Azure Stack Hub sağlamlaştırılmış ağ dağıtımı

Bu konu, TOR anahtarları, IP adresi atamaları ve diğer ağ dağıtım görevlerine erişim iznini kapsar.

Yapılandırma dağıtımlarını planlama

Sonraki bölümlerde izinler ve IP adresi atamaları ele alınıyor.

Fiziksel anahtar erişim denetimi listesi

Azure Stack çözümünü korumak için TOR anahtarlarında erişim denetim listeleri (ACL' ler) uyguladık. Bu bölümde bu güvenliğin nasıl uygulandığı açıklanmaktadır. Aşağıdaki tabloda Azure Stack çözümü içindeki her ağın kaynakları ve hedefleri gösterilmektedir:

Aşağıdaki tablo, ACL başvurularını Azure Stack ağlarıyla ilişkilendirmektedir.

IP adresi atamaları

Dağıtım Çalışma Sayfasında, Azure Stack dağıtım işlemini desteklemek için aşağıdaki ağ adreslerini sağlamanız istenir. Dağıtım ekibi, IP ağlarını sistemin gerektirdiği tüm küçük ağlara bölmek için Dağıtım Çalışma Sayfası aracını kullanır. Her ağın ayrıntılı açıklamaları için lütfen yukarıdaki "AĞ TASARIMI VE ALT YAPI" bölümüne bakın.

Bu örnekte, Dağıtım Çalışma Sayfasının Ağ Ayarları sekmesini aşağıdaki değerlerle dolduracağız:

• BMC Ağı: 10.193.132.0 /27

• Özel Ağ Depolama Ağı ve İç VIP'ler: 11.11.128.0 /24

• Altyapı Ağı: 12.193.130.0 /24

• Genel Sanal IP (VIP) Ağı: 13.200.132.0 /24

• Altyapı Ağını Değiştir: 10.193.132.128 /26

Dağıtım Çalışma Sayfası aracının Generate işlevini çalıştırdığınızda, elektronik tabloda iki yeni sekme oluşturulur. İlk sekme Alt Ağ Özeti'dir ve sistemin gerektirdiği tüm ağları oluşturmak için süper ağların nasıl bölündüğünü gösterir. Aşağıdaki örneğimizde bu sekmede bulunan sütunların yalnızca bir alt kümesi vardır. Gerçek sonuç, listelenen her ağ hakkında daha fazla ayrıntıya sahiptir:

İkinci sekme IP Adresi Kullanımı'dır ve IP'lerin nasıl kullanılacağını gösterir:

BMC ağı

BMC ağı için süper ağ en az /26 ağ gerektirir. Ağ geçidi, ağdaki ilk IP'yi ve ardından raftaki BMC cihazlarını kullanır. Donanım yaşam döngüsü konağının bu ağda atanmış birden çok adresi vardır ve rafı dağıtmak, izlemek ve desteklemek için kullanılabilir. Bu IP'ler 3 gruba dağıtılır: DVM, InternalAccessible ve ExternalAccessible.

• Raf: Raf1
• Ad: BMCMgmt

Depolama ağı

Depolama ağı özel bir ağdır ve rafın dışına yönlendirilmesi amaçlanmamıştır. Bu, Özel Ağ üst ağının ilk yarısıdır ve aşağıdaki tabloda gösterildiği gibi dağıtılan anahtar tarafından kullanılır. Ağ geçidi alt ağdaki ilk IP'dir. İç VIP'ler için kullanılan ikinci yarı, Azure Stack SLB tarafından yönetilen özel bir adres havuzudur ve IP Adresi Kullanımı sekmesinde gösterilmez. Bu ağlar Azure Stack'i destekler ve TOR anahtarlarında bu ağların çözüm dışında tanıtılmasını ve/veya bunlara erişmesini engelleyen ACL'ler vardır.

• Raf: Raf1
• Ad: CL01-RG01-SU01-Storage

Azure Stack altyapı ağı

Altyapı ağı üst ağı bir /24 ağı gerektirir ve Dağıtım Çalışma Sayfası aracı çalıştırıldıktan sonra bu işlem /24 olarak devam eder. Ağ geçidi alt ağdaki ilk IP olacaktır.

• Raf: Raf1
• Ad: CL01-RG01-SU01-Infra

Altyapı ağını değiştirme

Altyapı ağı, fiziksel anahtar altyapısı tarafından kullanılan birden çok ağa ayrılır. Bu, yalnızca Azure Stack yazılımını destekleyen Azure Stack Altyapısından farklıdır. Switch Infra Network yalnızca fiziksel anahtar altyapısını destekler. Tarafından desteklenen ağlar şunlardır:

• Noktadan noktaya (P2P): Bu ağlar tüm anahtarlar arasında bağlantıya izin verir. Alt ağ boyutu, her P2P için bir /30 ağıdır. En düşük IP her zaman yığındaki yukarı akış (Kuzey) cihazına atanır.

