Upgrade a migrace partnerské brány VMware z verze 3.3.2 nebo 3.4 na 4.0

Tento dokument obsahuje pokyny k upgradu partnerské brány VMware vydání 3.3.2 nebo 3.4 na vydání 4.0.

Zařízení Brána SD-WAN Gateway obsahuje následující změny ve vydání 4.0:

Nové rozložení systémového disku založené na LVM, které umožňuje vyšší flexibilitu při správě svazků
Nová verze jádra
Nové a upgradované základní balíčky operačního systému
Vylepšené zabezpečení založené na srovnávacích testech centra zabezpečení internetu

Zařízení Brána SD-WAN Gateway obsahuje následující systémové změny ve vydání 4.0:

ifupdown se již nepoužívá, namísto něj se používá https://netplan.io/.
- ifup a ifdown již nejsou k dispozici.
- Konfigurace sítě je nyní v /etc/netplan oproti /etc/network/.
- etc/network/ifup.d a /etc/network/ifdown.d již nefungují. Jako umístění síťového dispečera je třeba použít /usr/lib/networkd-dispatcher (dormant.d, no-carrier.d, off.d, routable.d).
Zásadní změny v cloud-init. Skripty pro nasazení cloud-init je nutné zkontrolovat a otestovat na kompatibilitu.
Síťové nástroje (ifconfig, netstat atd.) se považují za „zastaralé“ a mohou být v budoucích verzích odstraněny.

Konfigurace sítě

ifupdown se již nepoužívá, namísto něj se používá https://netplan.io/. Konfigurace sítě byla přesunuta z /etc/network do /etc/netplan.

Příklad konfigurace sítě (mezera je důležitá!) - /etc/netplan/50-cloud-init.yaml:

network: 
  version: 2 
  ethernets: 
    eth0:
      addresses: 
        - 192.168.151.253/24 
      gateway4: 192.168.151.1
      nameservers: 
        addresses:
          - 8.8.8.8 
          - 8.8.4.4 
        search: [] 
      routes: 
        - to: 192.168.0.0/16
          via: 192.168.151.254
          metric: 100

     eth1:
      addresses: 
        - 192.168.152.251/24 
      gateway4: 192.168.152.1
      nameservers: 
        addresses: 
          - 8.8.8.8 
        search: []

Konfigurace sítě se po každém spuštění vygeneruje znovu. Chcete-li provést změny v konfiguraci umístění, deaktivujte síťovou konfiguraci pro cloudovou inicializaci:

echo 'network: {config: disabled}' > /etc/cloud/cloud.cfg.d/99-disable-network-config.cfg

Cloud-init

Balíček cloud-init byl upgradován na verzi 20.2. Více informací o balíčku cloud-init naleznete zde: https://cloudinit.readthedocs.io/en/stable/index.html

Příklad 1: jednoduchý

meta-data:

instance-id: vcg1

local-hostname: vcg1

user-data:

#cloud-config 
hostname: vcg1 
password: Velocloud123
chpasswd: {expire: False} 
ssh_pwauth: True

Příklad 2: nový styl konfigurace sítě (soubor network-config)

meta-data:

instance-id: vcg1 
local-hostname: vcg1

user-data:

#cloud-config
hostname: vcg1
password: Velocloud123
chpasswd: {expire: False}
ssh_pwauth: True
ssh_authorized_keys:
  - ssh-rsa  …  rsa-key

velocloud: 
  vcg: 
    vco: demo.velocloud.net 
    activation_code: F54F-GG4S-XGFI 
    vco_ignore_cert_errors: false 

runcmd:
  - 'echo “Welcome to VeloCloud”'

network-config Příklad 1:

version: 2
ethernets:
  eth0:
    addresses: 
      - 192.168.152.55/24
    gateway4: 192.168.152.1
    nameservers: 
      addresses:
        - 192.168.152.1 
  eth1:
    addresses:
      - 192.168.151.55/24
    gateway4: 192.168.151.1
    nameservers: 
      addresses:
        - 192.168.151.1

network-config Příklad 2:

POZNÁMKA: Pokud je v bráně více rozhraní a potřebujete vybrat pro výchozí bránu určité rozhraní jako upřednostňované, lze použít níže uvedenou konfiguraci (s hodnotou metriky) a vybrat správné rozhraní.

version: 2
ethernets:
eth0:
  addresses: [192.168.82.1/24]
eth1:
  addresses: [70.150.1.1/24]
  routes:
  - {metric: 1, to: 0.0.0.0/0, via: 70.150.1.254}
eth2:
  addresses: [70.155.1.1/24]
  routes:
  - {metric: 2, to: 0.0.0.0/0, via: 70.155.1.254}

Síťové nástroje

Síťové nástroje jako ifconfig, netstat, route atd. jsou považovány za „zastaralé“. Navrhované náhrady za software Net-tools jsou uvedeny v tabulce níže. Tyto příkazy zobrazí pouze informace pro hostitele Linux, a ne pro síť SD-WAN Overlay. POZNÁMKA: Více informací získáte pomocí příkazu: man ip.


