![\"Hur](\"\/wp-content\/uploads\/2020\/02\/62b3d222c1911fb28a345defdd81135c.jpeg\")
<\/p>\nHej, jag heter Kostya Kramlih och jag \u00e4r ledande utvecklare inom Virtual Private Cloud-sektionen p\u00e5 Yandex.Cloud. Jag arbetar med virtuella n\u00e4tverk, och som du kanske kan gissa kommer jag i den h\u00e4r artikeln att ber\u00e4tta om hur Virtual Private Cloud (VPC) \u00e4r organiserat i stort och virtuella n\u00e4tverk i synnerhet. Dessutom kommer du att f\u00e5 veta varf\u00f6r vi, tj\u00e4nsteutvecklarna, v\u00e4rderar feedback fr\u00e5n v\u00e5ra anv\u00e4ndare. Men l\u00e5t oss ta det steg f\u00f6r steg.<\/p>\n
<\/p>\n
<\/a><\/p>\n Numera finns det m\u00e5nga olika m\u00f6jligheter f\u00f6r att drifts\u00e4tta tj\u00e4nster. Jag \u00e4r s\u00e4ker p\u00e5 att det fortfarande finns n\u00e5gon som har en server under administrat\u00f6rens skrivbord, \u00e4ven om jag hoppas att s\u00e5dana historier blir allt f\u00e4rre.<\/p>\n Nu str\u00e4var tj\u00e4nster efter att flytta till offentliga moln, och h\u00e4r st\u00f6ter de p\u00e5 VPC. VPC \u00e4r en del av det offentliga molnet som sammanfogar anv\u00e4ndarens, infrastrukturella, plattforms- och andra resurser, oavsett var de finns, i v\u00e5rt moln eller utanf\u00f6r det. Samtidigt g\u00f6r VPC det m\u00f6jligt att inte exponera dessa resurser p\u00e5 internet utan att det \u00e4r n\u00f6dv\u00e4ndigt, de f\u00f6rblir inom ditt avskilda n\u00e4tverk.<\/p>\n Med VPC menar vi f\u00f6rst och fr\u00e4mst ett overlay-n\u00e4tverk och n\u00e4tverkstj\u00e4nster s\u00e5som VPNaaS, NATaas, LBaas, etc. Och allt detta fungerar ovanp\u00e5 en felresistent n\u00e4tverksinfrastruktur som redan har diskuterats en utm\u00e4rkt artikel<\/a> h\u00e4r p\u00e5 Habr.<\/p>\n L\u00e5t oss ta en n\u00e4rmare titt p\u00e5 det virtuella n\u00e4tverket och dess struktur.<\/p>\n Vi ska titta p\u00e5 tv\u00e5 tillg\u00e4nglighetszoner. Vi tillhandah\u00e5ller ett virtuellt n\u00e4tverk \u2013 det vi kallar VPC. Faktiskt definierar det utrymmet f\u00f6r unika \"gr\u00e5\" adresser. Inom varje virtuellt n\u00e4tverk har du full kontroll \u00f6ver adresserna som du kan tilldela ber\u00e4kningsresurser.<\/p>\n N\u00e4tverket \u00e4r globalt. Det projiceras p\u00e5 varje tillg\u00e4nglighetszon genom en enhet som kallas Subnet. F\u00f6r varje Subnet tilldelar du en CIDR-storlek p\u00e5 16 eller mindre. Det kan finnas mer \u00e4n en s\u00e5dan enhet i varje tillg\u00e4nglighetszon, och det finns alltid transparent routing mellan dem. Detta inneb\u00e4r att alla dina resurser inom en VPC kan \"kommunicera\" med varandra, \u00e4ven om de befinner sig i olika tillg\u00e4nglighetszoner. \"Kommunicera\" utan att n\u00e5 internet, genom v\u00e5ra interna kanaler, \"t\u00e4nkande\" att de befinner sig inom samma privata n\u00e4tverk.<\/p>\n I diagrammet ovan visas en typisk situation: tv\u00e5 VPC:er som \u00f6verlappar varandra p\u00e5 adresserna. B\u00e5da kan tillh\u00f6ra dig. Till exempel, en f\u00f6r utveckling, en annan f\u00f6r testning. Det kan ocks\u00e5 vara olika anv\u00e4ndare \u2013 i detta fall spelar det ingen roll. Och i varje VPC finns en virtuell maskin.