Réseau
Aperçu
La couche réseau et sécurité de Cloud Avenue est portée par la solution NSX-T de vmware. L’implémentation est réalisée à deux niveaux selon le principe suivant :
- une passerelle Edge Tier 0 (T0), contenant un contexte dédié à chaque client, permettant de raccorder les réseaux externes : internet, BVPN Galerie, X-Connect, administration, etc. La configuration des passerelles Edge T0 est réalisée par la plateforme.
- une passerelle Edge Tier 1 (T1), permettant de gérer les réseaux d’un vDC, dont la configuration est entièrement gérée par le Client dans le portail vCD.
À noter !
Il est important de bien choisir les paramètres de configuration des réseaux de vDC car, une fois créés et raccordés à des vApp/VM, ils ne sont plus facilement modifiables, sauf à déconnecter toutes les vApp/VM qui y sont raccordées.
Les plages d’adresses IP sont choisies par le Client, généralement dans des plages d’adresses non routables.
Caractéristiques des passerelles Edge
Selon les besoins, plusieurs configurations sont possibles.
| Type de passerelle Edge | Classe de service | Caractéristiques | Réseaux externes raccordés
(recommandations) |
| T0 VRF | Standard | 300 Mbps débit max (*)
|
|
| T0 VRF | Premium |
1 Gbps débit max (*)
|
|
| Cluster de T0 dédié (**) | Medium |
3,5 Gbps débit max (*)
|
|
| Cluster de T0 dédié | Large |
|
|
| T1 | Standard | 300 Mbps débit max (*)
|
Une interface (unique) pour le raccordement à la T0
|
| T1 | Premium | 1 Gbps débit max (*)
Nécessite une T0 Premium |
|
| Cluster de T1 dédié | Medium | 2,5 Gbps débit max (*)
Nécessite une T0 dédiée |
|
| Cluster de T1 dédié | Large |
Nécessite une T0 dédiée |
(*) Le débit max signifie la bande passante maximum utilisable (aka global throughput) pour la passerelle ou le cluster dédié.
(**) Un cluster dédié (on parle aussi de Edge Provider) fournit un grand nombre de passerelles. Indispensable pour les opérateurs de services nécessitant un grand nombre de T0/T1 dans une même organisation.
Toutes les passerelles fonctionnent en standard en très haute disponibilité. Les débits sont garantis sur la base d’une taille de taille de paquets réseau de 1500 octets.
Cluster de Edge dédié
Par défaut, les passerelles T0 VRF et T1 sont hébergées sur un cluster mutualisé. Il est possible de commander ces passerelles sur un cluster dédié (clusters de T0 et T1 dédiés), pour servir les cas d’usage suivants :
- très gros besoins en bande passante internet.
- organisation à multiples vDC et plusieurs centaines de VM
- souhait du client d’avoir un maximum de composants dédiés sur la plateforme (en complément d’un cluster dédié par exemple)
- besoin de gérer de multiples T0 VRF/T1
À noter !
Le choix du modèle de T0 détermine le modèle de T1 et le nombre de T1 raccordables à la T0 VRF.
Upgrade
Le passage d’une passerelle T0 VRF standard à une T0 VRF Premium est réalisable sans interruption de service dans la majorité des cas (validation technique à obtenir du support en préambule).
Le passage d’une passerelle T0 VRF Premium à une T0 dédiée est une opération lourde avec coupure de service et nécessite une planification.
Ces opérations sont réalisées à partir d’une demande de changement soumise à partir de l’Espace Client Cloud.
Les configurations NSX
Cas généralAvec ce principe d’architecture, la bande passante Internet ou VPN Galerie souscrite par le Client pour chaque Organisation est paramétrée au niveau de la T0, et partagée entre les différents vDC.
