Το παρόν παρέχει οδηγίες σχετικά με τον τρόπο αναβάθμισης της πύλης συνεργατών VMware από την έκδοση 3.3.2 ή 3.4 στην έκδοση 4.0.
Η συσκευή για την Πύλη SD-WAN περιλαμβάνει τις ακόλουθες αλλαγές στην έκδοση 4.0:
- Μια νέα διάταξη δίσκου συστήματος που βασίζεται στο LVM για να επιτρέψει μεγαλύτερη ευελιξία στη διαχείριση τόμων
- Μια νέα έκδοση πυρήνα
- Νέα και αναβαθμισμένα βασικά πακέτα λειτουργικού συστήματος
- Βελτιωμένη ενίσχυση της ασφάλειας με βάση τη συγκριτική αξιολόγηση του Κέντρου για την ασφάλεια στο Internet
- Το ifupdown έχει καταργηθεί υπέρ του https://netplan.io/
- Τα ifup και ifdown δεν είναι πλέον διαθέσιμα
- Η διαμόρφωση δικτύου βρίσκεται πλέον στο /etc/netplan αντί του /etc/network/
- Το etc/network/ifup.d και /etc/network/ifdown.d δεν λειτουργεί πλέον. Θα πρέπει να χρησιμοποιούνται τοποθεσίες δικτυακού συντονιστή /usr/lib/networkd-dispatcher (dormant.d, no-carrier.d, off.d, routable.d)
- Ουσιαστικές αλλαγές στο cloud-init. Θα πρέπει να επανεξεταστεί και ελεγχθεί η συμβατότητα των δεσμών ενεργειών υλοποίησης του cloud-init
- Τα net-tools (ifconfig, netstat, κ.λπ.) θεωρούνται “καταργημένα” και μπορεί να αφαιρεθούν στις μελλοντικές εκδόσεις
Διαμόρφωση δικτύου
Το ifupdown έχει καταργηθεί υπέρ του https://netplan.io/. Η διαμόρφωση δικτύου έχει μεταφερθεί από το /etc/network στο /etc/netplan.
network:
version: 2
ethernets:
eth0:
addresses:
- 192.168.151.253/24
gateway4: 192.168.151.1
nameservers:
addresses:
- 8.8.8.8
- 8.8.4.4
search: []
routes:
- to: 192.168.0.0/16
via: 192.168.151.254
metric: 100
eth1:
addresses:
- 192.168.152.251/24
gateway4: 192.168.152.1
nameservers:
addresses:
- 8.8.8.8
search: []
echo 'network: {config: disabled}' > /etc/cloud/cloud.cfg.d/99-disable-network-config.cfg
Cloud-init
Το Cloud-init αναβαθμίστηκε στην έκδοση 20.2. Περισσότερες πληροφορίες για το Cloud-init μπορείτε να βρείτε εδώ: https://cloudinit.readthedocs.io/en/stable/index.html
Παράδειγμα 1: Απλό (Example 1: Simple)
meta-data:
instance-id: vcg1
local-hostname: vcg1
#cloud-config
hostname: vcg1
password: Velocloud123
chpasswd: {expire: False}
ssh_pwauth: True
Παράδειγμα 2: Διαμόρφωση δικτύου νέου στυλ (αρχείο network-config) (Example 2: New-style network configuration (network-config file))
instance-id: vcg1 local-hostname: vcg1
#cloud-config
hostname: vcg1
password: Velocloud123
chpasswd: {expire: False}
ssh_pwauth: True
ssh_authorized_keys:
- ssh-rsa … rsa-key
velocloud:
vcg:
vco: demo.velocloud.net
activation_code: F54F-GG4S-XGFI
vco_ignore_cert_errors: false
runcmd:
- 'echo “Welcome to VeloCloud”'
Παράδειγμα 1 network-config
version: 2
ethernets:
eth0:
addresses:
- 192.168.152.55/24
gateway4: 192.168.152.1
nameservers:
addresses:
- 192.168.152.1
eth1:
addresses:
- 192.168.151.55/24
gateway4: 192.168.151.1
nameservers:
addresses:
- 192.168.151.1
Παράδειγμα 2 network-config
ΣΗΜΕΙΩΣΗ: Εάν υπάρχουν πολλαπλές διασυνδέσεις στην Πύλη και χρειάζεται να επιλέξετε μια διασύνδεση ως προτιμώμενη διασύνδεση ως προεπιλεγμένη πύλη, η παρακάτω διαμόρφωση (με την τιμή της μέτρησης) μπορεί να χρησιμοποιηθεί για την επιλογή της σωστής διασύνδεσης.
