Vous pouvez installer plusieurs dispositifs virtuels Services Gateway NSX Edge dans un centre de données. Chaque dispositif NSX Edge Appliance peut disposer d'un total de dix interfaces réseau internes et de liaison montante. Les interfaces internes se connectent à des groupes de ports sécurisés et font office de passerelle pour toutes les machines virtuelles protégées du groupe de ports. Le sous-réseau attribué à l'interface interne peut être un espace d'adresses IP routé publiquement ou un espace privé NAT/routé défini par la RFC 1918. Les règles de pare-feu et les autres services NSX Edge sont appliqués au trafic entre les interfaces.

Les interfaces de liaison montante d'une ESG se connectent à des groupes de ports de liaison montante ayant accès à un réseau d'entreprise partagé ou à un service qui propose la mise en réseau avec couche d'accès.

La liste suivante décrit la prise en charge de fonctionnalités par type d'interface (liaison montante et interne) sur une passerelle ESG.
  • DHCP : non pris en charge sur les interfaces de liaison montante. Reportez-vous à la remarque après cette liste à puces.
  • Redirecteur DNS : non pris en charge sur les interfaces de liaison montante.
  • HA : non prise en charge sur les interfaces de liaison montante, nécessite au moins une interface interne.
  • VPN SSL : l'adresse IP de l'écouteur doit faire partie d'une interface de liaison montante.
  • VPN IPsec : l'adresse IP locale doit faire partie d'une interface de liaison montante.
  • VPN de niveau 2 : seuls des réseaux internes peuvent être étendus.
Note : Par conception, le service DHCP est pris en charge sur les interfaces internes d'un dispositif NSX Edge. Cependant, dans certaines situations, vous pouvez choisir de configurer DHCP sur une interface de liaison montante du dispositif Edge et de ne configurer aucune interface interne. Dans ce cas, le dispositif Edge peut écouter les demandes du client DHCP sur l'interface de liaison montante et attribuer dynamiquement des adresses IP aux clients DHCP. Par la suite, si vous configurez une interface interne sur le même dispositif Edge, le service DHCP cesse de fonctionner, car le dispositif Edge commence à écouter les demandes du client DHCP sur l'interface interne.

La figure suivante montre un exemple de topologie. L'interface de liaison montante des passerelles Edge Service Gateway est connectée à l'infrastructure physique via le vSphere Distributed Switch. L'interface interne des passerelles Edge Service Gateway est connectée à un routeur logique via un commutateur de transit logique.

Vous pouvez configurer plusieurs adresses IP externes pour les services d'équilibrage de charge, de VPN site-à-site et NAT.

NSX Edge prend en charge deux machines virtuelles pour la haute disponibilité, toutes deux étant actualisées avec les configurations utilisateur. En cas d'échec des pulsations sur la machine virtuelle principale, I'état de la machine virtuelle secondaire devient actif. Ainsi, une machine virtuelle NSX Edge est en permanence active sur le réseau. NSX Edge réplique la configuration du dispositif principal pour le dispositif en veille. Deux machines virtuelles sont déployées sur vCenter dans le même pool de ressources et la même banque de données que le dispositif que vous avez configuré. Des adresses IP de liens locaux sont attribuées aux machines virtuelles HA dans NSX Edge HA pour que ces dernières puissent communiquer ensemble.

Conditions préalables

  • Le rôle Administrateur d'entreprise ou Administrateur NSX doit vous être attribué.
  • Vérifiez que la capacité du pool de ressources est suffisante pour que le dispositif virtuel de la passerelle ESG (Edge Services Gateway) puisse être déployé. Pour les ressources nécessaires à chaque taille de dispositif, consultez la section Configuration système requise pour NSX Data Center for vSphere.
  • Vérifiez que les clusters d'hôtes sur lesquels le dispositif NSX Edge Appliance sera installé sont préparés pour NSX. Consultez la section « Préparer des clusters d'hôtes pour NSX » dans le Guide d'installation de NSX.
  • Déterminez si vous souhaitez activer DRS. Si vous créez une passerelle Edge Services Gateway sur laquelle HA et DRS sont activés, les règles d'anti-affinité pour DRS sont créées afin d'empêcher le déploiement des dispositifs sur le même hôte. Si DRS n'est pas activé au moment de la création des dispositifs, les règles ne sont pas créées et les dispositifs peuvent être déployés ou déplacés vers le même hôte.

