Implantação de rede robusta do Azure Stack Hub

Este tópico aborda a permissão de acesso aos comutadores TOR, atribuições de endereço IP e outras tarefas de implantação de rede.

Planejar a implantação da configuração

As próximas seções abordam permissões e atribuições de endereço IP.

Lista de controle de acesso do switch físico

Para proteger a solução Azure Stack, implementamos ACLs (listas de controle de acesso) nos comutadores TOR. Esta seção descreve como essa segurança é implementada. A tabela a seguir mostra as origens e os destinos de cada rede dentro da solução Azure Stack:

A tabela a seguir correlaciona as referências de ACL com as redes do Azure Stack.

Atribuições de endereços IP

Na Planilha de Implantação, você é solicitado a fornecer os seguintes endereços de rede para dar suporte ao processo de implantação do Azure Stack. A equipe de implantação usa a ferramenta Planilha de Implantação para dividir as redes IP em todas as redes menores exigidas pelo sistema. Consulte a seção "PROJETO E INFRAESTRUTURA DE REDE" acima para obter descrições detalhadas de cada rede.

Neste exemplo, preencheremos a guia Configurações de Rede da Planilha de Implantação com os seguintes valores:

• Rede BMC: 10.193.132.0 /27

• Rede privada de armazenamento Rede e VIPs internos: 11.11.128.0 /24

• Rede de Infraestrutura: 12.193.130.0 /24

• Rede IP virtual pública (VIP): 13.200.132.0 /24

• Rede de infraestrutura de switches: 10.193.132.128 /26

Quando você executa a função Gerar da ferramenta Planilha de Implantação, ela cria duas novas guias na planilha. A primeira guia é o Resumo da Sub-rede e mostra como as super-redes foram divididas para criar todas as redes exigidas pelo sistema. Em nosso exemplo abaixo, há apenas um subconjunto das colunas encontradas nesta guia. O resultado real tem mais detalhes de cada rede listada:

A segunda guia é Uso de endereço IP e mostra como os IPs são consumidos:

Rede BMC

A super-rede para a rede BMC requer uma rede /26 no mínimo. O gateway usa o primeiro IP na rede, seguido pelos dispositivos BMC no rack. O host do ciclo de vida do hardware tem vários endereços atribuídos nessa rede e pode ser usado para implantar, monitorar e dar suporte ao rack. Esses IPs são distribuídos em 3 grupos: DVM, InternalAccessible e ExternalAccessible.

• Rack: Rack1
• Nome: BMCMgmt

Rede de armazenamento

A rede de armazenamento é uma rede privada e não se destina a ser roteada para além do rack. É a primeira metade da super-rede de rede privada e é usada pelo switch distribuído, conforme mostrado na tabela abaixo. O gateway é o primeiro IP na sub-rede. A segunda metade usada para os VIPs internos é um pool privado de endereços gerenciado pelo Azure Stack SLB, não é mostrado na guia Uso de Endereço IP. Essas redes dão suporte ao Azure Stack e há ACLs nos comutadores TOR que impedem que essas redes sejam anunciadas e/ou acessadas fora da solução.

• Rack: Rack1
• Nome: CL01-RG01-SU01-Storage

Rede de infraestrutura do Azure Stack

A super-rede de rede de infraestrutura requer uma rede /24 e continua a ser uma /24 após a execução da ferramenta Planilha de Implantação. O gateway será o primeiro IP na sub-rede.

• Rack: Rack1
• Nome: CL01-RG01-SU01-Infra

Alternar rede de infraestrutura

A rede de infraestrutura é dividida em várias redes usadas pela infraestrutura de switch físico. Isso é diferente da infraestrutura do Azure Stack, que dá suporte apenas ao software Azure Stack. A rede de infra-estrutura do switch oferece suporte apenas à infraestrutura física do switch. As redes que são suportadas pela infra são:

• Ponto a ponto (P2P): essas redes permitem conectividade entre todos os switches. O tamanho da sub-rede é uma rede /30 para cada P2P. O IP mais baixo é sempre atribuído ao dispositivo upstream (Norte) na pilha.

