Како Иандек.Цлоуд ради са виртуелним приватним облаком и како нам наши корисници помажу да применимо корисне функције

Здраво, моје име је Костиа Крамликх, ја сам водећи програмер одељења виртуелног приватног облака у Иандек.Цлоуд. Ја сам виртуелни мрежни корисник и као што можете да претпоставите, у овом чланку ћу говорити о виртуелном приватном облаку (ВПЦ) уопште и виртуелној мрежи посебно. Такође ћете сазнати зашто ми, програмери услуге, ценимо повратне информације наших корисника. Али прво ствари.

Шта је ВПЦ?

Данас постоје различите опције за постављање услуга. Сигуран сам да неко још увек држи сервер испод администраторског стола, мада се надам да ће таквих прича бити мање.

Сада услуге покушавају да оду у јавне облаке, и ту се сударају са ВПЦ-овима. ВПЦ је део јавног облака који повезује кориснике, инфраструктуру, платформу и друге капацитете, где год да се налазе, у нашем облаку или ван њега. У исто време, ВПЦ вам омогућава да ове капацитете не излажете непотребно Интернету, они остају унутар ваше изоловане мреже.

Како виртуелна мрежа изгледа споља?

Под ВПЦ-ом првенствено мислимо на преклапајућу мрежу и мрежне услуге, као што су ВПНааС, НАТаас, ЛБаас, итд. И све ово функционише на врху мрежне инфраструктуре отпорне на грешке, која је већ била сјајан чланак овде, на Хабреу.

Хајде да ближе погледамо виртуелну мрежу и њен уређај.

Размотрите две зоне доступности. Пружамо виртуелну мрежу - оно што смо назвали ВПЦ. У ствари, он дефинише простор јединствености ваших „сивих“ адреса. Унутар сваке виртуелне мреже имате потпуну контролу над простором адреса које можете да доделите рачунарским ресурсима.

Мрежа је глобална. Истовремено се пројектује на сваку од зона доступности у облику ентитета који се зове подмрежа. За сваку подмрежу додељујете ЦИДР величине 16 или мање. У свакој зони доступности може бити више од једног таквог ентитета, а између њих увек постоји транспарентно рутирање. То значи да сви ваши ресурси унутар истог ВПЦ-а могу да „разговарају” једни са другима, чак и ако се налазе у различитим зонама доступности. „Комуницирајте“ без приступа Интернету, преко наших интерних канала, „мислећи“ да су унутар исте приватне мреже.

Горњи дијаграм приказује типичну ситуацију: два ВПЦ-а која се укрштају негде у адресама. И једно и друго може бити твоје. На пример, један за развој, други за тестирање. Можда једноставно постоје различити корисници - у овом случају то није важно. И једна виртуелна машина је прикључена на сваки ВПЦ.

Хајде да погоршамо шему. Можете направити тако да једна виртуелна машина буде заглављена у неколико подмрежа одједном. И то не само тако, већ у различитим виртуелним мрежама.

У исто време, ако треба да изложите машине на Интернет, то се може урадити преко АПИ-ја или корисничког интерфејса. Да бисте то урадили, потребно је да конфигуришете НАТ превод ваше „сиве“, интерне адресе, у „белу“ - јавно. Не можете да изаберете „белу“ адресу, она се додељује насумично из нашег скупа адреса. Чим престанете да користите спољну ИП адресу, она се враћа у скуп. Плаћате само време коришћења „беле“ адресе.

Такође је могуће дати машини приступ Интернету помоћу НАТ инстанце. Можете да усмерите саобраћај ка инстанци преко статичке табеле рутирања. Ми смо обезбедили такав случај, јер је корисницима понекад потребан, а знамо за то. Сходно томе, наш каталог слика садржи посебно конфигурисану НАТ слику.

Али чак и када постоји спремна НАТ слика, подешавање може бити тешко. Схватили смо да за неке кориснике ово није најпогоднија опција, па смо на крају омогућили да једним кликом омогућимо НАТ за жељену подмрежу. Ова функција је још увек у затвореном приступу за преглед, где се тестира уз помоћ чланова заједнице.