version: 2
ethernets:
eth0:
addresses: [192.168.82.1/24]
eth1:
addresses: [70.150.1.1/24]
routes:
- {metric: 1, to: 0.0.0.0/0, via: 70.150.1.254}
eth2:
addresses: [70.155.1.1/24]
routes:
- {metric: 2, to: 0.0.0.0/0, via: 70.155.1.254}
Net-tools
Τα βοηθητικά προγράμματα nnet-tools όπως τα ifconfig, netstat, route κ.λπ. θεωρούνται «καταργημένα». Τα συνιστώμενα εργαλεία για την αντικατάσταση των net-tools εμφανίζονται στον παρακάτω πίνακα. Αυτές οι εντολές εμφανίζουν πληροφορίες μόνο για τον κεντρικό υπολογιστή Linux και όχι για το δίκτυο επικάλυψης SD-WAN. ΣΗΜΕΙΩΣΗ: (NOTE) Για περισσότερες πληροφορίες, πληκτρολογήστε: man ip.
| Παλιά βοηθητικά προγράμματα net-tool | Νέα βοηθητικά προγράμματα αντίστοιχα των net-tool |
|---|---|
| arp | ip n (ip neighbor) |
| ifconfig | ip a (ip addr), ip link, ip -s (ip -stats) |
| nameif | ip link, ifrename |
| netstat | ss, ip route (για netstat-r), ip -s link (για netstat -i), ip maddr (για netstat-g) |
| route | ip r (ip route) |
Δείγμα εξαγωγής εντολών για βοηθητικά προγράμματα Net-tool (Sample Command Output for Net-tool Utilities)
Το δείγμα εξαγωγής αποτελεί επιβεβαίωση ότι η εντολή είναι επιτυχής. Ακολουθούν δείγματα εξαγωγής εντολών για τις εντολές ip n (ip neighbor), ip a (ipaddr), και ip link.
root@SS-gateway-1:~# ip n 192.168.0.100 dev eth2 lladdr 00:50:56:84:85:d4 REACHABLE 192.168.0.250 dev eth2 lladdr 00:50:56:84:97:66 REACHABLE 13.1.1.2 dev eth0 lladdr 00:50:56:84:e7:fa REACHABLE root@SS-gateway-1:~#
root@SS-gateway-1:~# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 4096
link/ether 00:50:56:84:a0:09 brd ff:ff:ff:ff:ff:ff
inet 13.1.1.1/24 brd 13.1.1.255 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::250:56ff:fe84:a009/64 scope link
valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
link/ether 00:50:56:84:a6:ab brd ff:ff:ff:ff:ff:ff
inet 101.101.101.1/24 brd 101.101.101.255 scope global eth1
valid_lft forever preferred_lft forever
inet6 fe80::250:56ff:fe84:a6ab/64 scope link
valid_lft forever preferred_lft forever
4: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
link/ether 00:50:56:84:bc:75 brd ff:ff:ff:ff:ff:ff
inet 192.168.0.201/24 brd 192.168.0.255 scope global eth2
valid_lft forever preferred_lft forever
inet6 fe80::250:56ff:fe84:bc75/64 scope link
valid_lft forever preferred_lft forever
6: gwd1: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN group default qlen 4096
link/none
inet 169.254.129.1/32 scope global gwd1
valid_lft forever preferred_lft forever
inet6 fe80::27d5:9e46:e7f7:7198/64 scope link stable-privacy
valid_lft forever preferred_lft forever
root@SS-gateway-1:~#
root@SS-gateway-1:~# ip link
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 4096
link/ether 00:50:56:84:a0:09 brd ff:ff:ff:ff:ff:ff
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
link/ether 00:50:56:84:a6:ab brd ff:ff:ff:ff:ff:ff
4: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
link/ether 00:50:56:84:bc:75 brd ff:ff:ff:ff:ff:ff
6: gwd1: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN mode DEFAULT group default qlen 4096
link/none
root@SS-gateway-1:~#
Ζητήματα αναβάθμισης
Λόγω ουσιαστικών αλλαγών στη διάταξη δίσκου και στα αρχεία συστήματος,δεν είναι δυνατή η επί τόπου αναβάθμιση από παλαιότερες εκδόσεις στην έκδοση 4.0. Η μετεγκατάσταση απαιτεί την ανάπτυξη νέων συστημάτων Πύλη SD-WAN έκδοσης 4.0 και τον παροπλισμό των συστημάτων που εκτελούν παλαιότερο κώδικα.