• Loopback: Esses endereços são redes /32 atribuídas a cada switch usado no rack. Os dispositivos de borda não recebem um loopback, pois não se espera que façam parte da solução Azure Stack.

• Gerenciamento de switch ou gerenciamento de switch: Esta rede /29 suporta as interfaces de gerenciamento dedicadas dos switches no rack. Os IPs são atribuídos da seguinte forma; essa tabela também pode ser encontrada na guia Uso de Endereço IP da Planilha de Implantação:

• Rack: Rack1

• Nome: SwitchMgmt

Preparar o ambiente

A imagem do host do ciclo de vida do hardware contém o contêiner Linux necessário que é usado para gerar a configuração do comutador de rede física.

O kit de ferramentas de implantação de parceiro mais recente inclui a imagem de contêiner mais recente. A imagem do contêiner no host do ciclo de vida do hardware pode ser substituída quando for necessário gerar uma configuração de switch atualizada.

Aqui estão as etapas para atualizar a imagem do contêiner:

1. Baixar a imagem do contêiner

2. Substitua a imagem do contêiner no seguinte local

Gerar configuração

Aqui, vamos orientá-lo nas etapas de geração dos arquivos JSON e dos arquivos de configuração do switch de rede:

1. Abra a planilha de implantação

2. Preencha todos os campos obrigatórios em todas as guias

3. Invoque a função "Gerar" na Planilha de Implantação.
   Duas guias extras serão criadas exibindo as sub-redes e atribuições IP geradas.

4. Revise os dados e, uma vez confirmados, invoque a função "Exportar".
   Você será solicitado a fornecer uma pasta na qual os arquivos JSON serão salvos.

5. Execute o contêiner usando o Invoke-SwitchConfigGenerator.ps1. Esse script requer um console do PowerShell com privilégios elevados para ser executado e requer os parâmetros a seguir para ser executado.

   • ContainerName – Nome do contêiner que gerará as configurações do switch.

   • ConfigurationData – Caminho para o arquivo ConfigurationData.json exportado da Planilha de Implantação.

   • OutputDirectory – Caminho para o diretório de saída.

   • Offline – Sinaliza que o script é executado no modo offline.

   C:\\WINDOWS\\system32\> .\\Invoke-SwitchConfigGenerate.ps1 -ContainerName generalonrampacr.azurecr.io/master -ConfigurationData .\\ConfigurationData.json -OutputDirectory c:\\temp -Offline
   

Quando o script for concluído, ele produzirá um arquivo zip com o prefixo usado na planilha.

C:\WINDOWS\system32> .\Invoke-SwitchConfigGenerate.ps1 -ContainerName generalonrampacr.azurecr.io/master -ConfigurationData .\ConfigurationData.json -OutputDirectory c:\temp -Offline                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                         
Seconds : 2
Section : Validation
Step    : WindowsRequirement
Status  : True
Detail  : @{CurrentImage=10.0.18363.0}


Seconds : 2
Section : Validation
Step    : DockerService
Status  : True
Detail  : @{Status=Running}


Seconds : 9
Section : Validation
Step    : DockerSetup
Status  : True
Detail  : @{CPU=4; Memory=4139085824; OS=Docker Desktop; OSType=linux}


Seconds : 9
Section : Validation
Step    : DockerImage
Status  : True
Detail  : @{Container=generalonrampacr.azurecr.io/master:1.1910.78.1}


Seconds : 10
Section : Run
Step    : Container
Status  : True
Detail  : @{ID=2a20ba622ef9f58f9bcd069c3b9af7ec076bae36f12c5653f9469b988c01706c; ExternalPort=32768}


Seconds : 38
Section : Generate
Step    : Config
Status  : True
Detail  : @{OutputFile=c:\temp\N22R19.zip}


