Перейти к основному содержимому

Общая информация о сетях публичного облака

Все виртуальные машины можно подключать к приватным и публичным сетям.

Кластеры публичного облака размещаются на двух типах сетевой инфраструктуры. В зависимости от этого доступны разные способы настройки доступа в интернет.

Типы сетевой инфраструктуры

Кластер публичного облака может размещаться на старой (NSX-V) или новой (NSX-T) сетевой инфраструктуре. Тип сетевой архитектуры влияет на поддерживаемую функциональность, способы настройки доступа в интернет, поддерживаемые возможности и так далее.

Посмотреть тип сетевой инфраструктуры, который используется в кластерах, можно в подразделе Кластеры инструкции Описание продукта Публичное облако на базе VMware.

NSX-V (старый тип)NSX-T (новый тип)
Типы сетей
  • приватные сети, в том числе преднастроенная сеть default_net;
  • Direct Connected подсети
  • приватные сети, в том числе преднастроенная сеть default_net;
  • публичные подсети
Подключение ВМ к интернету с NATЧерез приватную сеть и Edge-роутерЧерез приватную сеть и Edge-роутер
Подключение ВМ к интернету без NATЧерез Direct Connected подсеть. ВМ получает публичный IP-адрес напрямую, трафик не проходит через Edge-роутер клиентаЧерез публичную подсеть. ВМ получает публичный IP-адрес напрямую, но подсеть подключена к Edge-роутеру
Подключение ВМ к интернету без Edge-роутера и FirewallЧерез Direct Connected подсеть✗
Фильтрация трафика между внешними и внутренними сетями (North-South)Через Firewall на Edge-роутереЧерез Firewall на Edge-роутере
Фильтрация трафика между внутренними сетями (East-West)Через Firewall на Edge-роутереЧерез Distributed Firewall
Доступные типы VPNIPsec VPN, SSL VPN, L2 VPNIPsec VPN
Размер Edge-роутераМожно выбрать размер и изменять егоРазмер нельзя выбрать
Резервирование Edge-роутераHigh Availability (можно настроить)Active-Standby (используется по умолчанию)
Технология балансировки нагрузкиNSX Edge Load BalancerNSX Advanced Load Balancer

Приватная сеть

Сеть может быть доступна в рамках виртуального дата-центра или их группы и может быть одного из типов:

  • Routed — приватная сеть, которая связывает виртуальные машины в виртуальном дата-центре с Edge-роутером. Доступна из интернета, если настроены правила NAT. При создании виртуального дата-центра автоматически создается преднастроенная сеть default_net типа Routed;
  • Isolated — приватная сеть, которая связывает виртуальные машины между собой. Доступна только внутри виртуального дата-центра и не доступна из интернета. Такую сеть можно сделать общей для виртуальных дата-центров в рамках организации, подробнее в инструкции Создать общую сеть между виртуальными дата-центрами.

Преднастроенная приватная сеть default_net

Преднастроенная приватная сеть default_net создается автоматически при создании первого в локации виртуального дата-центра и Edge-роутера. Ее можно использовать для подключения виртуальной машины к интернету.

Характеристики сети default_net:

  • статический пул адресов: 10.0.0.101 — 10.0.0.132;
  • DNS: Primary DNS 188.93.16.19 и Secondary DNS 188.93.17.19;
  • сеть имеет доступ в интернет: она подключена к Edge-роутеру с настроенными правилами NAT и Firewall;
  • на Edge-роутере сети поднят DHCP-сервер с пулом адресов 10.0.0.2 — 10.0.0.100.

Публичные подсети

  • Direct Connected подсеть — используется для кластеров на старом типа сетевой архитектуры (NSX-V). Позволяет настраивать доступ в интернет без использования Edge-роутера, настройки NAT и Firewall, подробнее в подразделе Подключение через Direct Connected подсеть;
  • публичная подсеть — используется для кластеров на новом типе сетевой инфраструктуры (NSX-T). Позволяет настраивать доступ в интернет через Edge-роутер с настройкой Firewall и без настройки NAT, подробнее в подразделе Подключение через публичную подсеть.

Доступ в интернет

Виртуальные машины можно подключать к интернету по одной из двух схем в зависимости от типа сетевой инфраструктуры.

Edge-роутер и приватная подсеть (по умолчанию)Direct Connected подсеть
Требуется Edge-роутер✓✗
Требуется настройка NAT✓✗
Требуется настройка Firewall✓✗

Подключение через Edge-роутер и приватную сеть

Edge-роутер — это программный маршрутизатор, через который виртуальные машины получают доступ в интернет. Виртуальные машины в виртуальном дата-центре связываются приватной сетью, которая подключается к Edge-роутеру, а Edge-роутер — к интернету.

При создании первого в локации виртуального дата-центра автоматически создается Edge-роутер с преднастроенной приватной сетью default_net и базовыми правилами Firewall и NAT, подробнее в инструкции Edge-роутеры. Вы можете добавлять к Edge-роутеру приватные сети, настраивать правила Firewall и правила NAT для доступа по SSH/RDP. Дополнительно можно настраивать VPN и балансировку нагрузки.

Подключение через Direct Connected подсеть

к сведению

Подключение через Direct Connected подсеть доступно только в кластерах на старой сетевой инфраструктуре (NSX-V).

Direct Connected подсеть — это подсеть с публичной адресацией, которая связана с глобальной сетью Интернет и добавляется в виртуальный дата-центр напрямую без использования клиентского Edge-роутера (Edge Gateway). Виртуальные машины подключаются к подсети напрямую и получают IP-адреса из этой сети. Для подключения ВМ к интернету через Direct Connected подсеть не требуется настраивать Firewall и NAT.

Если внутри виртуальной машины и сетевого интерфейса установлена утилита VMware Tools (пакет open-vm-tools), IP-адрес добавится автоматически при сборке виртуальной машины.

Direct Connected подсеть может содержать от 5 до 253 IPv4-адресов. Лимит на Direct Connected подсети — пять штук для одной организации. Чтобы увеличить лимит, создайте тикет.

Подробнее о работе с Direct Connected подсетями в инструкции Управлять Direct Connected подсетями.

Подключение через Edge-роутер и публичную подсеть

к сведению

Подключение через Edge-роутер и публичную подсеть доступно только в кластерах на новой сетевой инфраструктуре (NSX-T).

Публичная подсеть — это подсеть с публичной адресацией, которая связана с глобальной сетью Интернет и добавляется в виртуальный дата-центр через клиентский Edge-роутер (Edge Gateway). Виртуальные машины подключаются публичной подсети и получают IP-адреса из нее.

По умолчанию трафик через публичную подсеть запрещен, для доступа в интернет необходимо настроить Firewall на Edge-роутере.

Заблокированные порты

Чтобы обезопасить инфраструктуру Selectel от вредоносной сетевой активности, мы заблокировали некоторые порты, в том числе 25 (почтовые рассылки).

Если порт не попадает под указанные ограничения, проверьте его доступность со стороны ОС при помощи утилиты Nmap.