Για Πύλες SD-WAN VPN ή Πύλες SD-WAN NAT με πολύ γνωστές δημόσιες διευθύνσεις IP, ακολουθήστε την ακόλουθη διαδικασία, εάν πρέπει να διατηρηθεί η δημόσια διεύθυνση IP της Πύλη SD-WAN.
- Εκκίνηση του νέου συστήματος της Πύλη SD-WAN με βάση το είδωλο έκδοσης 4.0. Ανατρέξτε στον οδηγό υλοποίησης για την πλατφόρμα σας για περισσότερες πληροφορίες (Διαδικασίες εγκατάστασης πύλης).
- Τερματισμός λειτουργίας του παλιού συστήματος Πύλη SD-WAN. (Απενεργοποίηση της εικονικής μηχανής της παλιάς Πύλη SD-WAN (είτε εκτελώντας την εντολή
“sudo poweroff”στην κονσόλα CLI είτε τερματίζοντας τη λειτουργία της από τις διαθέσιμες επιλογές του Hypervisor). - Εκτελέστε τη μετεγκατάσταση της δημόσιας διεύθυνσης IP στο νέο σύστημα: ενημερώστε την εγγραφή NAT ώστε να δείχνει προς το νέο σύστημα της Πύλη SD-WAN ή διαμορφώστε τις παραμέτρους της δημόσιας διεύθυνσης IP στη νέα διασύνδεση δικτύου της Πύλη SD-WAN. Ανάπτυξη της νέας πύλης με τα προαναφερόμενα παραδείγματα Cloud-int χρησιμοποιώντας την ίδια διεύθυνση IP όπως η προηγούμενη Πύλη SD-WAN.
- Αποκτήστε το κλειδί ενεργοποίησης από την υπάρχουσα εγγραφή της Πύλη SD-WAN στο SD-WAN Orchestrator (όπως περιγράφεται στα παρακάτω βήματα).
- Από τον SD-WAN Orchestrator, επιλέξτε Πύλες (Gateways) από τον αριστερό πίνακα περιήγησης.
- Από την οθόνη Πύλες (Gateways), κάντε κλικ σε μια Πύλη SD-WAN για να την επιλέξετε.
- Από την οθόνη της επιλεγμένης Πύλη SD-WAN, κάντε κλικ στο κάτω βέλος δίπλα στο όνομα της Πύλη SD-WAN για να ανοίξετε το πλαίσιο πληροφοριών.
- Το κλειδί ενεργοποίησης βρίσκεται στο κάτω μέρος του πλαισίου πληροφοριών, όπως φαίνεται στην παρακάτω εικόνα.
- Ορίστε την ακόλουθη ιδιότητα συστήματος «gateway.activation.validate.deviceId» σε Ψευδές, όπως φαίνεται στην παρακάτω εικόνα. Ανατρέξτε στην ενότητα Ιδιότητες συστήματος στον Οδηγό χειριστή (Operator Guide) του VMware SD-WAN , εάν είναι απαραίτητο για περισσότερες πληροφορίες.
- Επανενεργοποιήστε το νέο σύστημα της Πύλη SD-WAN : από την κονσόλα CLI εκτελέστε:
“sudo /opt/vc/bin/activate.py -s <vco_address> <activation_code>” - Επαναφορά της ακόλουθης ιδιότητας συστήματος «gateway.activation.validate.deviceId» στην αρχική τιμή (εάν είναι απαραίτητο).
Η Πύλη SD-WAN είναι πλέον καταχωρημένη και έτοιμη να λάβει σύνδεση από τα Edge.
