I-Teco ओपनस्टैक क्लाउड: ओपनस्टैक के नेटवर्क पार्ट को डिजाइन करना

जैसा कि यह पता चला, हमारे सहयोगियों की एक बड़ी संख्या न केवल ओपनस्टैक में रुचि रखती है, बल्कि इसे बनाने और इसे कॉन्फ़िगर करने में भी पर्याप्त अनुभव है: बहुत सारे अलग-अलग प्रश्न हमारे पास आते हैं - विभिन्न पुस्तकालयों में कीड़े से लड़ने से लेकर वैचारिक सूचना सुरक्षा के मुद्दों और उपयोगकर्ता पर्यावरण की योजना बनाने तक। हम निजी तौर पर सवालों के जवाब देते हैं, और हम यहां उन सवालों का जवाब देंगे जो बहुत से हैं।

आज हम इस बारे में बात करेंगे कि वर्चुअल नेटवर्क, सबनेट, वर्चुअल मशीनों के आंतरिक आईपी पते की योजना बनाने के लिए ओपनस्टैक के अंदर क्या विकल्प हैं, उन्हें वास्तविक आईपी पते में कैसे अनुवाद किया जाए और विभिन्न ग्राहकों के वीएम के बीच मीडिया को साझा करने की सुरक्षा सुनिश्चित की जाए।
क्वांटम लाइब्रेरी ओपनस्टैक के नेटवर्क भाग के साथ काम करने के लिए जिम्मेदार है, जो अन्य ओपनस्टैक सेवाओं के नियंत्रण के तहत वीएम नेटवर्क इंटरफेस (vNIC) के बीच "नेटवर्क एक सेवा के रूप में" कार्य प्रदान करता है, वास्तव में एक एपीआई प्रदान करता है जो आपको क्लाउड के पूरे नेटवर्क भाग का प्रबंधन करने की अनुमति देता है। कार्यों और डिज़ाइन किए गए लक्ष्य क्लाउड कॉन्फ़िगरेशन के आधार पर, आप प्लगइन्स को क्वांटम से कनेक्ट कर सकते हैं जो कुछ नेटवर्क फ़ंक्शन प्रदान करते हैं। ओपन वीस्विथ , सिस्को यूसीएस / नेक्सस , लिनक्स ब्रिग , एनईसी ओपनफ्लो , निकिरा नेटवर्क वर्चुअलाइजेशन प्लेटफॉर्म (एनवीपी) और कुछ अन्य जैसे प्लगइन्स पर सावधानीपूर्वक विचार करना सुनिश्चित करें। जिसके बाद यह स्पष्ट हो जाएगा कि आप अपने क्लाउड के नेटवर्क को कैसे डिजाइन करेंगे। आप क्वांटम के विन्यास के बारे में अधिक पढ़ सकते हैं, उदाहरण के लिए, क्वांटम प्रशासन गाइड में - यह अच्छी तरह से और काफी व्यापक रूप से लिखा गया है। आज की पोस्ट का उद्देश्य ओपनस्टैक के वर्चुअल नेटवर्क इन्फ्रास्ट्रक्चर के निर्माण के लिए विभिन्न विकल्पों को डिजाइन करने की संभावनाओं को उजागर करना और एक दूसरे से उनके मुख्य अंतर हैं।

विकल्प 1. साझा नेटवर्क

VM को होस्ट करने के लिए सबसे सरल विकल्प एक सामान्य सबनेट है।



प्रत्येक वीएम एक साझा नेटवर्क से आईपी पते के साथ अपने स्वयं के किरायेदार में है, जो केवल एक ही हो सकता है। यह स्पष्ट है कि सभी वीएम इंटरफेस पर डेटा इस नेटवर्क से जुड़े अन्य सभी नेटवर्क इंटरफेस पर उपलब्ध है। Tcpdump नियम। यह वास्तविक वर्कअराउंड की तुलना में अधिक परीक्षण वातावरण है।