Staré síťové nástroje	Nové odpovídající síťové nástroje
arp	ip n (ip neighbor)
ifconfig	ip a (ip addr), ip link, ip -s (ip -stats)
nameif	ip link, ifrename
netstat	ss, ip route (pro netstat-r), ip -s link (pro netstat -i), ip maddr (pro netstat-g)
route	ip r (ip route)

Vzorový výstup příkazů pro síťové nástroje

Vzorový výstup obsahuje potvrzení, že příkaz proběhl úspěšně. Níže jsou uvedeny vzorové výstupy z příkazů ip n (ip neighbor), ip a (ipaddr) a ip link.

ip n (ip neighbor):

root@SS-gateway-1:~# ip n 
192.168.0.100 dev eth2 lladdr 00:50:56:84:85:d4 REACHABLE 
192.168.0.250 dev eth2 lladdr 00:50:56:84:97:66 REACHABLE 
13.1.1.2 dev eth0 lladdr 00:50:56:84:e7:fa REACHABLE 
root@SS-gateway-1:~#

ip a (ipaddr):

root@SS-gateway-1:~# ip a 
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 
    inet 127.0.0.1/8 scope host lo 
       valid_lft forever preferred_lft forever 
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever 
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 4096 
    link/ether 00:50:56:84:a0:09 brd ff:ff:ff:ff:ff:ff 
    inet 13.1.1.1/24 brd 13.1.1.255 scope global eth0 
       valid_lft forever preferred_lft forever 
    inet6 fe80::250:56ff:fe84:a009/64 scope link 
       valid_lft forever preferred_lft forever 
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000 
    link/ether 00:50:56:84:a6:ab brd ff:ff:ff:ff:ff:ff 
    inet 101.101.101.1/24 brd 101.101.101.255 scope global eth1 
       valid_lft forever preferred_lft forever 
    inet6 fe80::250:56ff:fe84:a6ab/64 scope link 
       valid_lft forever preferred_lft forever 
4: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000 
    link/ether 00:50:56:84:bc:75 brd ff:ff:ff:ff:ff:ff 
    inet 192.168.0.201/24 brd 192.168.0.255 scope global eth2 
       valid_lft forever preferred_lft forever 
    inet6 fe80::250:56ff:fe84:bc75/64 scope link 
       valid_lft forever preferred_lft forever 
6: gwd1: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN group default qlen 4096 
    link/none 
    inet 169.254.129.1/32 scope global gwd1 
       valid_lft forever preferred_lft forever 
    inet6 fe80::27d5:9e46:e7f7:7198/64 scope link stable-privacy 
       valid_lft forever preferred_lft forever 
root@SS-gateway-1:~#

ip link

root@SS-gateway-1:~# ip link 
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 4096 
    link/ether 00:50:56:84:a0:09 brd ff:ff:ff:ff:ff:ff 
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000 
    link/ether 00:50:56:84:a6:ab brd ff:ff:ff:ff:ff:ff 
4: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000 
    link/ether 00:50:56:84:bc:75 brd ff:ff:ff:ff:ff:ff 
6: gwd1: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN mode DEFAULT group default qlen 4096 
    link/none 
root@SS-gateway-1:~#

Možnosti upgradu

Poznámka: Níže uvedené kroky vycházejí z předpokladu, že chcete ponechat stejnou IP adresu a název Brána SD-WAN Gateway pro nové zařízení Brána SD-WAN Gateway, nasazené ve vydání 4.0. Chcete-li však vytvořit nové zařízení Brána SD-WAN Gateway s jinou IP adresou, můžete postupovat podle nových procedur Brána SD-WAN Gateway.

Kvůli podstatným změnám v rozložení disku a systémových souborech není možné provést lokální upgrade ze starších vydání na vydání 4.0. Migrace bude vyžadovat nasazení nových systémů Brána SD-WAN Gateway 4.0 a vyřazení systémů, na nichž běží starší kód.

V případě Brány SD-WAN Gateway VPN nebo Brány SD-WAN Gateway NAT s dobře známými veřejnými IP adresami postupujte následujícím způsobem, jestliže je třeba veřejnou IP adresu Brána SD-WAN Gateway zachovat.

