks palju erinevaid v\u00f5imalusi. Olen kindel, et keegi hoiab endiselt serverit administraatori laua all, kuigi loodan, et selliseid lugusid j\u00e4\u00e4b j\u00e4rjest v\u00e4hemaks.<\/p>\n Praegu p\u00fc\u00fcdlevad teenused avalikkusesse pilvedesse ja just seal nad puutuvad VPC-ga kokku. VPC on osa avalikust pilvest, mis \u00fchendab kasutajate, infrastruktuuri, platvormi ja muid ressurssi olenemata nende asukohast, meie pilves v\u00f5i v\u00e4ljaspool seda. Samuti v\u00f5imaldab VPC neid ressursse internetti mittav\u00e4lja n\u00e4idata, need j\u00e4\u00e4vad teie isoleeritud v\u00f5rku.<\/p>\n VPC all m\u00f5istame eelk\u00f5ige katvust ja v\u00f5rguteenuseid nagu VPNaaS, NATaas, LBaas jne. Ja k\u00f5ik see t\u00f6\u00f6tab usaldusv\u00e4\u00e4rse v\u00f5rgu infrastruktuuri peal, millest on juba juttu olnud suurep\u00e4rane artikkel<\/a> siin, Habr'is.<\/p>\n Vaatame virtuaalset v\u00f5rku ja selle \u00fclesehitust l\u00e4hemalt.<\/p>\n Vaatame kaht k\u00e4ttesaadavuse tsooni. Pakume virtuaalset v\u00f5rgulahendust \u2013 seda, mida nimetame VPC-ks. Tegelikult m\u00e4\u00e4ratleb see teie \"hallide\" aadresside ainulaadsuse ruumi. Igas virtuaalses v\u00f5rgus juhite t\u00e4ielikult aadresside ruumi, mida v\u00f5ite m\u00e4\u00e4rata arvutusressurssidele.<\/p>\n V\u00f5rk on globaalne. Samuti projitseeritakse see k\u00f5igile k\u00e4ttesaadavuse tsoonidele Subneti nime all. Iga Subneti jaoks m\u00e4\u00e4rate mingi CIDR suurusega 16 v\u00f5i v\u00e4hem. Igas k\u00e4ttesaadavuse tsoonis v\u00f5ib olla rohkem kui \u00fcks selline \u00fcksus, olles samas alati l\u00e4bipaistva marsruudiga. See t\u00e4hendab, et k\u00f5ik teie ressursid \u00fche VPC piires saavad omavahel \"suhelda\", isegi kui nad asuvad erinevates k\u00e4ttesaadavuse tsoonides. \"Suhelda\" ilma internetti sisenemata, meie sisekanaleid pidi, \"m\u00f5eldes\", et nad asuvad \u00fches privaatv\u00f5rgus.<\/p>\n \u00dclaltoodud skeem n\u00e4itab t\u00fc\u00fcpilist olukorda: kaks virtuaalset privaatv\u00f5rku (VPC), mis asuvad aadresside poolest osaliselt kattuvad. M\u00f5lemad v\u00f5ivad kuuluda teile. N\u00e4iteks \u00fcks arenduseks, teine testimiseks. Need v\u00f5ivad olla ka lihtsalt erinevad kasutajad - sel juhul pole see oluline. Ja iga VPC-s on \u00fcks virtuaalmasin.<\/p>\n Skeemi keerulisemaks muutmiseks on v\u00f5imalik seadistada nii, et \u00fcks virtuaalmasin oleks \u00fchendatud mitme alamv\u00f5rguga. Ja mitte lihtsalt, vaid erinevates virtuaalsetes v\u00f5rkudes.<\/p>\n Kui teil on vaja masinaid internetti suunata, saate seda teha l\u00e4bi API v\u00f5i kasutajaliidese. Selleks on vajalik seadistada NAT-\u00fclevaade teie \u201ehall\u201c sisemine aadress avalikuks \u201evalgeks\u201c aadressiks. Te ei saa valida \u201evalget\u201c aadressi, see m\u00e4\u00e4ratakse juhuslikult meie aadresside hulgast. Kui te enam ei kasuta v\u00e4liseid IP-aadresse, tagastatakse need tagasi hulka. Te maksate ainult \u201evalge\u201c aadressi kasutamise aja eest.<\/p>\n Samuti on v\u00f5imalik anda masinale interneti ligip\u00e4\u00e4s NAT-instrumendi abil. Trafficit saab suunata l\u00e4bi staatilise marsruutimise tabeli. Oleme sellise juhtumi jaoks ette n\u00e4inud lahenduse, kuna teame, et see on m\u00f5nedele kasutajatele vajalik. Seega on meie pildikataloogis spetsiaalselt konfigureeritud NAT-pilt.