Procédure

  1. Connectez-vous à vSphere Web Client et accédez à Page d'accueil (Home) > Mise en réseau et sécurité (Networking & Security) > Dispositifs NSX Edge (NSX Edges).
  2. Cliquez sur Ajouter (Add), puis sur Edge Services Gateway.
  3. Entrez le nom, la description et d'autres détails de la passerelle ESG.
    Option Description
    Nom

    Entrez un nom pour la passerelle ESG qui s'affichera dans l'inventaire vCenter.

    Veillez à utiliser un nom unique au sein de toutes les passerelles ESG d'un même locataire.

    Nom d'hôte

    Facultative. Entrez un nom d'hôte que vous voulez afficher pour cette passerelle ESG dans l'interface de ligne de commande.

    Si vous n'entrez aucun nom d'hôte, l'ID du dispositif Edge, créé automatiquement, s'affiche dans l'interface de ligne de commande.

    Description Facultative. Saisissez une description de la passerelle ESG.
    Déployer NSX Edge

    Facultative. Sélectionnez cette option pour créer une machine virtuelle NSX Edge Appliance.

    Si vous ne sélectionnez pas cette option, la passerelle ESG ne fonctionne pas tant qu'une machine virtuelle n'est pas déployée.

    Haute disponibilité

    Facultative. Sélectionnez cette option pour activer et configurer la haute disponibilité sur la passerelle ESG.

    • Si vous devez exécuter des services avec état sur une passerelle ESG, équilibreur de charge, NAT, DHCP, etc., vous pouvez activer HA sur le dispositif Edge. HA permet de réduire le temps de basculement vers un dispositif Edge en veille lorsqu'un dispositif Edge actif échoue. L'activation de HA déploie un dispositif Edge autonome sur un hôte différent dans un cluster. Vous devez donc vous assurer que vous disposez de suffisamment de ressources dans votre environnement.
    • Si vous n'exécutez pas de services avec état sur la passerelle ESG et que votre passerelle ESG est utilisée uniquement pour le routage Nord-Sud, il est recommandé d'activer ECMP. ECMP utilise un protocole de routage dynamique pour découvrir le tronçon suivant vers une destination finale et pour converger pendant les pannes.

      La configuration d'ECMP peut considérablement augmenter la bande passante par le trafic d'équilibrage de charge sur plusieurs chemins et fournir la tolérance aux pannes pour les chemins défaillants. Dans cette configuration, l'interruption du plan de données est limitée à un sous-ensemble du trafic. Vous pouvez également activer HA sur chaque passerelle ESG pour fournir un basculement plus rapide plutôt que vous appuyer sur vSphere HA. Dans une configuration ECMP, vous devez également vous assurer que vous disposez de suffisamment de ressources dans votre environnement.

      Vous pouvez activer ECMP sur le dispositif Edge lors de la configuration du routage global et non lors du déploiement du dispositif Edge sur votre réseau.

  4. Spécifiez les paramètres d'interface de ligne de commande et d'autres paramètres de la passerelle ESG.
    Option Description
    Nom d'utilisateur Entrez un nom d'utilisateur que vous voulez utiliser pour la connexion à l'interface de ligne de commande Edge.
    Mot de passe Entrez un mot de passe comprenant au moins 12 caractères et conforme aux règles suivantes :
    • 255 caractères maximum
    • Au moins une lettre majuscule et une lettre minuscule
    • Au moins un chiffre
    • Au moins un caractère spécial
    • Ne doit pas contenir le nom d'utilisateur comme sous-chaîne
    • Un caractère ne doit pas être répété 3 fois ou plus de suite.
    Confirmer le mot de passe Entrez de nouveau le mot de passe pour le confirmer.
    Accès SSH

    Facultative. Activez l'accès SSH à la passerelle ESG. Par défaut, l'accès SSH est désactivé.

