Robuuste netwerkimplementatie van Azure Stack Hub

In dit onderwerp wordt de toegangsmachtiging besproken voor de TOR-switches, IP-adrestoewijzingen en andere netwerkimplementatietaken.

Configuratie-implementatie plannen

In de volgende secties worden machtigingen en IP-adrestoewijzingen behandeld.

Toegangsbeheerlijst voor fysieke switch

Om de Azure Stack-oplossing te beveiligen, hebben we toegangsbeheerlijsten (ACL's) geïmplementeerd op de TOR-switches. In deze sectie wordt beschreven hoe deze beveiliging wordt geïmplementeerd. In de onderstaande tabel ziet u de bronnen en bestemmingen van elk netwerk in de Azure Stack-oplossing:

De onderstaande tabel correleert de ACL-verwijzingen met de Azure Stack-netwerken.

IP-adrestoewijzingen

In het implementatiewerkblad wordt u gevraagd de volgende netwerkadressen op te geven ter ondersteuning van het Azure Stack-implementatieproces. Het implementatieteam gebruikt het hulpprogramma Implementatiewerkblad om de IP-netwerken op te splitsen in alle kleinere netwerken die door het systeem zijn vereist. Raadpleeg de sectie 'NETWERKONTWERP EN INFRASTRUCTUUR' hierboven voor gedetailleerde beschrijvingen van elk netwerk.

In dit voorbeeld vullen we het tabblad Netwerkinstellingen van het implementatiewerkblad met de volgende waarden:

• BMC Network: 10.193.132.0 /27

• Privénetwerkopslagnetwerk en interne VIP's: 11.11.128.0 /24

• Infrastructuurnetwerk: 12.193.130.0 /24

• Openbaar VIP-netwerk (Virtual IP): 13.200.132.0 /24

• Netwerkinfrastructuur voor schakelaars: 10.193.132.128 /26

Wanneer u de functie Genereren van het hulpprogramma Implementatiewerkblad uitvoert, worden er twee nieuwe tabbladen in het werkblad gemaakt. Het eerste tabblad is het subnetoverzicht en laat zien hoe de supernetten zijn gesplitst om alle netwerken te maken die door het systeem zijn vereist. In ons onderstaande voorbeeld is er slechts een subset van de kolommen op dit tabblad. Het werkelijke resultaat bevat meer details van elk netwerk dat wordt vermeld:

Het tweede tabblad is IP-adresgebruik en toont hoe de IP-adressen worden gebruikt:

BMC-netwerk

Voor het supernet voor het BMC-netwerk is minimaal een /26-netwerk vereist. De gateway gebruikt het eerste IP-adres in het netwerk, gevolgd door de BMC-apparaten in het rek. De host voor de hardwarelevenscyclus heeft meerdere adressen toegewezen aan dit netwerk en kan worden gebruikt voor het implementeren, bewaken en ondersteunen van het rack. Deze IP-adressen worden gedistribueerd in 3 groepen: DVM, InternalAccessible en ExternalAccessible.

• Rack: Rack1
• Naam: BMCMgmt

Opslagnetwerk

Het Opslagnetwerk is een particulier netwerk en is niet bedoeld om buiten het rek te worden gerouteerd. Het is de eerste helft van het privénetwerk-supernet en wordt gebruikt door de switch die wordt gedistribueerd, zoals wordt weergegeven in de onderstaande tabel. De gateway is het eerste IP-adres in het subnet. De tweede helft die wordt gebruikt voor de interne VIP's is een privépool met adressen die worden beheerd door Azure Stack SLB, wordt niet weergegeven op het tabblad IP-adresgebruik. Deze netwerken ondersteunen Azure Stack en er zijn ACL's op de TOR-switches die voorkomen dat deze netwerken buiten de oplossing worden geadverteerd en/of geopend.

• Rack: Rack1
• Naam: CL01-RG01-SU01-Storage

Azure Stack-infrastructuurnetwerk

Het supernet van het infrastructuurnetwerk vereist een /24-netwerk en dit blijft een /24 nadat het hulpprogramma Implementatiewerkblad is uitgevoerd. De gateway is het eerste IP-adres in het subnet.

