Configurar una puerta de enlace RAS de SDN en el tejido de VMMSet up an SDN RAS gateway in the VMM fabric

Se aplica a: System Center 2016 - Virtual Machine ManagerApplies To: System Center 2016 - Virtual Machine Manager

En este artículo se describe cómo configurar una puerta de enlace RAS de Redes definidas por software (SDN) en el tejido de System Center 2016 Virtual Machine Manager (VMM).This article describes how to set up a Software Defined Networking (SDN) RAS gateway in the System Center 2016 - Virtual Machine Manager (VMM) fabric.

Una puerta de enlace RAS de SDN es un elemento de ruta de acceso a datos en SDN que permite la conectividad de sitio a sitio entre dos sistemas autónomos.An SDN RAS gateway is a data path element in SDN that enables site-to-site connectivity between two autonomous systems. En concreto, una puerta de enlace RAS permite la conectividad de sitio a sitio entre redes de inquilinos remotos y su centro de datos mediante IPsec, encapsulación de enrutamiento genérico (GRE) o reenvío de capa 3.Specifically, a RAS gateway enables site-to-site connectivity between remote tenant networks and your datacenter using IPSec, Generic Routing Encapsulation (GRE) or Layer 3 Forwarding. Obtenga más información.Learn more.

Antes de empezarBefore you start

Antes de comenzar, asegúrese de lo siguiente:Ensure the following before you start:

  • Planeación: obtenga información sobre cómo planear una red definida por software y revise la topología de planeación en este documento.Planning: Read about planning a software defined network, and review the planning topology in this document. El diagrama muestra una configuración de 4 nodos de ejemplo.The diagram shows a sample 4-node setup. La configuración es de alta disponibilidad con tres nodos de controladora de red (máquina virtual) y tres nodos SLB/MUX.The setup is highly available with Three network controller nodes (VM), and Three SLB/MUX nodes. Muestra dos inquilinos con una red virtual dividida en dos subredes virtuales para simular un nivel web y un nivel de base de datos.It shows Two tenants with One virtual network broken into Two virtual subnets to simulate a web tier and a database tier. Tanto la infraestructura como las máquinas virtuales de inquilino se pueden distribuir en cualquier host físico.Both the infrastructure and tenant virtual machines can be redistributed across any physical host.
  • Controladora de red: debe implementar la controladora de red antes de implementar la puerta de enlace RAS.Network controller: You should deploy the network controller before you deploy the RAS gateway.
  • SLB: para asegurarse de que las dependencias se controlan correctamente, también debe implementar el SLB antes de configurar la puerta de enlace.SLB: To ensure that dependencies are handled correctly, you should also deploy the SLB before setting up the gateway. Si se han configurado un SLB y una puerta de enlace, puede usar y validar una conexión IPsec.If an SLB and a gateway are configured, you can use and validate an IPsec connection.
  • Plantilla de servicio: VMM usa una plantilla de servicio para automatizar la implementación de la puerta de enlace.Service template: VMM uses a service template to automate GW deployment. Las plantillas de servicio admiten la implementación de varios nodos en máquinas virtuales de primera y segunda generación.Service templates support multi-node deployment on generation 1 and generation 2 VMs.

Pasos de implementaciónDeployment steps

Para configurar una puerta de enlace RAS, haga lo siguiente:To set up a RAS gateway, do the following:

  1. Descargar la plantilla de servicio: descargue la plantilla de servicio que necesite para implementar la puerta de enlace.Download the service template: Download the service template that you need to deploy the GW.
  2. Crear la red lógica de VIP: cree una red lógica de VIP GRE.Create the VIP logical network: Create a GRE VIP logical network. Necesita un grupo de direcciones IP para VIP privadas y la asignación de VIP a puntos de conexión GRE.It needs an IP address pool for private VIPs, and to assign VIPs to GRE endpoints. La red existe para definir las VIP que se asignan a las máquinas virtuales de puerta de enlace que se ejecutan en el tejido de SDN para una conexión GRE de sitio a sitio.The network exists to define VIPs that are assigned to gateway VMs running on the SDN fabric for a site-to-site GRE connection.
  3. Importar la plantilla de servicio: importe la plantilla de servicio de puerta de enlace RAS.Import the service template: Import the RAS gateway service template.
  4. Implementación de la puerta de enlace: implemente una instancia de servicio de puerta de enlace y configure sus propiedades.Deploy the gateway: Deploy a gateway service instance, and configure its properties.
  5. Validación de la implementación: configure L3, IPsec o GRE de sitio a sitio y valide la implementación.Validate the deployment: Configure site-to-site GRE, IPSec, or L3, and validate the deployment.

Descargar la plantilla de servicioDownload the service template

  1. Descargue la carpeta SDN del repositorio de GitHub de SDN de Microsoft y copie las plantillas de VMM >Plantillas > GW en una ruta de acceso local en el servidor VMM.Download the SDN folder from the Microsoft SDN GitHub repository and copy the templates from VMM >Templates > GW to a local path on the VMM server.
  2. Extraiga el contenido en una carpeta de un equipo local.Extract the contents to a folder on a local computer. Las importará en la biblioteca más adelante.You'll import them to the library later.