    Généralement, l'accès SSH est recommandé à des fins de dépannage.

    Mode FIPS

    Facultative. Par défaut, le mode FIPS est désactivé.

    Lorsque le mode FIPS est activé, toutes les communications sécurisées en provenance ou à destination du dispositif NSX Edge utilisent des protocoles ou des algorithmes cryptographiques qui sont autorisés par FIPS.

    Génération automatique de règles

    Facultative. Cette option est activée par défaut. Cette option permet la création automatique de règles de pare-feu, de NAT et de la configuration de routage, ce qui contrôle le trafic de certains services NSX Edge, notamment l'équilibrage de charge et VPN.

    Si vous désactivez la génération automatique de règles, vous devez ajouter manuellement les règles et les configurations. La génération automatique de règles ne crée pas de règles pour le trafic du canal de données.

    Journalisation du niveau de contrôle Edge Facultative. Par défaut, le niveau de journal est Infos.
  5. Configurez le déploiement du dispositif NSX Edge Appliance.
    1. Sélectionnez la taille du dispositif selon votre environnement.
      Taille du dispositif Description
      Compacte

      Convient uniquement pour les environnements de laboratoire ou de validation technique.

      Grande

      Dispose d'une ressource de CPU plus puissante, d'une plus grande capacité mémoire et d'un plus grand espace disque que la taille Compacte, et elle prend en charge un plus grand nombre d'utilisateurs VPN-Plus SSL simultanés.

      Super grande

      Convient lorsque vous avez besoin d'un haut débit et d'une vitesse de connexion élevée.

      Extra grande

      Convient aux environnements bénéficiant de l'équilibrage de charge gérant des millions de sessions simultanées.

      Pour les ressources nécessaires à chaque taille de dispositif, consultez la section Configuration système requise pour NSX Data Center for vSphere.

    2. Ajoutez un dispositif NSX Edge Appliance et spécifiez les détails de la ressource pour le déploiement de la VM.
      Par exemple :
      Option Valeur
      Cluster/Pool de ressources Gestion et Edge
      Banque de données ds-1
      Hôte esxmgt-01a.corp.local
      Réservation de ressources Géré par le système

      Reportez-vous à la section « Gestion des réservations de ressources du dispositif NSX Edge » dans Guide d'administration de NSX pour plus d'informations sur la réservation de ressources.

      Si vous avez activé HA, vous pouvez ajouter deux dispositifs. Si vous ajoutez un dispositif unique, NSX Edge réplique sa configuration pour le dispositif en veille. Pour que HA fonctionne correctement, vous devez déployer les deux dispositifs sur une banque de données partagée.

  6. Configurez les interfaces de la passerelle ESG.
    1. Spécifiez le nom, le type et d'autres détails de l'interface de base.
      Option Description
      Nom

      Entrez le nom de l'interface.

      Type

      Sélectionnez Interne ou Liaison montante. Pour que la haute disponibilité fonctionne, un dispositif Edge doit avoir au moins une interface interne.

      Connecté à

      Sélectionnez le groupe de ports ou le commutateur logique auquel vous voulez connecter cette interface.

    2. Configurez les sous-réseaux de l'interface.
      Option Description
      Adresse IP principale

      Sur une passerelle ESG, les adresses IPv4 et IPv6 sont prises en charge. Une interface peut avoir une adresse IP principale, plusieurs adresses IP secondaires et plusieurs sous-réseaux qui se chevauchent.

      Si vous entrez plusieurs adresses IP pour l'interface, vous pouvez sélectionner l'adresse IP principale.

      Seule une adresse IP principale est autorisée par interface et le dispositif Edge utilise l'adresse IP principale comme adresse source du trafic généré localement, par exemple syslog distant et des pings initiés par l'opérateur.