Како је виртуелна мрежа уређена изнутра

Како корисник комуницира са виртуелном мрежом? Веб изгледа споља са својим АПИ-јем. Корисник долази до АПИ-ја и ради са циљним стањем. Преко АПИ-ја корисник види како све треба да буде уређено и конфигурисано, док види статус, колико се стварно стање разликује од жељеног. Ово је слика корисника. Шта се дешава унутра?

Записујемо жељено стање у Иандек базу података и идемо да конфигуришемо различите делове нашег ВПЦ-а. Мрежа преклапања у Иандек.Цлоуд-у је заснована на одабраним компонентама ОпенЦонтраил-а, који је недавно назван Тунгстен Фабриц. Мрежне услуге су имплементиране на једној ЦлоудГате платформи. У ЦлоудГате-у смо такође користили бројне компоненте отвореног кода: ГоБГП – за приступ информацијама о контроли, као и ВПП – за имплементацију софтверског рутера који ради на врху ДПДК-а за путању података.

Тунгстен Фабриц комуницира са ЦлоудГате-ом преко ГоБГП-а. Говори шта се дешава у мрежи преклапања. ЦлоудГате, заузврат, повезује мреже преклапања једна са другом и са Интернетом.

Сада да видимо како виртуелна мрежа решава проблеме скалирања и доступности. Хајде да размотримо једноставан случај. Постоји једна зона доступности и у њој се креирају два ВПЦ-а. Поставили смо једну Тунгстен Фабриц инстанцу и она повлачи неколико десетина хиљада мрежа. Мреже комуницирају са ЦлоудГате-ом. ЦлоудГате, као што смо већ рекли, обезбеђује њихову повезаност међусобно и са Интернетом.

Рецимо да је додата друга зона доступности. Требало би да пропадне потпуно независно од првог. Стога, у другој зони доступности, морамо инсталирати засебну инстанцу Тунгстен Фабриц. Ово ће бити посебан систем који се бави преклапањем и мало зна о првом систему. А видљивост да је наша виртуелна мрежа глобална, у ствари, ствара наш ВПЦ АПИ. Ово је његов задатак.

ВПЦ1 је мапиран у зону доступности Б ако постоје ресурси у зони доступности Б који су гурнути у ВПЦ1. Ако нема ресурса из ВПЦ2 у зони доступности Б, нећемо материјализовати ВПЦ2 у овој зони. Заузврат, пошто ресурси из ВПЦ3 постоје само у зони Б, ВПЦ3 не постоји у зони А. Све је једноставно и логично.

Хајдемо мало дубље и видимо како функционише одређени хост у И.Цлоуд-у. Оно што желим да напоменем је да су сви домаћини распоређени на исти начин. Направили смо тако да само неопходни минимум услуга ради на хардверу, а сви остали на виртуелним машинама. Градимо услуге вишег реда засноване на основним инфраструктурним услугама, а такође користимо Цлоуд за решавање неких инжењерских проблема, на пример, у оквиру континуиране интеграције.

Ако погледамо одређени хост, можемо видети да постоје три компоненте које раде на ОС хосту:

• Рачунање - део одговоран за дистрибуцију рачунарских ресурса на хосту.
• ВРоутер је део Тунгстен Фабриц-а који организује прекривање, односно тунелира пакете кроз подлогу.
• ВДискови су комади виртуелизације складишта.

Поред тога, сервиси се покрећу у виртуелним машинама: Цлоуд инфраструктурне услуге, платформске услуге и капацитети корисника. Капацитети корисника и услуге платформе увек иду на преклапање преко ВРоутера.

Инфраструктурне услуге могу да се држе у слоју, али у основи желе да раде у подлози. Заглављени су у подлогу уз помоћ СР-ИОВ. У ствари, ми сечемо картицу на виртуелне мрежне картице (виртуелне функције) и гурамо их у инфраструктурне виртуелне машине како не бисмо изгубили перформансе. На пример, исти ЦлоудГате се покреће као једна од ових инфраструктурних виртуелних машина.

Сада када смо описали глобалне задатке виртуелне мреже и структуру основних компоненти облака, да видимо како тачно различити делови виртуелне мреже међусобно комуницирају.

Разликујемо три слоја у нашем систему:

• Цонфиг Плане - поставља циљно стање система. Ово је оно што корисник конфигурише преко АПИ-ја.
• Контролна раван - обезбеђује семантику дефинисану од стране корисника, односно доводи стање равни података на оно што је корисник описао у Цонфиг плане.
• Раван података – директно обрађује пакете корисника.