• Geri döngü: Bu adresler, rafta kullanılan her anahtara atanmış /32 ağlardır. Azure Stack çözümünün parçası olması beklenmediği için sınır cihazlarına bir geri döngü atanmadı.

• Anahtar Mgmt veya Anahtar Yönetimi: Bu /29 ağı, raftaki anahtarların ayrılmış yönetim arabirimlerini destekler. IP'ler aşağıdaki gibi atanır; Bu tablo, Dağıtım Çalışma Sayfası'nın IP Adresi Kullanımı sekmesinde de bulunabilir:

• Raf: Raf1

• Ad: SwitchMgmt

Ortamı hazırlama

Donanım yaşam döngüsü ana bilgisayar görüntüsü, fiziksel ağ anahtarı yapılandırmasını oluşturmak için kullanılan gerekli Linux kapsayıcısını içerir.

En son iş ortağı dağıtım araç seti en son kapsayıcı görüntüsünü içerir. Donanım yaşam döngüsü konağındaki kapsayıcı görüntüsü, güncelleştirilmiş bir anahtar yapılandırması oluşturulması gerektiğinde değiştirilebilir.

Kapsayıcı görüntüsünü güncelleştirme adımları şunlardır:

1. Kapsayıcı görüntüsünü indirme

2. Kapsayıcı görüntüsünü aşağıdaki konumda değiştirin

Yapılandırma oluşturma

Burada JSON dosyalarını ve Ağ Anahtarı Yapılandırma dosyalarını oluşturma adımlarında size yol göstereceğiz:

1. Dağıtım Çalışma Sayfası'nı açma

2. Tüm sekmelerdeki tüm gerekli alanları doldurun

3. Dağıtım Çalışma Sayfasında "Oluştur" işlevini çağırın.
   Oluşturulan IP alt ağlarını ve atamalarını görüntüleyen iki ek sekme oluşturulur.

4. Verileri gözden geçirin ve onayladıktan sonra "Dışarı Aktar" işlevini çağırın.
   JSON dosyalarının kaydedileceği bir klasör sağlamanız istenir.

5. Invoke-SwitchConfigGenerator.ps1 dosyasını kullanarak kapsayıcıyı yürütebilirsiniz. Bu betiğin yürütülmesi için yükseltilmiş bir PowerShell konsolu gerekir ve aşağıdaki parametrelerin yürütülmesi gerekir.

   • ContainerName – Anahtar yapılandırmalarını oluşturacak kapsayıcının adı.

   • ConfigurationData – Dağıtım Çalışma Sayfasından dışarı aktarılan ConfigurationData.json dosyasının yolu.

   • OutputDirectory – Çıkış dizininin yolu.

   • Çevrimdışı – Betiğin çevrimdışı modda çalıştığını belirtir.

   C:\\WINDOWS\\system32\> .\\Invoke-SwitchConfigGenerate.ps1 -ContainerName generalonrampacr.azurecr.io/master -ConfigurationData .\\ConfigurationData.json -OutputDirectory c:\\temp -Offline
   

Betik tamamlandığında, çalışma sayfasında kullanılan ön eke sahip bir zip dosyası oluşturur.

C:\WINDOWS\system32> .\Invoke-SwitchConfigGenerate.ps1 -ContainerName generalonrampacr.azurecr.io/master -ConfigurationData .\ConfigurationData.json -OutputDirectory c:\temp -Offline                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                         
Seconds : 2
Section : Validation
Step    : WindowsRequirement
Status  : True
Detail  : @{CurrentImage=10.0.18363.0}


Seconds : 2
Section : Validation
Step    : DockerService
Status  : True
Detail  : @{Status=Running}


Seconds : 9
Section : Validation
Step    : DockerSetup
Status  : True
Detail  : @{CPU=4; Memory=4139085824; OS=Docker Desktop; OSType=linux}


Seconds : 9
Section : Validation
Step    : DockerImage
Status  : True
Detail  : @{Container=generalonrampacr.azurecr.io/master:1.1910.78.1}


Seconds : 10
Section : Run
Step    : Container
Status  : True
Detail  : @{ID=2a20ba622ef9f58f9bcd069c3b9af7ec076bae36f12c5653f9469b988c01706c; ExternalPort=32768}


Seconds : 38
Section : Generate
Step    : Config
Status  : True
Detail  : @{OutputFile=c:\temp\N22R19.zip}


Seconds : 38
Section : Exit
Step    : StopContainer
Status  : True
Detail  : @{ID=2a20ba622ef9f58f9bcd069c3b9af7ec076bae36f12c5653f9469b988c01706c}

Özel yapılandırma

Azure Stack anahtar yapılandırmanız için birkaç ortam ayarı değiştirebilirsiniz. Şablonda hangi ayarları değiştirebileceğinizi belirleyebilirsiniz. Bu makalede bu özelleştirilebilir ayarların her biri ve değişikliklerin Azure Stack'inizi nasıl etkileyebileceği açıklanmaktadır. Bu ayarlar parola güncelleştirmesi, syslog sunucusu, SNMP izleme, kimlik doğrulaması ve erişim denetimi listesini içerir.