<\/p>\n L\u00e5t oss f\u00f6rsv\u00e5ra schemat. Man kan g\u00f6ra s\u00e5 att en virtuell maskin kopplas till flera Subnet samtidigt. Och inte bara s\u00e5, utan i olika virtuella n\u00e4tverk.<\/p>\n Om du beh\u00f6ver exponera maskinerna p\u00e5 internet kan detta g\u00f6ras via API eller UI. F\u00f6r detta \u00e4ndam\u00e5l m\u00e5ste du konfigurera NAT-\u00f6vers\u00e4ttning av din \"gr\u00e5\", interna adress till en \"vit\" \u2013 publik. Du kan inte v\u00e4lja den \"vita\" adressen, den tilldelas slumpm\u00e4ssigt fr\u00e5n v\u00e5r adresspool. S\u00e5 snart du slutar anv\u00e4nda den externa IP-adressen \u00e5terg\u00e5r den till poolen. Du betalar endast f\u00f6r den tid du anv\u00e4nder den \"vita\" adressen.<\/p>\n Det finns ocks\u00e5 m\u00f6jlighet att ge en maskin internet\u00e5tkomst med hj\u00e4lp av en NAT-instans. Trafik kan dirigeras genom en statisk routingtabel till instansen. Vi har f\u00f6rberett ett s\u00e5dant fall, eftersom det kan vara beh\u00f6vt av anv\u00e4ndare, och vi \u00e4r medvetna om detta. D\u00e4rf\u00f6r finns det en s\u00e4rskilt konfigurerad NAT-image i v\u00e5r bildkatalog.<\/p>\n Men \u00e4ven n\u00e4r det finns en f\u00e4rdig NAT-image kan konfigurationen vara komplicerad. Vi f\u00f6rstod att det f\u00f6r vissa anv\u00e4ndare inte \u00e4r det mest bekv\u00e4ma alternativet, s\u00e5 vi gjorde i slut\u00e4ndan det m\u00f6jligt att aktivera NAT f\u00f6r den \u00f6nskade Subnet med ett klick. Denna funktion \u00e4r fortfarande i st\u00e4ngt f\u00f6rhandsvisningsl\u00e4ge, och testas av medlemmar i samh\u00e4llet.<\/p>\n Hur interagerar en anv\u00e4ndare med det virtuella n\u00e4tverket? N\u00e4tverket ser ut\u00e5t genom sitt API. Anv\u00e4ndaren g\u00e5r in i API:t och arbetar med det \u00f6nskade tillst\u00e5ndet. Genom API:t ser anv\u00e4ndaren hur allt ska vara uppst\u00e4llt och konfigurerat och ser status \u00f6ver hur mycket det aktuella tillst\u00e5ndet avviker fr\u00e5n det \u00f6nskade. Det \u00e4r anv\u00e4ndarens bild. Men vad h\u00e4nder inuti?<\/p>\n Vi registrerar det \u00f6nskade tillst\u00e5ndet i Yandex Database och forts\u00e4tter med att konfigurera olika delar av v\u00e5r VPC. \u00d6verlagret i Yandex.Cloud \u00e4r byggt p\u00e5 utvalda komponenter fr\u00e5n OpenContrail, som nyligen har blivit k\u00e4nt som Tungsten Fabric. N\u00e4tverkstj\u00e4nsterna implementeras p\u00e5 en enhetlig plattform, CloudGate. I CloudGate har vi ocks\u00e5 anv\u00e4nt ett antal open source-komponenter: GoBGP f\u00f6r att h\u00e4mta kontrollinformation, samt VPP f\u00f6r att implementera en programvarurouter som arbetar \u00f6ver DPDK f\u00f6r datapath.<\/p>\n Tungsten Fabric kommunicerar med CloudGate genom GoBGP. Den ber\u00e4ttar vad som h\u00e4nder i \u00f6verlagret. CloudGate \u00e5 sin sida kopplar ihop \u00f6verlagren med varandra och med internet.