Arquitetura de implantação do gateway RAS

Você pode usar este tópico para aprender sobre a implantação do Gateway RAS pelo Provedor de Serviços de Nuvem (CSP), incluindo pools de Gateway RAS, Refletores de Rota e a implantação de vários gateways para clientes individuais.

As seções a seguir fornecem breves visões gerais de alguns dos novos recursos do RAS Gateway para que você possa entender como usar esses recursos no design da implantação do gateway.

Além disso, é fornecido um exemplo de implantação, incluindo informações sobre o processo de adição de novos locatários, sincronização de rotas e roteamento no plano de dados, failover do gateway e do Route Reflector, e muito mais.

Este tópico contém as seguintes seções.

• Usando os novos recursos do gateway RAS para projetar sua implantação

• Exemplo de implantação

• Adição de novos inquilinos e emparelhamento EBGP no espaço de endereços do Cliente (CA)

• Sincronização de rotas e roteamento de plano de dados

• Como o controlador de rede responde ao failover do gateway RAS e do refletor de rota

• Vantagens de usar os novos recursos do gateway RAS

Usando os novos recursos do gateway RAS para projetar sua implantação

O RAS Gateway inclui vários novos recursos que mudam e melhoram a maneira como você implanta sua infraestrutura de gateway em seu datacenter.

Refletor de rota BGP

O recurso Refletor de Rota BGP (Border Gateway Protocol) agora está incluído no Gateway RAS e fornece uma alternativa à topologia de malha completa BGP que normalmente é necessária para a sincronização de rotas entre roteadores. Com a sincronização de malha completa, todos os roteadores BGP devem se conectar a todos os outros roteadores na topologia de roteamento. Quando você usa o Refletor de Rota, no entanto, o Refletor de Rota é o único roteador que se conecta com todos os outros roteadores, chamados clientes BGP Route Refletor, simplificando assim a sincronização de rotas e reduzindo o tráfego de rede. O Route Refletor aprende todas as rotas, calcula as melhores rotas e redistribui as melhores rotas para seus clientes BGP.

Para obter mais informações, consulte O que há de novo no gateway RAS.

Gateway Pools

No Windows Server 2016, você pode criar muitos pools de gateway de diferentes tipos. Os pools de gateway contêm muitas instâncias do Gateway RAS e roteiam o tráfego de rede entre redes físicas e virtuais.

Para obter mais informações, consulte O que há de novo no RAS Gateway e na alta disponibilidade do RAS Gateway.

Escalabilidade do pool de gateways

Você pode facilmente dimensionar um pool de gateways para cima ou para baixo adicionando ou removendo VMs de gateway no pool. A remoção ou adição de gateways não interrompe os serviços fornecidos por um pool. Você também pode adicionar e remover grupos inteiros de gateways.

Para obter mais informações, consulte O que há de novo no RAS Gateway e na alta disponibilidade do RAS Gateway.

Redundância do pool de gateway M+N

Cada pool de gateway é redundante M+N. Isso significa que um número 'M' de VMs de gateway ativas é suportado por um número 'N' de VMs de gateway em espera. A redundância M+N oferece mais flexibilidade para determinar o nível de confiabilidade necessário ao implantar o RAS Gateway.

Para obter mais informações, consulte O que há de novo no RAS Gateway e na alta disponibilidade do RAS Gateway.

Exemplo de implantação

A seguinte ilustração fornece um exemplo de peering eBGP sobre conexões VPN entre sites configuradas entre dois locatários, Contoso e Woodgrove, e o datacenter CSP da Fabrikam.

Neste exemplo, a Contoso requer largura de banda de gateway adicional, levando à decisão de design de infraestrutura de gateway de encerrar o site da Contoso Los Angeles em GW3 em vez de GW2. Por isso, as conexões VPN da Contoso de sites diferentes terminam no datacenter CSP em dois gateways diferentes.

Ambos os gateways, GW2 e GW3, foram os primeiros gateways RAS configurados pelo controlador de rede quando o CSP adicionou os locatários Contoso e Woodgrove à sua infraestrutura. Por isso, esses dois portais são configurados como refletores de rota para os clientes (ou inquilinos) correspondentes. GW2 é o Refletor de Rota Contoso e GW3 é o Refletor de Rota Woodgrove - além de ser o ponto de terminação do Gateway RAS CSP para a conexão VPN com o site da sede da Contoso Los Angeles.

Como Refletores de Rota, o GW2 envia rotas do Espaço de CA da Contoso para o Controlador de Rede e o GW3 envia rotas do Espaço de CA do Woodgrove para o Controlador de Rede.