Postup (Procedure): (VNP nebo NAT Brány SD-WAN Gateway s dobře známými veřejnými IP adresami (VNP or NAT with Well-Known Public IP Addresses))

Spusťte nový systém Brána SD-WAN Gateway s pomocí bitové kopie vydání 4.0. Více informací (instalační procedury pro bránu) naleznete v průvodci nasazením pro svou platformu.
Vypněte starý systém Brána SD-WAN Gateway. Vypněte starý VM Brána SD-WAN Gateway (spuštěním příkazu “sudo poweroff” na konzole rozhraní příkazového řádku nebo vypnutím pomocí dostupných možností hypervizoru).
Přeneste veřejnou IP adresu do nového systému: zaktualizujte záznam NAT, aby odkazoval na nový systém Brána SD-WAN Gateway, nebo nakonfigurujte veřejnou IP adresu v novém síťovém rozhraní Brána SD-WAN Gateway. Nasaďte novou bránu s výše uvedenými příklady cloud-int pomocí stejné IP adresy jako předchozí Brána SD-WAN Gateway.
Získejte aktivační klíč z existujícího záznamu Brána SD-WAN Gateway v SASE Orchestrator (jak je popsáno v postupu).
1. V části SASE Orchestrator přejděte do nabídky Správa brány (Gateway Management) > Brány (Gateways).
2. Na obrazovce Brány (Gateways) vyberte Brána SD-WAN Gateway, pro kterou chcete získat aktivační klíč, a klikněte na šipku vpravo před názvem brány.
3. Rozbalí se informační pole a v dolní části najdete aktivační klíč, jak je znázorněno na níže uvedeném obrázku.
Nastavte vlastnost systému „gateway.activation.validate.deviceId” na False, viz obrázek níže. V případě potřeby naleznete více informací v sekci Systémové vlastnosti (System Properties) v příručce operátora VMware SD-WAN.
Reaktivujte nový systém Brána SD-WAN Gateway: v příkazovém řádku spusťte: “sudo /opt/vc/bin/activate.py -s <vco_address> <activation_code>”
Obnovte vlastnost systému „gateway.activation.validate.deviceId“ na původní hodnotu (je-li třeba).
Brána SD-WAN Gateway je nyní zaregistrováno a připraveno přijmout připojení ze zařízení Edge.

Poznámka: Reaktivaci Brána SD-WAN Gateway lze provést přes cloud-int, jak je popsáno v sekci Uživatelská data v tomto dokumentu.

Výstup z příkladu aktivace (Activation Example Output)

root@gateway/opt/vc# /opt/vc/bin/activate.py FLM6-CSV6-REJS-XFR5 -i -s 169.254.8.2

Activation successful, VCO overridden back to 169.254.8.2 root@SS1-gateway-2:/opt/vc#

Brány SD-WAN Gateway bez známých veřejných IP adres

Tato sekce je určena pouze pro Brány SD-WAN Gateway bez známé veřejné IP adresy, například Brány SD-WAN Gateway VPN. Platí-li tento scénář, postupujte podle návodu níže.

Postup: ( Brány SD-WAN Gateway bez známých veřejných IP adres) (Procedure: (Without Well-known Public IPs)

Spusťte nový systém Brána SD-WAN Gateway. Je-li třeba, nahlédněte do průvodce nasazením pro svou platformu (instalační procedury pro bránu).
Aktivujte nový systém Brána SD-WAN Gateway.
Přidejte nové Brána SD-WAN Gateway do fondu SASE Orchestrator Brána SD-WAN Gateway. Více informací naleznete v části „Správa brány (Gateway Management)“ v příručce operátora VMware SD-WAN.
1. Brána SD-WAN Gateway je nyní zaregistrováno a připraveno přijmout připojení ze zařízení Edge.
Odstraňte staré Brána SD-WAN Gateway z fondu SASE Orchestrator Brána SD-WAN Gateway. Více informací naleznete v sekci „Správa brány (Gateway Management)“ v příručce operátora VMware SD-WAN.
Vyřazení starého VM Brána SD-WAN Gateway. (Odstraňte záznam Brána SD-WAN Gateway z SASE Orchestrator a vyřaďte instanci VM z provozu.)

Získání aktivačního klíče brány přes rozhraní API

Při nasazení pomocí metody rozhraní API použijte následující příkaz: „network/getNetworkGateways“.

Vzorová odpověď:

{"jsonrpc":"2.0","result":[{"id":1, "activationKey":"69PX-YHY2-N5PZ-G3UW …

Konfigurace rozhraní pro předávání v datové rovině

Pro postup konfigurace rozhraní pro předávání v datové rovině viz Úlohy po instalaci.