<\/p>\n L\u00e5t oss nu se hur det virtuella n\u00e4tverket l\u00f6ser problem med skalerbarhet och tillg\u00e4nglighet. Vi \u00f6verv\u00e4ger ett enkelt fall. Det finns en tillg\u00e4nglighetszon d\u00e4r tv\u00e5 VPC:er har skapats. Vi har distribuerat en instans av Tungsten Fabric, som hanterar flera tiotusentals n\u00e4tverk. N\u00e4tverken kopplas till CloudGate. CloudGate, som vi redan n\u00e4mnt, s\u00e4kerst\u00e4ller deras sammankoppling med varandra och med internet.<\/p>\n Anta att en andra tillg\u00e4nglighetszon l\u00e4ggs till. Den m\u00e5ste fallera helt oberoende av den f\u00f6rsta. D\u00e4rf\u00f6r m\u00e5ste en separat instans av Tungsten Fabric s\u00e4ttas upp i den andra tillg\u00e4nglighetszonen. Det kommer att vara ett separat system som hanterar \u00f6verlagret och som har lite kunskap om det f\u00f6rsta systemet. Det \u00e4r faktiskt v\u00e5r VPC API som skapar en uppfattning om att v\u00e5rt virtuella n\u00e4tverk \u00e4r globalt. Det \u00e4r dess uppgift.<\/p>\n VPC1 projiceras i tillg\u00e4nglighetszon B, om det finns resurser i tillg\u00e4nglighetszon B som kopplas till VPC1. Om det inte finns n\u00e5gra resurser fr\u00e5n VPC2 i tillg\u00e4nglighetszon B, kommer vi inte att materialisera VPC2 i denna zon. \u00c5 sin sida, eftersom resurser fr\u00e5n VPC3 endast finns i zon B, finns VPC3 inte i zon A. Allt \u00e4r enkelt och logiskt.<\/p>\n L\u00e5t oss g\u00e5 lite djupare och se hur en specifik v\u00e4rd fungerar i Y.Cloud. Det viktigaste att notera \u00e4r att alla v\u00e4rdar \u00e4r uppbyggda p\u00e5 samma s\u00e4tt. Vi ser till att endast det minimum av tj\u00e4nster k\u00f6rs p\u00e5 h\u00e5rdvaran, medan alla \u00f6vriga k\u00f6rs p\u00e5 virtuella maskiner<\/a>. Vi bygger h\u00f6gre ordningstj\u00e4nster baserade p\u00e5 grundl\u00e4ggande infrastrukturtj\u00e4nster och anv\u00e4nder ocks\u00e5 molnet f\u00f6r att l\u00f6sa vissa ingenj\u00f6rsuppgifter, till exempel inom ramen f\u00f6r Continuous Integration.<\/p>\n Om vi ser p\u00e5 en specifik v\u00e4rd kommer vi att se att tre komponenter k\u00f6rs i v\u00e4rdens OS:<\/p>\n Ut\u00f6ver detta k\u00f6rs virtuella maskiner<\/a> tj\u00e4nster: infrastrukturtj\u00e4nster fr\u00e5n molnet, plattformstj\u00e4nster och kundernas kapacitet. Kundernas kapacitet och plattformstj\u00e4nster g\u00e5r alltid via \u00f6verlagret genom VRouter.<\/p>\n Infrastrukturtj\u00e4nster kan kopplas in i \u00f6verlagret, men vill i huvudsak arbeta i underlaget. I underlaget kopplas de in med hj\u00e4lp av SR-IOV. Faktiskt sk\u00e4r vi kortet i virtuella n\u00e4tverkskort (virtuella funktioner) och stoppar dem i infrastrukturella virtuella maskiner f\u00f6r att inte tappa prestanda. Till exempel \u00e4r den s\u00e5 kallade CloudGate ig\u00e5ng som en av dessa infrastrukturella virtuella maskiner.<\/p>\n Nu n\u00e4r vi har beskrivit de globala uppgifterna f\u00f6r det virtuella n\u00e4tverket och konstruktionen av de grundl\u00e4ggande komponenterna i molnet, l\u00e5t oss se hur olika delar av det virtuella n\u00e4tverket interagerar med varandra.