Seconds : 38
Section : Exit
Step    : StopContainer
Status  : True
Detail  : @{ID=2a20ba622ef9f58f9bcd069c3b9af7ec076bae36f12c5653f9469b988c01706c}

Configuração personalizada

Você pode modificar algumas configurações ambientais para a configuração do comutador do Azure Stack. Você pode identificar quais configurações podem ser alteradas no modelo. Este artigo explica cada uma dessas configurações personalizáveis e como as alterações podem afetar seu Azure Stack. Essas configurações incluem atualização de senha, servidor syslog, monitoramento SNMP, autenticação e lista de controle de acesso.

Durante a implantação da solução Azure Stack, o OEM (fabricante do equipamento original) cria e aplica a configuração do comutador para TORs e BMC. O OEM usa a ferramenta de automação do Azure Stack para validar se as configurações necessárias estão definidas corretamente nesses dispositivos. A configuração é baseada nas informações em sua Planilha de Implantação do Azure Stack.

No entanto, existem alguns valores que podem ser adicionados, removidos ou alterados na configuração dos comutadores de rede.

Atualização de senha

O operador pode atualizar a senha de qualquer usuário nos switches de rede a qualquer momento. Não há um requisito para alterar nenhuma informação no sistema do Azure Stack ou usar as etapas para Girar segredos no Azure Stack.

Servidor syslog

Os operadores podem redirecionar os logs do switch para um servidor syslog em seu datacenter. Use essa configuração para garantir que os logs de um determinado ponto no tempo possam ser usados para solução de problemas. Por padrão, os logs são armazenados nos switches; sua capacidade de armazenar logs é limitada. Verifique a seção Atualizações da lista de controle de acesso para obter uma visão geral de como configurar as permissões para acesso de gerenciamento de comutador.

Monitoramento SNMP

O operador pode configurar o protocolo de gerenciamento de rede simples (SNMP) v2 ou v3 para monitorar os dispositivos de rede e enviar interceptações para um aplicativo de monitoramento de rede no datacenter. Por motivos de segurança, use o SNMPv3, pois é mais seguro que a v2. Consulte seu fornecedor de hardware OEM para obter as MIBs e a configuração necessária. Verifique a seção Atualizações da lista de controle de acesso para obter uma visão geral de como configurar as permissões para acesso de gerenciamento de comutador.

Autenticação

O operador pode configurar RADIUS ou TACACS para gerenciar a autenticação nos dispositivos de rede. Consulte seu fornecedor de hardware OEM para obter os métodos suportados e a configuração necessária. Verifique a seção Atualizações da lista de controle de acesso para obter uma visão geral de como configurar as permissões para acesso ao Gerenciamento de Comutadores.

Atualizações da lista de controle de acesso

O operador pode alterar algumas ACLs (listas de controle de acesso) para permitir o acesso às interfaces de gerenciamento de dispositivos de rede e ao HLH (host do ciclo de vida do hardware) de um intervalo de rede de datacenter confiável. O operador pode escolher qual componente será acessível e de onde. Com a lista de controle de acesso, o operador pode permitir que suas VMs de jumpbox de gerenciamento dentro de um intervalo de rede específico acessem a interface de gerenciamento do comutador, o sistema operacional HLH e o BMC HLH.

Para obter mais detalhes, consulte Lista de controle de acesso do switch físico.

TACACS, RADIUS e Syslog

A solução Azure Stack não será fornecida com uma solução TACACS ou RADIUS para controle de acesso de dispositivos como comutadores e roteadores, nem uma solução Syslog para capturar logs de comutador, mas todos esses dispositivos dão suporte a esses serviços. Para ajudar na integração com um servidor TACACS, RADIUS e/ou Syslog existente em seu ambiente, forneceremos um arquivo extra com a configuração do switch de rede, que permitirá ao engenheiro no local personalizar o switch de acordo com as necessidades do cliente.

Próximas etapas

Integração de rede