O Controlador de Rede distribui políticas de virtualização de rede Hyper-V para as redes virtuais Contoso e Woodgrove, bem como políticas RAS para os Gateways RAS e políticas de balanceamento de carga para os multiplexadores (MUXes) configurados como um pool de balanceamento de carga de software.

Adicionando novos locatários e espaço de endereço do cliente (CA) para peering eBGP

Quando você assina um novo cliente e adiciona o cliente como um novo locatário em seu datacenter, você pode usar o seguinte processo, grande parte do qual é executado automaticamente pelo controlador de rede e roteadores eBGP RAS Gateway.

1. Provisione uma nova rede virtual e cargas de trabalho de acordo com os requisitos do seu locatário.

2. Se necessário, configure a conectividade remota entre o site corporativo do locatário remoto e sua rede virtual no datacenter. Quando você implanta uma conexão VPN site a site para o locatário, o Controlador de Rede seleciona automaticamente uma VM de Gateway RAS disponível no pool de gateway disponível e configura a conexão.

3. Ao configurar a VM do Gateway RAS para o novo locatário, o Controlador de Rede também configura o Gateway RAS como um Roteador BGP e o designa como o Refletor de Rota para o locatário. Isso é verdade mesmo em circunstâncias em que o RAS Gateway serve como um gateway, ou como um gateway e refletor de rotas, para outros inquilinos.

4. Dependendo se o roteamento de espaço da CA está configurado para usar redes configuradas estaticamente ou roteamento BGP dinâmico, o Controlador de Rede configura as rotas estáticas correspondentes, os vizinhos BGP ou ambos na VM do Gateway RAS e no Refletor de Rota.

   Note

   • Depois que o Controlador de Rede tiver configurado um Gateway RAS e um Refletor de Rota para o locatário, sempre que o mesmo locatário exigir uma nova conexão VPN site a site, o Controlador de Rede verificará a capacidade disponível nessa VM de Gateway RAS. Se o gateway original puder atender à capacidade necessária, a nova conexão de rede também será configurada na mesma VM de Gateway RAS. Se a VM de Gateway RAS não puder lidar com capacidade adicional, o Controlador de Rede selecionará uma nova VM de Gateway RAS disponível e configurará a nova conexão nela. Essa nova VM de Gateway RAS associada ao locatário torna-se o cliente Route Refletor do locatário original RAS Gateway Route Refletor.

   • Como os pools do Gateway RAS estão por trás de Software Load Balancers (SLBs), os endereços VPN site-a-site dos clientes usam um único endereço IP público, denominado endereço IP virtual (VIP), que é traduzido pelos SLBs para um endereço IP dinâmico, interno ao datacenter (DIP), para um Gateway RAS que roteia o tráfego do cliente Enterprise. Esse mapeamento de endereço IP público para privado pelo SLB garante que os túneis VPN site a site sejam estabelecidos corretamente entre os sites corporativos e os gateways RAS CSP e refletores de rota.

     Para obter mais informações sobre SLB, VIPs e DIPs, consulte Balanceamento de carga de software (SLB) para SDN.

5. Depois que o túnel VPN site-to-site entre o site Enterprise e o Gateway RAS do datacenter CSP é estabelecido para o novo inquilino, as rotas estáticas associadas aos túneis são automaticamente provisionadas pelos lados Enterprise e CSP do túnel.

6. Com o roteamento BGP de espaço CA, o emparelhamento eBGP entre os sites Enterprise e o Refletor de Rota do Gateway RAS CSP também é estabelecido.

Sincronização de rotas e roteamento de plano de dados

Após o pareamento eBGP ser estabelecido entre os sites da Empresa e o Refletor de Rotas do Gateway RAS CSP, o Refletor de Rotas aprende todas as rotas da Empresa utilizando roteamento BGP dinâmico. O Refletor de Rota sincroniza essas rotas entre todos os clientes do Refletor de Rota para que todas sejam configuradas com o mesmo conjunto de rotas.

O Route Refletor também atualiza essas rotas consolidadas, usando a sincronização de rotas, para o Controlador de Rede. Em seguida, o controlador de rede converte as rotas para as políticas de virtualização de rede Hyper-V e configura a rede de malha para garantir que o roteamento de caminho de dados de ponta a ponta seja provisionado. Esse processo torna a rede virtual do locatário acessível a partir dos sites Enterprise do locatário.

Para roteamento de Plano de Dados, os pacotes que chegam às VMs de Gateway RAS são roteados diretamente para a rede virtual do locatário, porque as rotas necessárias agora estão disponíveis com todas as VMs de Gateway RAS participantes.