      Adresses IP secondaires

      Saisissez l'adresse IP secondaire. Pour entrer plusieurs adresses IP, utilisez une liste séparée par des virgules.

      Longueur du préfixe du sous-réseau

      Entrez le masque de sous-réseau de l'interface.

    3. Spécifiez les options suivantes pour l'interface.
      Option Description
      Adresses MAC

      Facultative. Vous pouvez entrer une adresse MAC pour chaque interface.

      Si vous modifiez l'adresse MAC à l'aide d'un appel API ultérieurement, vous devez redéployer le dispositif Edge après la modification de l'adresse MAC.

      MTU

      La valeur par défaut de la liaison montante et de l'interface interne est 1 500. Pour l'interface de jonction, la valeur par défaut est 1 600. Vous pouvez modifier la valeur par défaut, si nécessaire. Pour les sous-interfaces sur la jonction, la valeur par défaut est 1 500. Assurez-vous que la MTU de l'interface de jonction est égale ou supérieure à la MTU de la sous-interface.

      ARP de proxy

      Sélectionnez cette option si vous voulez que la passerelle ESG réponde aux demandes ARP destinées aux autres machines virtuelles.

      Cette option est utile notamment lorsque vous disposez du même sous-réseau de part et d'autre d'une connexion WAN.

      Envoyer ICMP Redirection Sélectionnez cette option si vous voulez que la passerelle ESG achemine des informations de routage aux hôtes.
      Inverser le filtre des chemins

      Cette option est activée par défaut. Lorsqu'elle est activée, elle vérifie l'accessibilité de l'adresse source dans les paquets transférés.

      En mode activé, le paquet doit être reçu sur l'interface que le routeur peut utiliser pour transférer le paquet de retour.

      En mode Loose, l'adresse source doit apparaître sur la table de routage.

      Paramètres de clôture

      Configurez des paramètres de délimitation si vous souhaitez réutiliser des adresses IP et MAC dans différents environnements délimités.

      Par exemple, sur une plate-forme de gestion de Cloud (CMP), la délimitation vous permet d'exécuter plusieurs instances de Cloud simultanément avec les mêmes adresses IP et MAC isolées ou « délimitées ».

      Le tableau suivant montre un exemple de deux interfaces NSX Edge. L'interface de liaison montante joint la passerelle ESG à l'environnement extérieur au moyen d'un groupe de ports de liaison montante sur un commutateur vSphere Distributed Switch. L'interface interne joint la passerelle ESG à un commutateur de transit logique auquel un routeur logique distribué est également associé.
      Tableau 1. Exemple : interfaces de NSX Edge
      vNIC n° Nom Adresse IP Longueur du préfixe du sous-réseau Connecté à
      0 Liaison montante 192.168.100.30 24 Mgmt_VDS-HQ_Uplink
      1 Interne 192.168.10.1* 29 transit-switch
      Important : NSX 6.4.4 et une version antérieure prend en charge la multidiffusion sur une interface de liaison montante unique de la passerelle ESG. À partir de NSX 6.4.5, la multidiffusion est prise en charge sur un maximum de deux interfaces de liaison montante de la passerelle ESG. Dans un scénario de déploiement de plusieurs instances de vCenter, si un dispositif NSX Edge est à la version 6.4.4 ou à une version antérieure, vous ne pouvez activer la multidiffusion que sur une seule interface de liaison montante. Pour activer la multidiffusion sur deux interfaces de liaison montante, vous devez mettre à niveau le dispositif Edge vers 6.4.5 ou vers une version ultérieure.
  7. Configurez les paramètres de la passerelle par défaut.
    Par exemple :
    Option Valeur
    vNIC Liaison montante
    Adresse IP de la passerelle 192.168.100.2
    MTU 1 500
    Note : Vous pouvez modifier la valeur de MTU, mais elle ne peut pas être supérieure à la valeur de MTU configurée sur l'interface.
  8. Configurez la stratégie de pare-feu par défaut.
    Attention : Si vous ne configurez pas la stratégie de pare-feu, la stratégie par défaut est définie pour refuser l'ensemble du trafic. Toutefois, le pare-feu est activé sur la passerelle ESG pendant le déploiement, par défaut.
  9. Configurez la journalisation de la passerelle ESG et les paramètres HA.
    1. Activez ou désactivez la journalisation sur le dispositif NSX Edge Appliance.