• Rack: Rack1
• Naam: CL01-RG01-SU01-Infra

Schakel infrastructuurnetwerk

Het infrastructuurnetwerk is onderverdeeld in meerdere netwerken die worden gebruikt door de fysieke switchinfrastructuur. Dit verschilt van de Azure Stack-infrastructuur die alleen ondersteuning biedt voor de Azure Stack-software. Het Switch Infra Network ondersteunt alleen de fysieke switchinfrastructuur. De netwerken die worden ondersteund door infra zijn:

• Punt-naar-punt (P2P): Deze netwerken staan connectiviteit tussen alle switches toe. De subnetgrootte is een /30-netwerk voor elke P2P. Het laagste IP-adres wordt altijd toegewezen aan het upstream-apparaat (Noord) op de stack.

• Loopback: Deze adressen zijn /32 netwerken die zijn toegewezen aan elke switch die in het rek wordt gebruikt. Aan de randapparaten wordt geen loopback toegewezen, omdat ze naar verwachting geen deel uitmaken van de Azure Stack-oplossing.

• Switch Mgmt of Switch Management: Dit /29-netwerk ondersteunt de toegewezen beheerinterfaces van de switches in het rek. De IP-adressen worden als volgt toegewezen; Deze tabel vindt u ook op het tabblad IP-adresgebruik van het implementatiewerkblad:

• Rack: Rack1

• Naam: SwitchMgmt

Omgeving voorbereiden

De installatiekopie van de host van de hardwarelevenscyclus bevat de vereiste Linux-container die wordt gebruikt voor het genereren van de configuratie van de fysieke netwerkswitch.

De nieuwste partnerimplementatietoolkit bevat wel de meest recente containerinstallatiekopieën. De containerinstallatiekopie op de host van de hardwarelevenscyclus kan worden vervangen wanneer het nodig is om een bijgewerkte switchconfiguratie te genereren.

Dit zijn de stappen voor het bijwerken van de containerinstallatiekopieën:

1. De containerinstallatiekopieën downloaden

2. Vervang de containerinstallatiekopieën op de volgende locatie

Configuratie genereren

Hier wordt u begeleid bij de stappen voor het genereren van de JSON-bestanden en de netwerkswitchconfiguratiebestanden:

1. Het implementatiewerkblad openen

2. Alle vereiste velden op alle tabbladen invullen

3. Roep de functie Genereren aan op het implementatiewerkblad.
   Er worden twee extra tabbladen gemaakt met de gegenereerde IP-subnetten en -toewijzingen.

4. Controleer de gegevens en zodra deze zijn bevestigd, roept u de functie Exporteren aan.
   U wordt gevraagd een map op te geven waarin de JSON-bestanden worden opgeslagen.

5. Voer de container uit met de Invoke-SwitchConfigGenerator.ps1. Voor dit script is een PowerShell-console met verhoogde bevoegdheid vereist om uit te voeren. Hiervoor zijn de volgende parameters vereist.

   • ContainerName: de naam van de container die de switchconfiguraties genereert.

   • ConfigurationData: pad naar het ConfigurationData.json-bestand dat is geëxporteerd vanuit het implementatiewerkblad.

   • OutputDirectory : pad naar de uitvoermap.

   • Offline: geeft aan dat het script wordt uitgevoerd in de offlinemodus.

   C:\\WINDOWS\\system32\> .\\Invoke-SwitchConfigGenerate.ps1 -ContainerName generalonrampacr.azurecr.io/master -ConfigurationData .\\ConfigurationData.json -OutputDirectory c:\\temp -Offline
   

Wanneer het script is voltooid, wordt er een zip-bestand geproduceerd met het voorvoegsel dat in het werkblad wordt gebruikt.

C:\WINDOWS\system32> .\Invoke-SwitchConfigGenerate.ps1 -ContainerName generalonrampacr.azurecr.io/master -ConfigurationData .\ConfigurationData.json -OutputDirectory c:\temp -Offline                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                         
Seconds : 2
Section : Validation
Step    : WindowsRequirement
Status  : True
Detail  : @{CurrentImage=10.0.18363.0}


Seconds : 2
Section : Validation
Step    : DockerService
Status  : True
Detail  : @{Status=Running}


Seconds : 9
Section : Validation
Step    : DockerSetup
Status  : True
Detail  : @{CPU=4; Memory=4139085824; OS=Docker Desktop; OSType=linux}


Seconds : 9
Section : Validation
Step    : DockerImage
Status  : True
Detail  : @{Container=generalonrampacr.azurecr.io/master:1.1910.78.1}


Seconds : 10
Section : Run
Step    : Container
Status  : True
Detail  : @{ID=2a20ba622ef9f58f9bcd069c3b9af7ec076bae36f12c5653f9469b988c01706c; ExternalPort=32768}