Da mesma forma, com as políticas de Virtualização de Rede Hyper-V em vigor, a rede virtual do locatário roteia pacotes diretamente para as VMs do Gateway RAS (sem necessidade de conhecer o Refletor de Rota) e, em seguida, para os sítios empresariais através dos túneis VPN de site a site.

Além disso. O tráfego de retorno da rede virtual do locatário para o local empresarial do locatário remoto burla os SLBs, um processo chamado Retorno Direto do Servidor (DSR).

Como o controlador de rede responde ao failover do gateway RAS e do refletor de rotas

A seguir estão dois cenários possíveis de failover - um para clientes RAS Gateway Route Refletor e outro para RAS Gateway Route Reflectors - incluindo informações sobre como o Controlador de Rede lida com failover para VMs em qualquer configuração.

Falha numa VM do cliente refletor de rota BGP do gateway RAS

O controlador de rede executa as seguintes ações quando um cliente RAS Gateway Route Refletor falha.

• O Controlador de Rede seleciona uma VM de Gateway RAS em espera disponível e provisiona a nova VM de Gateway RAS com a configuração da VM de Gateway RAS com falha.

• O controlador de rede atualiza a configuração SLB correspondente para garantir que os túneis VPN site a site de sites locatários para o gateway RAS com falha sejam estabelecidos corretamente com o novo gateway RAS.

• O controlador de rede configura o cliente BGP Route Refletor no novo gateway.

• O controlador de rede configura o novo cliente RAS Gateway BGP Route Refletor como ativo. O RAS Gateway inicia imediatamente o emparelhamento com o Refletor de Rota do locatário para compartilhar informações de roteamento e habilitar o emparelhamento eBGP para o site corporativo correspondente.

Falha na VM para um refletor de rotas BGP num gateway RAS

O controlador de rede executa as seguintes ações quando um refletor de rota BGP do gateway RAS falha.

• O Controlador de Rede seleciona uma VM de Gateway RAS em espera disponível e provisiona a nova VM de Gateway RAS com a configuração da VM de Gateway RAS com falha.

• O Controlador de Rede configura o Refletor de Rota na nova VM de Gateway RAS e atribui à nova VM o mesmo endereço IP que foi usado pela VM com falha, fornecendo assim integridade de rota apesar da falha da VM.

• O controlador de rede atualiza a configuração SLB correspondente para garantir que os túneis VPN site a site de sites locatários para o gateway RAS com falha sejam estabelecidos corretamente com o novo gateway RAS.

• O Controlador de Rede configura como ativa a nova VM de Refletor de Rotas BGP do Gateway RAS.

• O Refletor de Rota torna-se imediatamente ativo. O túnel VPN site a site para a Enterprise é estabelecido e o Route Refletor usa emparelhamento eBGP e troca rotas com os roteadores do site Enterprise.

• Após a seleção da rota BGP, o Refletor de Rota BGP do RAS Gateway atualiza os clientes do Refletor de Rota do inquilino no datacenter e sincroniza as rotas com o Controlador de Rede, disponibilizando o Caminho de Dados de Ponta a Ponta para o tráfego do inquilino.

Vantagens de usar os novos recursos do gateway RAS

A seguir estão algumas das vantagens de usar esses novos recursos do RAS Gateway ao projetar sua implantação do RAS Gateway.

Escalabilidade do RAS Gateway

Como você pode adicionar quantas VMs de Gateway RAS precisar aos pools de Gateway RAS, você pode facilmente dimensionar sua implantação de Gateway RAS para otimizar o desempenho e a capacidade. Ao adicionar VMs a um pool, pode-se configurar esses gateways RAS com conexões VPN site a site de qualquer tipo (IKEv2, L3, GRE), eliminando os gargalos de capacidade, sem causar tempo de inatividade.

Gerenciamento simplificado do Enterprise Site Gateway

Quando seu locatário tem vários sites Enterprise, o locatário pode configurar todos os sites com um endereço IP VPN remoto site a site e um único endereço IP vizinho remoto - seu datacenter CSP RAS Gateway BGP Route Refletor VIP para esse locatário. Isso simplifica a gestão do gateway para os seus inquilinos.

Remediação Rápida de Falha no Gateway

Para garantir uma resposta de failover rápida, é possível configurar o tempo do parâmetro BGP Keepalive entre rotas de borda e o roteador de controlo para um curto intervalo de tempo, como menor ou igual a dez segundos. Com esse curto intervalo de manutenção, se um roteador de borda BGP do RAS Gateway falhar, a falha será rapidamente detetada e o Controlador de Rede seguirá as etapas fornecidas nas seções anteriores. Essa vantagem pode reduzir a necessidade de um protocolo de deteção de falha separado, como o protocolo BFD (Bidirectional Forwarding Detection).