Dans le schéma présenté ici, une passerelle T0 VRF est souscrite par défaut et va gérer l’ensemble des réseaux sous-jacents distribués par la T1 au niveau des vDC |
 |
Limitation de la bande passante internetLe Client peut limiter la bande passante d’une passerelle T1. Cela permet de maîtriser le partage de la bande passante entre les différents vDC.
|
 |
Configuration avec 2 T0 VRFPour répondre à des contraintes de politique de sécurité interne, il est possible de séparer les réseaux externes et de leur attribuer une T0 VRF séparée.
A noter que si l’architecture cible du Client nécessite plusieurs T0 VRF, il faut considérer l’option T0 dédiée, qui permet d’avoir jusqu’à 100 T0 VRF par T0 dédiée. |
 |
Configuration avec CPE – option 1Pour quel cas d’usage ? Lorsque le client souhaite mettre en place une solution d’évasion internet sécurisée, basée sur une appliance de sécurité dédiée à cet usage.
|
 |
Configuration avec CPE – option 2Pour quel cas d’usage ? Lorsque le client souhaite mettre en place une solution d’évasion internet sécurisée, basée sur une appliance de sécurité dédiée à cet usage.
|
 |
Groupe de vDC
Aperçu
Dans la nomenclature VDC, on distingue deux types de vDC
- les vDC isolés, ne faisant pas partie d’un groupe de vDC,
- les vDC groupés, faisant partie d’un groupe de vDC.
Par défaut :
- un vDC est isolé,
- le contexte réseau et sécurité de chaque vDC est étanche.
A la création d’une organisation, un premier groupe de vDC est créé.
Avantages du groupe de vDC
Un groupe de vDC permet :
- de partager une passerelle T1 entre les vDC membres du groupe ; les réseaux et services portés par cette T1 seront partagés entre tous les vDC
- d’activer le Firewall distribué pour l’ensemble des vDC membres.
Un groupe de vDC représente donc un contexte réseau/sécurité commun à l’ensemble des vDC membres de ce groupe.
Facturation
Le premier groupe de vDC est inclus dans le prix du service.
Voir la fiche tarifaire pour le prix d’un groupe de vDC supplémentaire.
Fonctionnalités intégrées
Réseau d’organisation
La passerelle Edge T1 permet de créer les réseaux internes du vDC sur lesquels seront raccordés les VM. L’adressage de ces réseaux est choisi par le Client lors de la configuration/création. Pour partager les réseaux entre vDC, il est nécessaire de créer un groupe de vDC, afin d’y inclure les vDC concernés, qui pourront alors partager les fonctionnalités de la passerelle Edge T1, et ses réseaux.
Pare-feu
La passerelle T1 propose un pare-feu à 2 niveaux :
- pare-feu périmétrique, pour les flux nord-sud, c’est à dire entrants et sortants du vDC (ou du groupe de vDC)
- pare-feu distribué, pour les flux est-ouest, sur un scope allant d’un seul vDC à l’ensemble des vDC inclus dans un groupe de vDC..
La bande passante entrante ne nécessite pas de gestion de la QoS, étant donné que les bandes passantes internes disponibles sont suffisantes, avec un cœur de réseau à plusieurs dizaines de Gbps. En revanche, la bande passante sortante doit être gérée avec un mécanisme de priorisation de flux, surtout lorsque des applications de type temps réel ou de voix sur IP sont utilisées, avec une bande passante limitée sur le BVPN du Client. Il est dans ce cas nécessaire d’utiliser une appliance de QoS.
 |
La configuration du pare-feu périmétrique sera réalisée dans les options Services de la configuration de la passerelle Edge T1. Tous les flux entrants et sortants du vDC seront filtrés via les règles implémentées ici. Il sera également possible de configurer un VPN IPSec point à point entre l’équipement distant et la passerelle Edge T1. Un Load Balancer est également disponible, proposant des fonctionnalités de base pour la mise en grappe de serveurs. |
| Dans la configuration du groupe de vDC, on va pouvoir configurer le pare-feu distribué, et définir des autorisations assez fines au niveau des groupes de sécurité.
Cette fonctionnalité extrêmement puissante permet :
|
 |
Toutes les fonctionnalités décrites ci-dessus sont configurables par le Client dans le portail vCloud Director.