Εξαγωγή παραδείγματος ενεργοποίησης (Activation Example Output)
root@gateway/opt/vc# /opt/vc/bin/activate.py FLM6-CSV6-REJS-XFR5 -i -s 169.254.8.2
Επιτυχής ενεργοποίηση, έγινε επαναφορά με παράκαμψη του VCO στο 169.254.8.2 root@SS1-gateway-2:/opt/vc#
Πύλες SD-WAN Χωρίς πολύ γνωστές δημόσιες διευθύνσεις IP
Αυτή η ενότητα είναι μόνο για Πύλες SD-WAN χωρίς πολύ γνωστή δημόσια IP, όπως οι Πύλες SD-WAN VPN. Εάν ισχύει αυτό το σενάριο, ακολουθήστε την παρακάτω διαδικασία.
- Εκκίνηση συστήματος νέας Πύλη SD-WAN. Ανατρέξτε στον οδηγό ανάπτυξης για την πλατφόρμα σας, εάν είναι απαραίτητο (Διαδικασίες εγκατάστασης πύλης).
- Ενεργοποίηση συστήματος νέας Πύλη SD-WAN.
- Προσθήκη νέας Πύλη SD-WAN στην ομάδα του SD-WAN Orchestrator για Πύλη SD-WAN. Ανατρέξτε στην ενότητα «Διαχείριση πυλών» στον Οδηγό χειριστή (Operator Guide) VMware SD-WAN για περισσότερες λεπτομέρειες.
- Η Πύλη SD-WAN είναι πλέον καταχωρημένη και έτοιμη να λάβει σύνδεση από τα Edge.
- Αφαιρέστε την παλιά Πύλη SD-WAN από την ομάδα του SD-WAN Orchestrator για Πύλη SD-WAN. Ανατρέξτε στην ενότητα «Διαχείριση πυλών» στον Οδηγό χειριστή (Operator Guide) VMware SD-WAN για περισσότερες πληροφορίες.
- Παροπλισμός του VM της παλιάς Πύλη SD-WAN. (Αφαιρέστε την εγγραφή της Πύλη SD-WAN από τον SD-WAN Orchestrator και παροπλίστε την παρουσία του VM).
Λήψη κλειδιού ενεργοποίησης πύλης μέσω API
Για να εκτελέσετε την ανάπτυξη χρησιμοποιώντας τη μέθοδο API, χρησιμοποιήστε το εξής: “network/getNetworkGateways”
Δείγμα απόκρισης: (Sample response)
{"jsonrpc":"2.0","result":[{"id":1, "activationKey":"69PX-YHY2-N5PZ-G3UW … Διαμόρφωση διασύνδεσης παράδοσης σε επίπεδο δεδομένων
Διαμόρφωση δικτύου πύλης VMware SD-WAN
Στο παρακάτω παράδειγμα (Παράδοση VRF/VLAN σε PE), υποθέτουμε ότι το eth0 είναι η διασύνδεση δημόσιου δικτύου (Internet) και το eth1 είναι η διασύνδεση του εσωτερικού δικτύου (πελάτης VRF μέσω του PE). Η διαχείριση της διαμόρφωσης ομότιμων BGP γίνεται στο VCO ανά πελάτη/VRF στην περιοχή «Διαμόρφωση > Πελάτης» (Configure > Customer). Σημειώστε ότι η διεύθυνση IP κάθε VRF μπορεί να διαμορφωθεί ανά πελάτη. Η διεύθυνση IP του VRF διαχείρισης λαμβάνει τη διεύθυνση IP που έχει διαμορφωθεί στη διασύνδεση πύλης SD-WAN στο Linux.
Στην πύλη SD-WAN δημιουργείται ένα λογαριασμός VRF διαχείρισης και χρησιμοποιείται για την αποστολή περιοδικής ανανέωσης ARP στην προεπιλεγμένη IP πύλης για τον προσδιορισμό του MAC επόμενου hop. Συνιστάται η ρύθμιση ενός ειδικού VRF στον δρομολογητή PE για τον σκοπό αυτό. Το ίδιο VRF διαχείρισης μπορεί επίσης να χρησιμοποιηθεί από τον δρομολογητή PE για την αποστολή διερεύνησης IP SLA στην πύλη SD-WAN για να ελέγξετε για την κατάσταση πύλης SD-WAN (Η πύλη SD-WAN έχει την απόκριση με κατάσταση ICMP που θα αποκριθεί στο ping μόνο όταν η υπηρεσία του είναι ενεργή). Δεν απαιτείται ομότιμο BGP στο VRF διαχείρισης. Εάν δεν έχει ρυθμιστεί ένα VRF διαχείρισης, τότε μπορείτε να χρησιμοποιήσετε ένα από τα VRF πελατών ως VRF διαχείρισης, αν και αυτό δεν συνιστάται.