      Par défaut, les journaux sont activés sur tous les nouveaux dispositifs NSX Edge. Le niveau de journalisation par défaut est Infos. Si des journaux sont stockés localement sur la passerelle ESG, la journalisation peut générer un volume trop important de journaux, ce qui a une incidence sur les performances de votre dispositif NSX Edge. Pour cette raison, vous devez de préférence configurer des serveurs Syslog distants et transférer tous les journaux à un collecteur centralisé à des fins d'analyse et de surveillance.

    2. Si vous avez activé la haute disponibilité, configurez les paramètres HA suivants.
      Option Description
      vNIC

      Sélectionnez l'interface interne pour laquelle vous voulez configurer des paramètres HA. Par défaut, HA sélectionne automatiquement une interface interne et attribue automatiquement des adresses IP de liens locaux.

      Si vous sélectionnez TOUTES pour l'interface, mais qu'aucune interface interne n'est configurée, l'interface utilisateur affiche une erreur. Deux dispositifs Edge sont créés, mais du fait qu'aucune interface interne n'est configurée, le nouveau dispositif NSX Edge reste en veille et HA est désactivée. Une fois une interface interne configurée, HA est activée sur le dispositif NSX Edge.

      déclarer un temps mort

      Entrez la période, exprimée en secondes, au cours de laquelle si le dispositif de sauvegarde ne reçoit pas de signal de pulsation du dispositif principal, ce dernier est considéré comme étant inactif et le dispositif de sauvegarde prend le relais.

      L'intervalle par défaut est de 15 secondes.

      Adresses IP de gestion

      Facultatif : vous pouvez entrer deux adresses IP de gestion au format CIDR pour remplacer les adresses IP de liens locaux attribuées aux machines virtuelles HA.

      Assurez-vous que les adresses IP de gestion ne chevauchent pas les adresses IP utilisées pour toute autre interface et n'interfèrent pas avec le routage du trafic. N'utilisez pas l'une des adresses IP de votre réseau, même si ce réseau n'est pas directement rattaché au dispositif.

      Les adresses IP de gestion doivent se trouver dans le même sous-réseau L2 et doivent pouvoir communiquer entre elles.

  10. Passez en revue tous les paramètres de la passerelle ESG avant de déployer le dispositif.

Résultats

Une fois la passerelle ESG déployée, accédez à la vue Hôtes et clusters et ouvrez la console du dispositif virtuel NSX Edge. Dans la console, assurez-vous de pouvoir exécuter une commande ping sur les interfaces connectées.

Que faire ensuite

Lorsque vous installez un dispositif NSX Edge Appliance, NSX permet le démarrage/arrêt automatique des VM sur l'hôte si vSphere HA est désactivé sur le cluster. Si les VM du dispositif sont par la suite migrées vers d'autres hôtes du cluster, le mécanisme de démarrage/arrêt automatique des VM peut ne pas être activé sur ces nouveaux hôtes. C'est la raison pour laquelle, lorsque vous installez des dispositifs NSX Edge sur des clusters où vSphere HA est désactivé, vous devez de préférence vérifier tous les hôtes du cluster pour vous assurer que le démarrage/arrêt automatique des machines virtuelles est activé. Dans Administration d'une machine virtuelle vSphere, consultez la section « Modifier les paramètres de démarrage et d'arrêt d'une machine virtuelle ».

Vous pouvez à présent configurer le routage afin d'autoriser la connectivité entre des périphériques externes et vos machines virtuelles.