La descarga contiene dos plantillas:The download contains Two templates:

  • La plantilla EdgeServiceTemplate_Generation 1 VM.xml es para implementar el servicio de puerta de enlace en máquinas virtuales de primera generación.The EdgeServiceTemplate_Generation 1 VM.xml template is for deploying the GW Service on generation 1 virtual machines.
  • La plantilla EdgeServiceTemplate_Generation 2 VM.xml es para implementar el servicio de puerta de enlace en máquinas virtuales de segunda generación.The EdgeServiceTemplate_Generation 2 VM.xml is for deploying the GW Service on Generation 2 virtual machines.

Ambas plantillas tienen un recuento predeterminado de tres máquinas virtuales que pueden modificarse en el Diseñador de plantilla de servicio.Both the templates have a default count of three virtual machines which can be changed in the service template designer.

Creación de la red lógica VIP GRECreate the GRE VIP logical network

  1. En la consola VMM, ejecute el Asistente para crear redes lógicas.In the VMM console, run the Create Logical Network Wizard. Escriba un nombre, proporcione una descripción si quiere y haga clic en Siguiente.Type a Name, optionally provide a description, and click Next.
  2. En Configuración, seleccione Una red conectada.In Settings, select One Connected Network. Opcionalmente, puede seleccionar Crear una red de VM con el mismo nombre.Optionally you can select Create a VM network with the same name. Esta configuración permite que las máquinas virtuales accedan a esta red lógica directamente.This setting allows VMs to access this logical network directly. Seleccione Managed by the network controller (Administrado por la controladora de red) y haga clic en Siguiente.Select Managed by the Network Controller, and click Next.
  3. En Sitio de red, especifique estos valores de configuración:In Network Site, specify the settings:

    Estos son los valores de ejemplo:Here are the sample values:

    • Nombre de red: VIP GRENetwork name: GRE VIP
    • Subred: 31.30.30.0Subnet: 31.30.30.0
    • Máscara: 24Mask: 24
    • Id. de VLAN en tronco: N/DVLAN ID on trunk: NA
    • Puerta de enlace: 31.30.30.1Gateway: 31.30.30.1
  4. En Resumen, revise la configuración y finalice el asistente.In Summary, review the settings and finish the wizard.

Crear un grupo de direcciones IP para direcciones VIP GRECreate an IP address pool for GRE VIP addresses

  1. Haga clic con el botón derecho en la red lógica VIP GRE > Crear grupo de direcciones IP.Right-click the GRE VIP logical network > Create IP Pool.
  2. Escriba un nombre y una descripción opcional para el grupo y compruebe que la red VIP esté seleccionada.Type a Name and optional description for the pool, and check that the VIP network is selected. Haga clic en Siguiente.Click Next.
  3. Acepte el sitio de red predeterminado y haga clic en Siguiente.Accept the default network site and click Next.
  4. Elija una dirección IP inicial y final para su intervalo.Choose a starting and ending IP address for your range.

    Nota: Inicie el intervalo en la segunda dirección de la subred disponible.Note: Start the range on the second address of your available subnet. Por ejemplo, si su subred disponible va de .1 a .254, comience el intervalo en .2.For example, if your available subnet is from .1 to .254, start the range at .2.

  5. En el cuadro Direcciones IP reservadas para VIP de equilibrador de carga, escriba el intervalo de direcciones IP de la subred.In the IP addresses reserved for load balancer VIPs box, type the IP addresses range in the subnet. Debe coincidir con el intervalo usado para las direcciones IP inicial y final.This should match the range you used for starting and ending IP addresses.

  6. No es necesario proporcionar información de puerta de enlace, DNS o WINS, dado que este grupo se usa para asignar direcciones IP a VIP solo mediante la controladora de red.You don't need to provide gateway, DNS or WINS information as this pool is used to allocate IP addresses for VIPs through the network controller only. Haga clic en Siguiente para omitir estas pantallas.Click Next to skip these screens.
  7. En Resumen, revise la configuración y finalice el asistente.In Summary, review the settings and finish the wizard.

Importación de la plantilla de servicioImport the service template

  1. Haga clic en Biblioteca > Importar plantilla.Click Library > Import Template.
  2. Vaya a la carpeta de plantillas de servicio.Browse to your service template folder. Por ejemplo, seleccione el archivo EdgeServiceTemplate Generation 2.xml.As an example, select the EdgeServiceTemplate Generation 2.xml file.
  3. Actualice los parámetros para su entorno al importar la plantilla de servicio.Update the parameters for your environment as you import the service template. Tenga en cuenta que, durante la implementación de la controladora de red, se importaron los recursos de biblioteca.Note that the library resources were imported during network controller deployment.