<\/p>\n Vi identifierar tre lager i v\u00e5rt system:<\/p>\n Som jag n\u00e4mnde ovan b\u00f6rjar allt med att anv\u00e4ndaren eller en intern plattformstj\u00e4nst kommer till API och beskriver ett visst \u00f6nskat tillst\u00e5nd.<\/p>\n Detta tillst\u00e5nd registreras omedelbart i Yandex Database, returnerar via API ID f\u00f6r den asynkrona operationen och startar v\u00e5r interna maskin f\u00f6r att ge det tillst\u00e5nd som anv\u00e4ndaren \u00f6nskade. Konfigurationsuppgifter g\u00e5r till SDN-kontrollern och ber\u00e4ttar f\u00f6r Tungsten Fabric vad som beh\u00f6ver g\u00f6ras i \u00f6verlaget. Till exempel reserverar de portar, virtuella n\u00e4tverk och liknande.<\/p>\n Config Plane i Tungsten Fabric levererar det \u00f6nskade tillst\u00e5ndet till Control Plane. Genom det kommunicerar Config Plane med v\u00e4rdarna och informerar om vad som snart kommer att k\u00f6ras p\u00e5 dem.<\/p>\n Nu ska vi se hur systemet ser ut p\u00e5 v\u00e4rdarna. I en virtuell maskin<\/a> finns en n\u00e4tverksadapter som \u00e4r instoppad i VRouter. VRouter \u00e4r en k\u00e4rnmodul i Tungsten Fabric som \u00f6vervakar paketen. Om det redan finns en flow f\u00f6r ett visst paket, behandlar modulen det. Om det inte finns n\u00e5gon flow, utf\u00f6r modulen s\u00e5 kallad punting, det vill s\u00e4ga skickar paketet till anv\u00e4ndarmodes-processen. Processen analyserar paketet och antingen svarar p\u00e5 det sj\u00e4lv, som till exempel p\u00e5 DHCP och DNS, eller talar om f\u00f6r VRouter vad som ska g\u00f6ras med det. Efter det kan VRouter behandla paketet.<\/p>\n D\u00e4refter passerar trafiken mellan virtuella maskiner inom samma virtuella n\u00e4tverk transparent, den dirigeras inte till CloudGate. V\u00e4rdarna d\u00e4r de virtuella maskinerna \u00e4r distribuerade kommunicerar direkt med varandra. De tunnelar trafik och skickar den till varandra genom underlaget.<\/p>\n Control Plane kommunicerar med varandra mellan tillg\u00e4nglighetszoner via BGP, som med en annan router. De informerar om vilka maskiner som \u00e4r uppe och var, s\u00e5 att virtuella maskiner i en zon kan interagera direkt med andra virtuella maskiner.<\/p>\n Dessutom kommunicerar Control Plane med CloudGate. P\u00e5 liknande s\u00e4tt meddelar den var och vilka virtuella maskiner som \u00e4r uppe, samt deras adresser. Detta m\u00f6jligg\u00f6r att extern trafik och trafik fr\u00e5n lastbalanserare kan dirigeras till dem.<\/p>\n Trafiken som g\u00e5r ut fr\u00e5n VPC kommer till CloudGate, i data path, d\u00e4r den snabbt bearbetas av VPP med v\u00e5ra plugins. D\u00e4refter skickas trafiken antingen till andra VPC:er eller ut, till gr\u00e4nsrouters som konfigureras via Control Plane f\u00f6r CloudGate.<\/p>\n Om man sammanfattar allt som har sagts ovan i n\u00e5gra meningar kan man s\u00e4ga att VPC i Yandex.Cloud l\u00f6ser tv\u00e5 viktiga uppgifter:<\/p>\n F\u00f6r att l\u00f6sa dessa uppgifter effektivt beh\u00f6ver man s\u00e4kerst\u00e4lla skalbarhet och felben\u00e4genhet p\u00e5 niv\u00e5 med den interna arkitekturen, vilket VPC g\u00f6r.