<\/p>\n Kuid isegi kui NAT-pilt on olemas, v\u00f5ib seadistamine olla keeruline. Me m\u00f5istsime, et see ei ole m\u00f5ne kasutaja jaoks k\u00f5ige mugavam valik, seet\u00f5ttu tegime l\u00f5puks v\u00f5imaluse lubada NAT soovitud alamv\u00f5rgus \u00fche kl\u00f5psuga. See funktsioon on praegu veel suletud eelvaates, kus seda testitakse kogukonna liikmete abil.<\/p>\n Kuidas kasutaja virtuaalse v\u00f5rguga suhtleb? V\u00f5rk vaatab v\u00e4ljapoole oma API kaudu. Kasutaja k\u00fclastab API-d ja t\u00f6\u00f6tab sihtolekuga. API kaudu n\u00e4eb kasutaja, kuidas k\u00f5ik peaks olema seadistatud ja korraldatud, samal ajal kui ta n\u00e4eb olekut, kui palju tegelik seisukord erineb soovitud seisundist. See on kasutaja pilt. Mis toimub sees?<\/p>\n Me salvestame soovitud oleku Yandex Database'i ja l\u00e4heme konfigureerima erinevaid osi meie VPC-st. \u00dclekatte v\u00f5rgustik Yandex.Cloudis on \u00fcles ehitatud valitud komponentidele OpenContrail, mis viimasel ajal kannab nime Tungsten Fabric. V\u00f5rguteenuseid pakutakse \u00fchel platvormil CloudGate. CloudGate'is kasutasime ka m\u00f5ningaid avatud l\u00e4htekoodiga komponente: GoBGP kontrollinformatsiooni saamiseks ja VPP programmihalduri teostamiseks, mis t\u00f6\u00f6tab DPDK peal andmepath'i jaoks.<\/p>\n Tungsten Fabric suhtleb CloudGate'iga l\u00e4bi GoBGP. See selgitab, mis meie \u00fclekatte v\u00f5rgus toimub. CloudGate omakorda seob \u00fclekatte v\u00f5rgud \u00fcksteisega ja internetiga.<\/p>\n N\u00fc\u00fcd vaatame, kuidas virtuaalne v\u00f5rk lahendab skaleerimise ja k\u00e4ttesaadavuse probleeme. Vaatame lihtsat juhtumit. On \u00fcks k\u00e4ttesaadavusala ja seal on loodud kaks VPC-d. Me oleme juurinud \u00fche Tungsten Fabric'i instantsi, mis haldab mitu k\u00fcmmet tuhat v\u00f5rgustikku. V\u00f5rgud on seotud CloudGate'iga. CloudGate, nagu juba \u00fctlesime, tagab nende omavahelise ja interneti vahelise \u00fchenduse.<\/p>\n Oletame, et lisandub teine k\u00e4ttesaadavusala. See peab olema t\u00e4iesti s\u00f5ltumatu esimesest. Seega peame teises k\u00e4ttesaadavusalas seadma eraldi Tungsten Fabric'i instantsi. See on eraldi s\u00fcsteem, mis tegeleb \u00fclekattega ja teab v\u00e4he esimese s\u00fcsteemi kohta. Ja just see, et meie virtuaalne v\u00f5rk on globaalne, loob meie VPC API. See on tema \u00fclesanne.<\/p>\n VPC1 projektiitub k\u00e4ttesaadavusala B, kui k\u00e4ttesaadavusala B-s on ressursid, mis on \u00fchendatud VPC1-ga. Kui k\u00e4ttesaadavusala B-s pole VPC2 ressursse, ei materialiseeri VPC2 selles alas. Omakorda, kuna VPC3 ressursid eksisteerivad ainult alal B, ei ole VPC3 alal A. K\u00f5ik on lihtne ja loogiline.<\/p>\n Vaatame n\u00fc\u00fcd natuke l\u00e4hemalt, kuidas konkreetne host on korraldatud Yandex.Cloudis. Peamine, mida tahaksin m\u00e4rkida, on see, et k\u00f5ik hostid on \u00fcles ehitatud \u00fchtemoodi. Me teeme nii, et ainult vajalik minimaalne teenuste hulk t\u00f6\u00f6tab \"rauda\" peal, k\u00f5ik teised toimivad virtuaalmasinaid<\/a>. Me ehitame k\u00f5rgema taseme teenuseid p\u00f5hitehnilise infrastruktuuri teenuste baasil ning kasutame Pilve, et lahendada m\u00f5ningaid insenerimisprobleeme, n\u00e4iteks pideva integreerimise raames.