विकल्प 2. कई साझा नेटवर्क

यह विकल्प विकल्प 1 से लगभग अलग नहीं है, सिवाय इसके कि किरायेदार कई सामान्य नेटवर्क देख सकते हैं और यह चुनने में सक्षम हैं कि किस से कनेक्ट होना है। इस मामले में, गंभीर नेटवर्क सुरक्षा के बारे में भी बात करने की आवश्यकता नहीं है, हालांकि, एकल परीक्षण वातावरण के अनुप्रयोग मामले में, उदाहरण के लिए, विकास टीम के लिए, क्लाउड का अपना "अच्छाई" हो सकता है। सार्वजनिक क्लाउड के लिए, यह विकल्प, निश्चित रूप से, उपयुक्त नहीं है।

विकल्प 3. मिश्रित सार्वजनिक और निजी नेटवर्क

यह विकल्प साझा नेटवर्क के साथ उपरोक्त विकल्पों के अतिरिक्त है, जिसमें किरायेदार वैकल्पिक रूप से प्रत्येक किरायेदार के लिए निजी नेटवर्क तक पहुंच प्राप्त कर सकते हैं। यह विकल्प आपको प्रत्येक वीएम पर कई नेटवर्क इंटरफेस का उपयोग करके बहु-स्तरीय टोपोलॉजी बनाने की अनुमति देता है। इसके अलावा, आप एक नेटवर्क मॉडल बना सकते हैं जहां एक वीएम का उपयोग गेटवे के रूप में किया जाता है और रूटिंग, एनएटी या नेटवर्क ट्रैफिक संतुलन जैसी सेवाएं प्रदान करता है। हालांकि, कई साझा नेटवर्क में एक साथ संचालन पहले से ही पिछले संस्करण में जितना सरल है, हम इसे प्राप्त नहीं करेंगे। इसके अलावा एक विशिष्ट मंच विकास के माहौल के लिए एक बहुत ही दिलचस्प विकल्प, यह मुझे लगता है। इसका सार्वजनिक बादलों की वास्तविकता से कोई लेना-देना नहीं है।

विकल्प 4. निजी नेटवर्क के साथ एक साझा राउटर

यहां हम सार्वजनिक क्लाउड के लिए पहले वास्तव में महत्वपूर्ण नेटवर्क आर्किटेक्चर पर आते हैं। यह योजना प्रत्येक किरायेदार को एक या अधिक निजी नेटवर्क से कनेक्ट करने की अनुमति देती है जो एक राउटर के माध्यम से इंटरनेट पर रूट किए जाते हैं। यह मॉडल फ्लोटिंग आईपी के असाइनमेंट का समर्थन करता है, जो राउटर की तरफ सार्वजनिक आईपी एड्रेस को वीएम के आंतरिक पते पर ट्रांसलेट करता है। फ्लोटिंग आईपी के बिना, वीएम एसएनएटी चलाने वाले राउटर के माध्यम से अपने बाहरी नेटवर्क से जुड़ सकते हैं। राउटर निजी नेटवर्क के बीच L3 कनेक्शन प्रदान करता है। इस प्रकार, अलग-अलग किरायेदार एक-दूसरे को देख सकते हैं यदि सुरक्षा समूह का उपयोग करके ट्रैफ़िक को फ़िल्टर करने के लिए अतिरिक्त नियम लागू नहीं होते हैं। क्योंकि इस योजना में केवल एक ही राउटर है; किरायेदार नेटवर्क की रिपीटिंग रेंज नहीं बना सकते हैं । कृपया इस सुविधा पर ध्यान दें। दूसरे शब्दों में, क्लाउड उपयोगकर्ता वह आईपी पता नहीं चुन सकता है जिसे वह चाहता है (वह पहले से ही दूसरे वीएम द्वारा कब्जा कर लिया जा सकता है)। मुझे पता है कि ज्यादातर बादल ऐसी ही किसी योजना पर बने हैं। यह आपको नेटवर्क इंटरफेस पर उपयोगकर्ता डेटा के लिए आवश्यक स्तर की सुरक्षा प्रदान करने की अनुमति देता है, कई वीएम को एक vLan में संयोजित करता है, जैसा कि पिछले संस्करण में, आप VM आंतरिक (सार्वजनिक आईपी पते के बिना) का हिस्सा बना सकते हैं, लेकिन साथ ही साथ क्लाउड प्रदाता के लिए कार्य की योजना को जटिल बनाते हैं । हूड। और आगे चलते हैं।