Seconds : 38
Section : Generate
Step    : Config
Status  : True
Detail  : @{OutputFile=c:\temp\N22R19.zip}


Seconds : 38
Section : Exit
Step    : StopContainer
Status  : True
Detail  : @{ID=2a20ba622ef9f58f9bcd069c3b9af7ec076bae36f12c5653f9469b988c01706c}

Aangepaste configuratie

U kunt enkele omgevingsinstellingen wijzigen voor de configuratie van uw Azure Stack-switch. U kunt bepalen welke instellingen u in de sjabloon kunt wijzigen. In dit artikel wordt elk van deze aanpasbare instellingen uitgelegd en hoe de wijzigingen van invloed kunnen zijn op uw Azure Stack. Deze instellingen omvatten het bijwerken van wachtwoorden, syslog-server, SNMP-bewaking, verificatie en de toegangsbeheerlijst.

Tijdens de implementatie van de Azure Stack-oplossing maakt en past de OEM (original equipment manufacturer) de switchconfiguratie voor zowel TORs als BMC toe. De OEM maakt gebruik van het azure Stack-automatiseringsprogramma om te controleren of de vereiste configuraties correct zijn ingesteld op deze apparaten. De configuratie is gebaseerd op de informatie in uw Azure Stack-implementatiewerkblad.

Er zijn echter enkele waarden die kunnen worden toegevoegd, verwijderd of gewijzigd in de configuratie van de netwerkswitches.

Wachtwoord bijwerken

De operator kan het wachtwoord voor elke gebruiker op elk gewenst moment bijwerken op de netwerkswitches. Er is geen vereiste om informatie over het Azure Stack-systeem te wijzigen of om de stappen voor het roteren van geheimen in Azure Stack te gebruiken.

Syslog-server

Operators kunnen de switchlogboeken omleiden naar een syslog-server in hun datacenter. Gebruik deze configuratie om ervoor te zorgen dat de logboeken vanaf een bepaald tijdstip kunnen worden gebruikt voor het oplossen van problemen. De logboeken worden standaard opgeslagen op de switches; hun capaciteit voor het opslaan van logboeken is beperkt. Raadpleeg de sectie Updates voor toegangsbeheerlijsten voor een overzicht van het configureren van de machtigingen voor switchbeheertoegang.

SNMP-bewaking

De operator kan eenvoudig SNMP (Network Management Protocol) v2 of v3 configureren om de netwerkapparaten te bewaken en traps te verzenden naar een netwerkbewakingstoepassing in het datacenter. Gebruik om veiligheidsredenen SNMPv3 omdat het veiliger is dan v2. Neem contact op met uw OEM-hardwareprovider voor de MIBs en configuratie die vereist zijn. Raadpleeg de sectie Updates voor toegangsbeheerlijsten voor een overzicht van het configureren van de machtigingen voor switchbeheertoegang.

Verificatie

De operator kan RADIUS of TACACS configureren voor het beheren van verificatie op de netwerkapparaten. Raadpleeg uw OEM-hardwareprovider voor ondersteunde methoden en configuratie die vereist zijn. Raadpleeg de sectie Updates van toegangsbeheerlijsten voor een overzicht van het configureren van de machtigingen voor switchbeheertoegang.

Updates voor toegangsbeheerlijsten

De operator kan enkele ACL's (Access Control List) wijzigen om toegang te verlenen tot netwerkapparaatbeheerinterfaces en de HLH (Hardware Lifecycle Host) vanuit een netwerkbereik van een vertrouwd datacenter. De operator kan kiezen welk onderdeel bereikbaar is en vanaf waar. Met de toegangsbeheerlijst kan de operator hun jumpbox-VM's in een specifiek netwerkbereik toegang geven tot de switchbeheerinterface en het HLH-besturingssysteem en de HLH BMC.

Zie de toegangsbeheerlijst voor fysieke switches voor meer informatie.

TACACS, RADIUS en Syslog

De Azure Stack-oplossing wordt niet geleverd met een TACACS- of RADIUS-oplossing voor toegangsbeheer van apparaten zoals de switches en routers, noch een Syslog-oplossing voor het vastleggen van switchlogboeken, maar al deze apparaten ondersteunen deze services. Om te integreren met een bestaande TACACS-, RADIUS- en/of Syslog-server in uw omgeving, bieden we een extra bestand met de netwerkswitchconfiguratie waarmee de technicus op locatie de switch kan aanpassen aan de behoeften van de klant.

Volgende stappen

Netwerkintegratie