<\/p>\n Kui vaatame konkreetset hosti, n\u00e4eme, et hosti operatsioonis\u00fcsteemis t\u00f6\u00f6tavad kolm komponenti:<\/p>\n Lisaks on virtuaalmasinaid<\/a> k\u00e4ivitatud teenused: infrastruktuuri teenused Pilves, platvormiteenused ja klientide v\u00f5imsused. Klientide v\u00f5imsused ja platvormiteenused kulgevad alati \u00fclekatte kaudu VRouteri kaudu.<\/p>\n Infrastruktuuri teenused v\u00f5ivad \u00fchendada \u00fclekattega, kuid soovivad peamiselt t\u00f6\u00f6tada just aluskihis. Aluskihis \u00fchendavad nad end SR-IOV kaudu. Tegelikult l\u00f5ikame kaardi virtuaalseteks v\u00f5rgu kaartideks (virtuvaalsed funktsioonid) ja sisestame need infrastruktuuri virtuaalmasinatesse, et mitte kaotada j\u00f5udlust. N\u00e4iteks on sama CloudGate k\u00e4ivitatud \u00fche sellise infrastruktuuri virtuaalmasina kujul.<\/p>\n N\u00fc\u00fcd, kui oleme kirjeldanud virtuaalse v\u00f5rgu globaalseid \u00fclesandeid ja pilve p\u00f5hikomponentide \u00fclesehitust, vaatame, kuidas erinevad virtuaalse v\u00f5rgu osad omavahel suhtlevad.<\/p>\n Me eraldame oma s\u00fcsteemis kolm kihti:<\/p>\n Kuidas ma juba eespool mainisin, k\u00f5ik algab sellest, et kasutaja v\u00f5i sisemine platvormiteenus p\u00f6\u00f6rdub API poole ja kirjeldab teatud sihtolekut.<\/p>\n See olek salvestatakse kohe Yandex Database'i, tagastab API kaudu as\u00fcnkroonse operatsiooni ID ja k\u00e4ivitab meie sisemise mehhanismi, et anda kasutaja soovitud olek. Konfigureerimis\u00fclesanded l\u00e4hevad SDN-kontrollerisse ja \u00fctlevad Tungsten Fabricile, mida on vaja teha \u00fclekatte kaudu. N\u00e4iteks broneerivad nad porte, virtuaalv\u00f5rke ja nii edasi.<\/p>\n Config Plane Tungsten Fabricis edastab Control Plane'i vajalikku olekut. Selle kaudu suhtleb Config Plane hostidega, \u00f6eldes neile, mis t\u00e4pselt neis peagi t\u00f6\u00f6le hakkab.<\/p>\n N\u00fc\u00fcd vaatame, milline s\u00fcsteem hostides v\u00e4lja n\u00e4eb. V virtuaalses masinas<\/a> on olemas v\u00f5rgukaart, mis on \u00fchendatud VRouteriga. VRouter on Tungsten Fabriku tuumamoodul, mis j\u00e4lgib pakette. Kui mingil paketil on juba flow, siis t\u00f6\u00f6tleb moodul seda. Kui flow-d ei ole, siis teeb moodul nii nimetatud punting'i, saates paketi kasutajare\u017eiimi protsessi. Protsess anal\u00fc\u00fcsib paketti ja kas vastab sellele ise, n\u00e4iteks DHCP ja DNS-i puhul, v\u00f5i \u00fctleb VRouterile, mida selle paketiga teha. P\u00e4rast seda saab VRouter paketti t\u00f6\u00f6delda.<\/p>\n Edasi liigub liiklus virtuaalmasinate vahel \u00fche virtuaalv\u00f5rgu piires l\u00e4bipaistvalt, see ei suunata CloudGate'i. Hostid, millel virtuaalmasinad on juurutatud, suhtlevad omavahel otse. Nad tunnelivad liiklust ja edastavad seda \u00fcksteisele l\u00e4bi aluse.<\/p>\n Control Plane suhtleb omavahel k\u00e4ttesaadavuse tsoonides BGP kaudu, nagu teise ruutijaga. Nad teatavad, millised masinad on kus \u00fcles t\u00f5stetud, nii et virtuaalmasinad \u00fches tsoonis saaksid otse suhelda teiste virtuaalmasinatega.<\/p>\n Ja Control Plane suhtleb ka CloudGate'iga. Samuti teatab, kus ja millised virtuaalmasinad on \u00fcles t\u00f5stetud ja millised on nende aadressid. See v\u00f5imaldab suunata nendele v\u00e4list liiklust ja liiklust tasakaalustajatelt.