विकल्प 5. निजी नेटवर्क के साथ निजी राउटर

नेटवर्क इन्फ्रास्ट्रक्चर को लागू करने के लिए सबसे उन्नत विकल्प जिसमें प्रत्येक (!) क्वांटम एपीआई के माध्यम से प्रत्येक किरायेदार के लिए अतिरिक्त राउटर बनाने की क्षमता के साथ एक निजी राउटर प्राप्त करता है। राउटर से कनेक्ट करने की क्षमता के साथ, किरायेदार अपने खुद के नेटवर्क बना सकते हैं। अब सबसे महत्वपूर्ण बात: यह योजना प्रत्येक किरायेदार को किसी भी नेटवर्क का उपयोग करने की अनुमति देती है , क्योंकि बाहरी पहुंच SNAT या फ्लोटिंग आईपी के माध्यम से प्रदान की जाती है। दूसरे शब्दों में, आंतरिक आईपी पते के समान (!) के साथ क्लाउड में कई वीएम हो सकते हैं। यह उपयोगी हो सकता है, उदाहरण के लिए, जब एक क्लाउड से दूसरे में पैक की गई मशीनों को स्थानांतरित करते हुए, छवि को मर्ज किया जाता है, एक अन्य क्लाउड पर आवश्यक बुनियादी ढांचे को कॉन्फ़िगर किया जाता है, तो आपके द्वारा पहले किए गए आईपी पते को असाइन किया जाता है, छवियों को तैनात करता है और अतिरिक्त परिवर्तनों के बिना सब कुछ उड़ जाता है। जिस किसी को अक्सर सर्वर को एक सबनेट से दूसरे में स्थानांतरित करना पड़ता था वह निश्चित रूप से इस सुविधा की सराहना करेगा। दूसरी ओर, आपको विभिन्न बादलों के बीच कितनी बार अपने बुनियादी ढांचे को खींचने की आवश्यकता हो सकती है?

वास्तव में, ओपनस्टैक-आधारित क्लाउड में कोई अन्य नेटवर्क टोपोलॉजी नहीं हैं। यदि आप अपने स्वयं के क्लाउड का निर्माण करने के लिए निर्धारित करते हैं, तो पहले उसके लक्ष्यों को निर्धारित करें। यह क्या होगा? यदि सार्वजनिक बादल - तो विकल्प 4 और 5 आपके लिए चुनने के लिए उपयुक्त हैं। यदि आपको 3 से शुरू होने वाले परिपक्वता स्तर पर CMMI प्रमाणित सॉफ़्टवेयर के विकास के दौरान विभिन्न सॉफ़्टवेयर वातावरणों के परीक्षण के लिए क्लाउड की आवश्यकता है, तो मैं विकल्प नंबर 2 या 3 पर सोचने का सुझाव दूंगा ताकि निर्माण और कार्यान्वयन की जटिलताओं से परेशान न हों। वैसे, 2 और 3 विकल्प अच्छी तरह से निजी कॉर्पोरेट क्लाउड के लिए उपयुक्त हो सकते हैं, जिसमें कंपनी की सूचना सुरक्षा सेवा से बहुत मजबूत आवश्यकताएं नहीं हैं। एक शब्द में, "अपने लिए सोचें, अपने लिए तय करें कि आपके पास है या नहीं।"

और अंत में, मैं आपसे एक सवाल पूछना चाहता हूं। हमें आपकी राय में बहुत दिलचस्पी है। मुझे बताएं, कृपया, अपने दृष्टिकोण से कितना, क्या विकल्प नंबर 5 की मांग में मूलभूत रूप से कार्यक्षमता की आवश्यकता है? यह स्पष्ट है कि विकल्प संख्या 4 की तुलना में विकल्प नंबर 5 का कार्यान्वयन अधिक जटिल है, और संसाधनों के संदर्भ में अधिक महंगा है। लेकिन दूसरी ओर, शायद यह इतना दिलचस्प है कि इन लागतों का भुगतान करना होगा? एक बड़ा अनुरोध, इस मुद्दे पर टिप्पणियों में अपनी टिप्पणी छोड़ दें।

दिमित्री मिट्रोफानोव
व्याचेस्लाव समरीन