Као што сам рекао горе, све почиње чињеницом да корисник или услуга интерне платформе долази до АПИ-ја и описује одређено циљно стање.

Ово стање се одмах уписује у Иандек базу података, враћа ИД асинхроне операције преко АПИ-ја и покреће нашу интерну машинерију да врати стање које је корисник желео. Задаци конфигурације иду на СДН контролер и говоре Тунгстен Фабриц шта да ради у преклапању. На пример, резервишу портове, виртуелне мреже и слично.

Конфигурациона раван у Тунгстен Фабриц шаље потребно стање контролној равни. Преко њега, Цонфиг Плане комуницира са домаћинима, говорећи шта ће се тачно окретати на њима ускоро.

Сада да видимо како систем изгледа на домаћинима. Виртуелна машина има мрежни адаптер прикључен на ВРоутер. ВРоутер је основни модул Тунгстен Фабриц који гледа пакете. Ако већ постоји ток за неки пакет, модул га обрађује. Ако нема протока, модул врши такозвани пунтинг, односно шаље пакет у усермод процес. Процес анализира пакет и или сам одговара на њега, као што су ДХЦП и ДНС, или говори ВРоутер-у шта да ради са њим. Након тога, ВРутер може да обради пакет.

Даље, саобраћај између виртуелних машина унутар исте виртуелне мреже иде транспарентно, није усмерен на ЦлоудГате. Хостови на којима су распоређене виртуелне машине комуницирају директно једни са другима. Они тунелирају саобраћај и прослеђују га једно за друго кроз подлогу.

Контролне равни комуницирају једна са другом између зона доступности преко БГП-а, као са другим рутером. Они говоре које машине се налазе где су тако да ВМ у једној зони могу директно да комуницирају са другим ВМ-овима.

А Цонтрол Плане комуницира са ЦлоудГате-ом. Слично, извештава где и које виртуелне машине су подигнуте, које адресе имају. Ово вам омогућава да усмерите спољни саобраћај и саобраћај са балансера на њих.

Саобраћај који напушта ВПЦ долази до ЦлоудГате-а, до путање података, где се ВПП са нашим додацима брзо сажваће. Затим се саобраћај покреће или на друге ВПЦ-ове или ван, на граничне рутере који су конфигурисани преко контролне равни самог ЦлоудГате-а.

Планови за блиску будућност

Ако све речено сумирамо у неколико реченица, можемо рећи да ВПЦ у Иандек.Цлоуд решава два важна задатка:

• Обезбеђује изолацију између различитих клијената.
• Комбинује ресурсе, инфраструктуру, услуге платформе, друге облаке и локалну мрежу у једну мрежу.

А да бисте добро решили ове проблеме, потребно је да обезбедите скалабилност и толеранцију грешака на нивоу интерне архитектуре, што ВПЦ ради.

Постепено ВПЦ добија функције, имплементирамо нове функције, покушавамо да побољшамо нешто у смислу погодности корисника. Неке идеје се износе и долазе на листу приоритета захваљујући члановима наше заједнице.

Тренутно имамо следећу листу планова за блиску будућност:

• ВПН као услуга.
• Приватне ДНС инстанце су слике за брзо подешавање виртуелних машина са унапред конфигурисаним ДНС сервером.
• ДНС као услуга.
• Интерни балансер оптерећења.
• Додавање "беле" ИП адресе без поновног креирања виртуелне машине.

Балансер и могућност промене ИП адресе за већ креирану виртуелну машину нашли су се на овој листи на захтев корисника. Да будем искрен, без експлицитне повратне информације, преузели бисмо ове функције мало касније. И тако већ радимо на проблему са адресама.

У почетку, "бела" ИП адреса је могла да се дода само приликом креирања машине. Ако је корисник заборавио да то уради, виртуелна машина је морала да се поново креира. Исто и, ако је потребно, уклоните спољну ИП адресу. Ускоро ће бити могуће укључити и искључити јавну ИП адресу без потребе да поново креирате машину.

Слободно изразите своје идеје и сугестије за подршку другим корисницима. Помажете нам да побољшамо Цлоуд и брже добијемо важне и корисне функције!

Извор: ввв.хабр.цом