"vcmp.interfaces":[
"eth0"
],
(..snip..)
"wan": [
"eth1"
],
Βήμα 2: Διαμορφώστε το VRF διαχείρισης. Αυτό το VRF χρησιμοποιείται από την πύλη SD-WAN στο ARP για MAC επόμενου hop (δρομολογητής PE). Το ίδιο MAC επόμενου hop θα χρησιμοποιηθεί από όλα τα VRF που δημιουργούνται από την πύλη SD-WAN. Πρέπει να διαμορφώσετε την παράμετρο του VRF διαχείρισης στο /etc/config/gatewayd.
Το VRF διαχείρισης είναι το ίδιο VRF που χρησιμοποιείται από τον δρομολογητή PE για την αποστολή της διερεύνησης IP SLA. Η πύλη SD-WAN αποκρίνεται στη διερεύνηση ICMP μόνο εάν η υπηρεσία είναι ενεργή και εάν υπάρχουν Edge συνδεδεμένα σε αυτήν. Στον παρακάτω πίνακα επεξηγείται κάθε παράμετρος που πρέπει να οριστεί. Αυτό το παράδειγμα έχει VRF διαχείρισης στο αναγνωριστικό VLAN 802.1q 1000.
| mode | QinQ (0x8100), QinQ (0x9100), κανένα, 802.1Q, 802.1ad |
| c_tag | Τιμή C-Tag για ενθυλάκωση QinQ ή αναγνωριστικό VLAN 802.1Q για ενθυλάκωση 802.1Q |
| s_tag | Τιμή S-Tag για ενθυλάκωση QinQ |
| interface | Διασύνδεση παράδοσης, συνήθως eth1 |
"vrf_vlan": {
"tag_info": [
{
"resp_mode": 0,
"proxy_arp": 0,
"c_tag": 1000,
"mode": "802.1Q",
"interface": "eth1",
"s_tag": 0
}
]
},
Βήμα 3: Επεξεργαστείτε τη διοχέτευση /etc/config/gatewayd για να συμπεριλάβετε και τις δύο διασυνδέσεις στην παράμετρο wan. Αποθηκεύστε την αλλαγή.
wan="eth0 eth1"
Κατάργηση αποκλεισμένων υποδικτύων
Από προεπιλογή, η πύλη SD-WAN αποκλείει την κυκλοφορία στα 10.0.0.0/8 και 172.16.0.0/14. Θα πρέπει να τα αφαιρέσουμε πριν χρησιμοποιήσουμε αυτήν την πύλη SD-WAN, επειδή αναμένουμε ότι η πύλη SD-WAN θα στέλνει κυκλοφορία και σε ιδιωτικά υποδίκτυα. Εάν δεν επεξεργαστείτε αυτό το αρχείο, όταν προσπαθήσετε να στείλετε κυκλοφορία σε αποκλεισμένα υποδίκτυα, θα βρείτε τα ακόλουθα μηνύματα στο /var/log/gwd.log
2015-12-18T12:49:55.639 ERR [NET] proto_ip_recv_handler:494 Dropping packet destined for 10.10.150.254, which is a blocked subnet. 2015-12-18T12:52:27.764 ERR [NET] proto_ip_recv_handler:494 Dropping packet destined for 10.10.150.254, which is a blocked subnet. [message repeated 48 times] 2015-12-18T12:52:27.764 ERR [NET] proto_ip_recv_handler:494 Dropping packet destined for 10.10.150.10, which is a blocked subnet.
[
{
"network_addr": "10.0.0.0",
"subnet_mask": "255.0.0.0"
},
{
"network_addr": "172.16.0.0",
"subnet_mask": "255.255.0.0"
}
]
[ ]
Βήμα 3: Επανεκκινήστε τη διαδικασία πύλης SD-WAN με επανεκκίνηση του sudo /opt/vc/bin/vc_procmon.