Azure Stack çözümünün dağıtımı sırasında, özgün ekipman üreticisi (OEM) hem ÇEKME'ler hem de BMC için anahtar yapılandırmasını oluşturur ve uygular. OEM, gerekli yapılandırmaların bu cihazlarda düzgün ayarlandığını doğrulamak için Azure Stack otomasyon aracını kullanır. Yapılandırma, Azure Stack Dağıtım Çalışma Sayfanızdaki bilgileri temel alır.

Ancak, ağ anahtarlarının yapılandırmasında eklenebilecek, kaldırılabilir veya değiştirilebilen bazı değerler vardır.

Parola güncelleştirmesi

operatör, ağ anahtarlarındaki herhangi bir kullanıcının parolasını istediği zaman güncelleştirebilir. Azure Stack sistemindeki herhangi bir bilgiyi değiştirme veya Azure Stack'te gizli dizileri döndürme adımlarını kullanma gereksinimi yoktur.

Syslog sunucusu

Operatörler, anahtar günlüklerini veri merkezlerindeki bir syslog sunucusuna yönlendirebilir. Belirli bir zaman noktasındaki günlüklerin sorun giderme için kullanılabildiğinden emin olmak için bu yapılandırmayı kullanın. Günlükler varsayılan olarak anahtarlarda depolanır; günlükleri depolama kapasiteleri sınırlıdır. Geçiş yönetimi erişimi izinlerini yapılandırmaya genel bir bakış için Erişim denetim listesi güncelleştirmeleri bölümüne bakın.

SNMP izleme

Operatör, ağ cihazlarını izlemek ve tuzakları veri merkezi üzerindeki bir ağ izleme uygulamasına göndermek için basit ağ yönetimi protokolü (SNMP) v2 veya v3 yapılandırabilir. Güvenlik nedeniyle, v2'den daha güvenli olduğundan SNMPv3 kullanın. Gereken MIB'ler ve yapılandırma için OEM donanım sağlayıcınıza başvurun. Geçiş yönetimi erişimi izinlerini yapılandırmaya genel bir bakış için Erişim denetim listesi güncelleştirmeleri bölümüne bakın.

Kimlik Doğrulaması

operatör, ağ cihazlarında kimlik doğrulamasını yönetmek için RADIUS veya TACACS yapılandırabilir. Desteklenen yöntemler ve gerekli yapılandırma için OEM donanım sağlayıcınıza başvurun. Geçiş Yönetimi erişimi izinlerini yapılandırmaya genel bir bakış için Erişim denetim listesi güncelleştirmeleri bölümüne bakın.

Erişim denetimi listesi güncelleştirmeleri

Operatör, güvenilir bir veri merkezi ağ aralığından ağ cihaz yönetimi arabirimlerine ve donanım yaşam döngüsü konağına (HLH) erişim sağlamak için bazı erişim denetimi listelerini (ACL) değiştirebilir. İşleç, hangi bileşene ve nereden ulaşılacağını seçebilir. Erişim denetimi listesiyle, işleç belirli bir ağ aralığındaki yönetim sıçrama kutusu VM'lerinin anahtar yönetimi arabirimine, HLH işletim sistemine ve HLH BMC'ye erişmesine izin verebilir.

Daha fazla ayrıntı için bkz . Fiziksel anahtar erişim denetimi listesi.

TACACS, RADIUS ve Syslog

Azure Stack çözümü, anahtarlar ve yönlendiriciler gibi cihazların erişim denetimi için bir TACACS veya RADIUS çözümü ya da anahtar günlüklerini yakalamak için bir Syslog çözümü ile birlikte gönderilmez, ancak tüm bu cihazlar bu hizmetleri destekler. Ortamınızdaki mevcut bir TACACS, RADIUS ve/veya Syslog sunucusuyla tümleştirmeye yardımcı olmak için, mühendisin müşterinin ihtiyaçlarına göre anahtarı özelleştirmesine olanak tanıyan Ağ Anahtarı Yapılandırması ile ek bir dosya sağlayacağız.

Sonraki adımlar

Ağ tümleştirmesi