<\/p>\n Liiklus, mis v\u00e4ljub VPC-st, j\u00f5uab CloudGate'i, andmete teele, kus VPP koos meie pistikutega kiiresti t\u00f6\u00f6tleb. Edasi suunatakse liiklus kas teistesse VPC-desse v\u00f5i v\u00e4ljapoole, piiriruutijatele, mis konfigureeritakse CloudGate'i Control Plane'i kaudu.<\/p>\n Kokkuv\u00f5tlikult v\u00f5ib \u00f6elda, et VPC Yandex.Cloudis lahendab kaks olulist \u00fclesannet:<\/p>\n Ja et neid \u00fclesandeid h\u00e4sti lahendada, tuleb tagada skaleeritavus ja talitlush\u00e4ireteta toimimine sisemise arhitektuuri tasemel, mida VPC ka teeb.<\/p>\n Aja jooksul VPC rikastub funktsioonidega, rakendame uusi v\u00f5imalusi ja p\u00fc\u00fcame pidevalt midagi kasutajate mugavuse osas parandada. M\u00f5ned ideed s\u00f5nastatakse ja j\u00f5uavad prioriteetide nimekirja meie kogukonna liikmete kaudu.<\/p>\n Praegu on meil umbes selline plaanide nimekiri l\u00e4hitulevikuks:<\/p>\n Koormuse tasakaalustaja ja v\u00f5imalus vahetada IP-aadressi juba loodud virtuaalmaja jaoks said sellele nimekirjale kasutajate p\u00e4ringu t\u00f5ttu. Pean tunnistama, et ilma selgete tagasisideteta oleksime nende funktsioonide kallal t\u00f6\u00f6tamisega m\u00f5nev\u00f5rra hiljem alustanud. N\u00fc\u00fcd t\u00f6\u00f6tame juba \u00fclesande kallal aadresside osas.<\/p>\n Alguses sai valge IP-aadressi lisada ainult masina loomise hetkel. Kui kasutaja unustas seda teha, tuli virtuaalne masin uuesti luua. Sama kehtib ka v\u00e4lishi ning eemaldamise vajaduse korral. Peagi saab avalikku IP-d sisse ja v\u00e4lja l\u00fclitada ilma masinat uuesti loomata.<\/p>\n \u00c4rge kartke jagada oma ideid ja toetada teiste kasutajate ettepanekuid. Aitate meil muuta Pilve paremaks ja saate kiiremini olulisi ja kasulikke funktsioone!<\/a> Tere, minu nimi on Kostja Kramlih, olen Jandexi Pilve Virtuaalse Erasektori juhtiv arendaja.<\/p>\nMis on VPC?<\/h2>\n
Kuidas n\u00e4eb virtuaalne v\u00f5rk v\u00e4lja v\u00e4ljastpoolt<\/h2>\n
![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/073a0cbac0e733decd8a4e6ffd9570ff.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/b1b7a15912f9c7995663ab9943d473f1.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/73e872a4f6c3e19576db4e4980d62a45.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/cc4ab2c7553d63ef2636924df1575479.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/c2375fd6d0fb7b55ca55787adf505229.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/744ac3bdd2f388bab2597d6fe1519d76.jpeg\")
<\/p>\nKuidas virtuaalne v\u00f5rk seestpoolt toimib<\/h2>\n
![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/71cab3ae7f067f165a87e30c60559794.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/222d68fff4b9577f316c8642e846172e.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/4da02ba041dcd886eee212dd8998718c.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/4664bd03793ba394ceda1f8214fa2c16.jpeg\")
<\/p>\n\n
\n
![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/644cddfa8bce83a501bf4788a21f9588.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/c2c6e443c93f8dedc6a63e4bd3fd7042.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/2139361a9e1837c7bc7f156e8bc36d38.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/1247f20fa2a12f093d7f1d2361d48a02.jpeg\")
<\/p>\n![\"Kuidas](\"\/wp-content\/uploads\/2020\/02\/f70cd562220c7367e29597d8e8b62f81.jpeg\")
<\/p>\nPlaane l\u00e4hitulevikuks<\/h2>\n
\n
\n