昨天讲解了VPC网络的实际拓扑,今天来看一下与VPC上相关的网络配置,是怎么实现的。
下面是一张租户建完之后的拓扑图
下面来细细看一下这张拓扑:
出口路由器:
1、在这个出口路由器上有两个网口,一个是连接到“wan子网”交换机的eth1,地址为172.31.0.2/24,这个地址是系统分配的,在所有的VPC内部都是用的这个地址。
2、连接到VPC外部的接口是eth2,地址为200.200.200.18/24,在上篇文章中也提到过,为VPC的出口分配了弹性IP之后,系统会为出口路由器新增一个eth2网卡,这个IP就是分配的弹性IP啦。
3、另外,在出口路由器上会有一条默认路由,下一跳地址指向200.200.200.254/24,这个地址就是弹性IP所在的弹性IP池网关,VPC会默认将内网的包丢到弹性IP的网关去。
4、在地址转换的位置,会有两条策略,一条是将所有源为172.32.0.0/24和192.168.0.0/24网段的包,源IP全都转化为200.200.200.18/24,这样做的目的是:当外网出现与内网相同的这两个网段时,把源IP修改为200.200.200.18/24,确保回包不会回给内网的这两个网段。
5、然后第二条就是将所有从内网发往VPC外部的地址,全都转换为VPC的出口地址200.200.200.18/24。
6、除此之外,还会配置两条策略路由,第一条是将所有目的IP为内网地址的包,强行发给防火墙172.31.0.3,这条策略是在添加了内网防火墙之后才有的,目的是强行将所有的流量引到防火墙上去。
7、另一条是将所有的包都用策略路由引流到弹性IP池网关去,改策略用在租户多出口场景下,完成引流。
内部路由器:
1、在内部路由器上有四个网卡,分别连接在“wan子网”、“防火墙”、“NFV管理子网”和“租户子网1”,可以看到,连接到“wan子网”交换机的那条线路被禁用掉了,正是因为上面的出口路由器将所有流向子网的包引导到了防火墙,所以这条线路被关掉了。
2、在内部路由器上有一条默认路由,出口指向了172.31.1.254/24,对端是防火墙的口,也是因为要将内网的流量引导向防火墙。当然如果没有部署这个防火墙,这个默认路由的出口会指向被禁用的那个接口eth1。
在内网路由器这边,是没有地址转换策略和访问控制策略的。
3、但是在内网路由器上会有DHCP服务,172.31.0.0/24的池是用来与VPC出口路由器通信的, 172.32.0.0/24的池是NFV管理子网的网段,他们的网关地址都是1。
4、我们的子网是通过DHCP来获取IP的,192.168.0.0/24的池是租户业务子网的网段,这个网段在租户网络中是可以看到的(不可以修改哦),同时每新建一个子网,在网络拓扑中都会加一个DHCP池和交换机。禁用DHCP时,就会从虚拟路由器上禁用该DHCP池,这意味着租户新增的虚拟机不会自动得到地址,但是网关和网段依旧不能修改。
弹性IP
1、上面已经涉及到VPC出口的弹性IP配置,下面我们来看一下租户内的设备的弹性IP配置。先为内网添加一台虚拟机,为虚拟机分配弹性IP:200.200.200.19/24。
2、进入到网络拓扑中查看虚拟路由器条目:在源地址转换的位置新增了一条源IP,这条策略是没有配置出入网口的,对于所有的路由器接口都生效。和前面说的原理是一样的,当外网存在这个地址时,会将源IP修改为200.200.200.19,在回包的时候就会通过外网出去。在使用192.168.0.2上网时,则会通过200.200.200.19上网,而不会使用出口的弹性IP(200.200.200.18)。
3、在目的地址转换的位置,做了一条单独的地址映射,将目的IP为200.200.200.19的包转发到192.168.0.2去。
4、在策略路由的位置将源IP为192.168.0.2和200.200.200.19的包指向弹性IP池网关,此处是因为我用的同一个弹性IP池,所以看不出来作用,当VPC出口和租户虚拟机不使用同一弹性IP池的时候,来自租户虚拟机的流量就会被优先引流到租户虚拟机所在的弹性IP网关。
对于内网路由器是没有变化的。
总结一下
1、新增VPC之后:在VPC的内部路由器上会增加一条默认路由指向出口路由器。
2、为VPC出口路由器绑定了弹性IP之后:在出口路由器上新增一条默认路由和策略路由由指向弹性IP池网关。同时新增两条源地址转换,用于保障外部流量正常汇报和内部流量正常与外部通信。
3、在新增了内部防火墙之后:会在VPC出口路由器上会新增一条策略路由,将外部流量引向防火墙。在内网路由器上也会将原本指向出口路由器的默认路由指向防火墙用于引流。
4、在新增了租户虚拟机且为其绑定弹性IP之后:会在VPC出口路由加一条源地址转换和一条目的地址转换实现全端口映射。同时在策略路由会新增一条指向租户虚拟机的弹性IP池网关。
一共是两条默认路由,四条地址转换,三条策略路由~~~ |