<\/p>\n Gradvis f\u00e5r VPC fler funktioner, vi implementerar nya m\u00f6jligheter och str\u00e4var efter att f\u00f6rb\u00e4ttra anv\u00e4ndarv\u00e4nligheten. Vissa id\u00e9er n\u00e4mns och kommer in p\u00e5 prioritetslistan tack vare deltagare i v\u00e5rt samh\u00e4lle.<\/p>\n Just nu har vi ungef\u00e4r f\u00f6ljande lista med planer f\u00f6r den n\u00e4rmaste framtiden:<\/p>\n Belastningsbalanserare och m\u00f6jligheten att v\u00e4xla IP-adressen f\u00f6r en redan skapad virtuell maskin har tagits med p\u00e5 denna lista p\u00e5 beg\u00e4ran av anv\u00e4ndare. Jag ska vara \u00e4rlig, utan tydlig feedback skulle vi ha tagit oss an dessa funktioner n\u00e5got senare. Men nu arbetar vi redan med uppgiften kring adresser.<\/p>\n Initialt kunde en \"vit\" IP-adress endast l\u00e4ggas till vid skapandet av maskinen. Om anv\u00e4ndaren gl\u00f6mde att g\u00f6ra detta, var man tvungen att \u00e5terskapa den virtuella maskinen. Samma sak g\u00e4llde f\u00f6r att ta bort den externa IP-adressen. Snart kommer man att kunna sl\u00e5 p\u00e5 och av den offentliga IP-adressen utan att \u00e5terskapa maskinen.<\/p>\n Tveka inte att uttrycka dina id\u00e9er och st\u00f6dja f\u00f6rslag fr\u00e5n<\/a> andra anv\u00e4ndare. Du hj\u00e4lper oss att g\u00f6ra molnet b\u00e4ttre och snabbare f\u00e5 viktiga och anv\u00e4ndbara funktioner!<\/p>\nVad \u00e4r VPC?<\/h2>\n
Hur det virtuella n\u00e4tverket ser ut utifr\u00e5n<\/h2>\n
![\"Hur](\"\/wp-content\/uploads\/2020\/02\/073a0cbac0e733decd8a4e6ffd9570ff.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/b1b7a15912f9c7995663ab9943d473f1.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/73e872a4f6c3e19576db4e4980d62a45.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/cc4ab2c7553d63ef2636924df1575479.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/c2375fd6d0fb7b55ca55787adf505229.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/744ac3bdd2f388bab2597d6fe1519d76.jpeg\")
<\/p>\nHur en virtuell n\u00e4tverk \u00e4r uppbyggd inifr\u00e5n<\/h2>\n
![\"Hur](\"\/wp-content\/uploads\/2020\/02\/71cab3ae7f067f165a87e30c60559794.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/222d68fff4b9577f316c8642e846172e.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/4da02ba041dcd886eee212dd8998718c.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/4664bd03793ba394ceda1f8214fa2c16.jpeg\")
<\/p>\n\n
\n
![\"Hur](\"\/wp-content\/uploads\/2020\/02\/644cddfa8bce83a501bf4788a21f9588.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/c2c6e443c93f8dedc6a63e4bd3fd7042.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/2139361a9e1837c7bc7f156e8bc36d38.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/1247f20fa2a12f093d7f1d2361d48a02.jpeg\")
<\/p>\n![\"Hur](\"\/wp-content\/uploads\/2020\/02\/f70cd562220c7367e29597d8e8b62f81.jpeg\")
<\/p>\nPlaner f\u00f6r den n\u00e4rmaste framtiden<\/h2>\n
\n
\n