Der
VMware SD-WAN Orchestrator speichert und exportiert über APIs sensible Informationen über Kunden und deren Netzwerke. Um die kundensensiblen Informationen vor Ort vor externen Angriffen zu schützen und den Zugriff auf ihre APIs einzuschränken, unterstützt
VMware SD-WAN die Konfiguration eines Bastion-Orchestrator (öffentlicher Orchestrator) in einer demilitarisierten Zone (DMZ) mit Internet-Zugriff zum Zweck der Bereitstellung und der Aktivierung eines
SD-WAN Edge. Wenn die Bastion-Orchestrator-Funktion aktiviert ist, kann ein Operator-Superuser mithilfe des Aktivierungsschlüssels, der vom Produktions-Orchestrator (Privat) empfangen wurde, einen bereitgestellten Edge für den Bastion-Orchestrator aktivieren. Der aktivierte Edge wird dann über eine sichere Kommunikation vom Bastion-Orchestrator zum Produktions-Orchestrator hochgestuft.
Hinweis: In diesem Dokument wird der Begriff „Bastion-Orchestrator“ synonym mit dem Begriff „Öffentlicher Orchestrator“ verwendet, und der Begriff „Produktions-Orchestrator“ wird synonym mit dem Begriff „Privater Orchestrator“ verwendet.
Das folgende Diagramm veranschaulicht den Architektur- und Aktivierungsworkflow des Bastion Orchestrator.
Die Bastion-Orchestrator-Architektur besteht aus zwei SD-WAN-Orchestrator-Instanzen, die miteinander kommunizieren. Die öffentliche Instanz des Bastion-Paars ist „Bastion Orchestrator“, und die private Instanz ist „Produktions-Orchestrator“. Der Aktivierungsworkflow „Bastion-Orchestrator – Edge“ umfasst die folgenden Schritte:
Während der Bastion-Konfiguration können Sie nur ein Operator-Superuser-Konto für den Bastion-Orchestrator bereitstellen. Sobald die Bastion-Verbindung zwischen den Bastion- und Produktions-Orchestrator-Instanzen hergestellt wurde, kann das Operator-Superuser-Konto für Notfallzwecke verwendet werden, um Zugriff auf den Bastion-Orchestrator zu erhalten. Der Operator-Superuser, der bereitgestellt ist, hat nur Zugriff auf die Konfigurationsseite von Bastion-Orchestrator.
Das Entkoppeln von Bastion-Orchestrator aus dem Produktions-Orchestrator (Zurück zum eigenständigen Modus (Return to Standalone Mode)) wird nicht unterstützt.
Zum Aktivieren eines Edge muss sich der Edge im Modus „Zertifikat erwerben (Certificate Acquire)“ befinden. Wenn Sie beim Hochstufen des Edge die WAN-Links mit dem Gateway als UP aktivieren, muss sich das Gateway im Modus „Zertifikat erwerben (Certificate Acquire)“ oder „Zertifikat erforderlich (Certificate Required)“ befinden.
Wenn Sie nach dem Hochstufen eines Edge vom Bastion-Orchestrator zum Produktions-Orchestrator ein Upgrade des Edge-Software-Images durchführen möchten, konfigurieren Sie die Systemeigenschaft vco.trusted.uuids auf dem Produktions-Orchestrator wie folgt:
Wobei uuid und sessionSecret Werte für die UUID und den geheimen Sitzungsschlüssel des Bastion-Orchestrator sind. Sie können die UUID und den geheimen Sitzungsschlüssel über die Systemeigenschaften vco.uuid und session.secret abrufen.
Nachdem das Gateway und die Edges im Bastion-Orchestrator bereitgestellt und aktiviert wurden, können Sie die Remote-Diagnosetests nicht mehr mithilfe des Produktions-Orchestrators für das im Bastion-Orchestrator bereitgestellte Gateway und die Edges durchführen.
Das von Bastion bereitgestellte Profil, das zum Bereitstellen eines Unternehmenskunden in Bastion-Orchestrator erstellt wird, sollte über eine Mindestkonfiguration in Bezug auf globale Segmente verfügen. Wenn die Profilentitäten aktualisiert werden, werden nur die Geräteeinstellungen, die Business Policy und die Firewall im globalen Segment mit dem Bastion-Orchestrator synchronisiert. Die folgenden Profilkonfigurationen werden nicht mit dem Bastion-Orchestrator synchronisiert:
Andere Segmente als das globale Segment
Konfigurationen für Netzwerksegmente
Objektgruppen
Notfallwiederherstellung für Bastion-Orchestrator
Im Wesentlichen wird die Notfallwiederherstellungsfunktionalität (Disaster Recovery, DR) für den Produktions-Orchestrator (Privater Orchestrator) unterstützt, für den Bastion-Orchestrator (Öffentlicher Orchestrator) hingegen nicht, da dieser statusfrei ist und Anweisungen vom Produktions-Orchestrator erhält.
