NSX Advanced Load Balancer 在服务引擎上支持专用接口，以用于以下环境中的 HSM 通信：

  • Cisco CSP

  • vCenter 无 Orchestrator 模式

注：

NSX Advanced Load Balancer 支持在 vCenter 无 Orchestrator 环境中部署的服务引擎使用专用的接口。

NSX Advanced Load Balancer 服务引擎上的专用硬件安全模块 (HSM) 接口使用以下配置参数：

  • avi.hsm-ip.SE

  • avi.hsm-static-routes.SE

  • avi.hsm-vnic-id.SE

参数

YAML 参数

描述

格式

示例

avi.hsm-ip.SE

SE 上的专用 HSM vNIC 的 IP 地址（这不是 HSM 的 IP 地址）

IP 地址/子网掩码

avi.hsm-ip.SE: 10.160.103.227/24

avi.hsm-static-routes.SE

用于访问 HSM 设备的静态路由（以逗号分隔）。甚至可以提供 /32 路由。

注：

如果具有单个静态路由，请提供相同的路由，并确保方括号是成对的。另外，如果 HSM 设备位于与专用接口相同的子网中，请提供该网关以作为子网的默认网关。

[HSM 网络 1/掩码 1 via 网关 1, HSM 网络 2/掩码 2 via 网关 2] 或 [HSM 网络 1/掩码 1 via 网关 1]

avi.hsm-static-routes.SE: [10.128.1.0/24 via 10.160.103.1, 10.128.2.0/24 via 10.160.103.2]

avi.hsm-vnic-id.SE

对于 CSP，这是专用 HSM vNIC 的 ID，在 CSP 上通常为 3（vNIC0 是管理接口，vNIC1 是数据输入接口，vNIC2 是数据输出接口）。对于 vCenter 无 Orchestrator，这是 vNIC ID（例如：“3”表示“Eth3”）。

数字 vNIC ID

avi.hsm-vnic-id.SE: '3'

Cisco CSP

用于在 CSP 上进行零日配置的示例 YAML 文件如下所示：

bash# cat avi_meta_data_dedicated_hsm_SE.yml
avi.mgmt-ip.SE: "10.128.2.18"
avi.mgmt-mask.SE: "255.255.255.0"
avi.default-gw.SE: "10.128.2.1"
AVICNTRL: "10.10.22.50"
AVICNTRL_AUTHTOKEN: “febab55d-995a-4523-8492-f798520d4515"
avi.hsm-ip.SE: 10.160.103.227/24
avi.hsm-static-routes.SE:[ 10.128.1.0/24 via 10.160.103.1, 10.128.2.0/24 via 10.160.103.2]
avi.hsm-vnic-id.SE: '3'

在使用零日配置文件创建 NSX Advanced Load Balancer 服务引擎并将相应虚拟网卡接口添加到 Cisco CSP 上的 SE 服务实例后，请确认成功应用了专用 vNIC 配置，并且可以通过该接口访问 HSM 设备。此处，为接口 eth3（专用 HSM 接口）配置了 IP 10.160.103.227/24。

登录到 NSX Advanced Load Balancer SE 的 Bash 提示符，运行 ip route 命令，并执行 Ping 测试以检查能否访问专用接口 IP。

bash# ssh admin@<SE-MGMT-IP>
bash# ifconfig eth3
eth3      Link encap:Ethernet  HWaddr 02:6a:80:02:11:05  
          inet addr:10.160.103.227  Bcast:10.160.103.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:4454601 errors:0 dropped:1987 overruns:0 frame:0
          TX packets:4510346 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
       
          RX bytes:672683711 (672.6 MB)  TX bytes:875329395 (875.3 MB)
bash# ip route
default via 10.128.2.1 dev eth0 
10.128.1.0/24 via 10.160.103.1 dev eth3
10.128.2.0/24 via 10.160.103.2 dev eth3
10.128.2.0/24 dev eth0  proto kernel  scope link  src 10.128.2.27 
10.160.103.0/24 dev eth3  proto kernel  scope link  src 10.160.103.227
bash# ping -I eth3 <HSM-IP>
ping -I eth3 10.128.1.51
PING 10.128.1.51 (10.128.1.51) from 10.160.103.227 eth3: 56(84) bytes of data.
64 bytes from 10.128.1.51: icmp_seq=1 ttl=62 time=0.229 ms

vCenter 无 Orchestrator

在部署服务引擎时，将上面列出的 OVF 属性添加到虚拟机中。对于现有的服务引擎，可以关闭 SE 虚拟机电源，添加 OVF 属性，然后打开虚拟机电源。