    • WinServer.vhdx: seleccione la imagen de disco duro virtual que ha preparado e importado anteriormente durante la implementación de la controladora de red.WinServer.vhdx: Select the virtual hard drive image that you prepared and imported earlier, during the network controller deployment.
    • EdgeDeployment.CR: asígnelo al recurso de biblioteca EdgeDeployment.cr de la biblioteca VMM.EdgeDeployment.CR: Map to the EdgeDeployment.cr library resource in the VMM library.
  4. En la página Resumen, revise los detalles y haga clic en Importar.On the Summary page, review the details and click Import.

    Nota: Puede personalizar la plantilla de servicio.Note: You can customize the service template. Obtenga más información.Learn more.

Implementar el servicio de puerta de enlaceDeploy the gateway service

En este ejemplo se usa la plantilla de segunda generación.This example uses the generation 2 template.

  1. Seleccione la plantilla de servicio EdgeServiceTemplate Generation2.xml y haga clic en Configurar implementación.Select the EdgeServiceTemplate Generation2.xml service template, and click Configure Deployment.
  2. Escriba un nombre y seleccione un destino para la instancia de servicio.Type a Name and choose a destination for the service instance. El destino se debe asignar a un grupo host que contenga los hosts configurados previamente para la implementación de la puerta de enlace.The destination must map to a host group that contains the hosts configured previously for gateway deployment.
  3. En Configuración de red, asigne la red de administración a la red de la máquina virtual de administración.In Network Settings, map the management network to the management VM network.

    Nota: Una vez completada la asignación, aparece el cuadro de diálogo Implementar servicio.Note: The Deploy Service dialog appears after mapping is complete. Es normal que las instancias de máquina virtual estén inicialmente en rojo.It's normal for the VM instances to be initially Red. Haga clic en Actualizar vista previa para buscar automáticamente hosts adecuados para la máquina virtual.Click Refresh Preview to automatically find suitable hosts for the VM.

  4. A la izquierda de la ventana Configurar implementación, configure las opciones siguientes:On the left of the Configure Deployment window, configure the following settings:

    • AdminAccount.AdminAccount. Necesario.Required. Seleccione una cuenta de ejecución que se usará como administrador local en las máquinas virtuales de puerta de enlace.Select a RunAs account that will be used as the local administrator on the gateway VMs.
    • ManagementNetwork.Management Network. Necesario.Required. Elija la red de máquina virtual de administración que creó para la administración del host.Choose the Management VM network that you created for host management.
    • Cuenta de administración.Management Account. Necesario.Required. Seleccione una cuenta de ejecución con permisos para agregar la puerta de enlace al dominio de Active Directory asociado con la controladora de red.Select a Run as account with permissions to add the gateway to the Active Directory domain associated with the network controller. Puede ser la misma cuenta que ha usado para MgmtDomainAccount mientras se implementaba la controladora de red.This can be the same account used for MgmtDomainAccount while deploying the network controller.
    • FQDN.FQDN. Necesario.Required. FQDN del dominio de Active Directory para la puerta de enlace.FQDN for the Active directory domain for the gateway.
  5. Haga clic en Implementar servicio para iniciar el trabajo de implementación del servicio.Click Deploy Service to begin the service deployment job.

    Nota:Note:

    • Los tiempos de implementación varían en función del hardware, pero suelen oscilar entre 30 y 60 minutos.Deployment times will vary depending on your hardware but are typically between 30 and 60 minutes. Si se produce un error en la implementación de la puerta de enlace, elimine la instancia de servicio con error en Todos los hosts > Servicios antes de volver a intentar la implementación.If gateway deployment fails, delete the failed service instance in All Hosts > Services before you retry the deployment.

    • Si no va a usar un VHDX de licencias por volumen (o si no se suministra la clave de producto mediante un archivo de respuesta), la implementación se detendrá en la página Clave del producto durante el aprovisionamiento de máquinas virtuales.If you aren't using a volume licensed VHDX (or the product key isn't supplied using an answer file), then deployment will stop at the Product Key page during VM provisioning. Debe acceder manualmente al escritorio de la máquina virtual y escribir la clave u omitirla.You need to manually access the VM desktop, and either enter the key, or skip it.

    • Si quiere reducir horizontalmente o escalar horizontalmente una instancia de SLB implementada, consulte este blog.If you want to scale-in or scale-out a deployed SLB instance, read this blog.

Límites de la puerta de enlaceGateway limits

Estos son los límites predeterminados de la puerta de enlace administrada de la controladora de red:The following are the default limits for NC managed gateway:

  • MaxVMNetworksSupported= 50MaxVMNetworksSupported= 50
  • MaxVPNConnectionsPerVMNetwork= 10MaxVPNConnectionsPerVMNetwork= 10
  • MaxVMSubnetsSupported= 550MaxVMSubnetsSupported= 550
  • MaxVPNConnectionsSupported= 250MaxVPNConnectionsSupported= 250

Reemplazo de los límites de la puerta de enlaceOverride the gateway limits

Para reemplazar los límites predeterminados, anexe la cadena de reemplazo a la cadena de conexión de servicio de la controladora de red y actualice en VMM.To override the default limits, append the override string to the network controller service connection string and update in VMM.

  • MaxVMNetworksSupported= seguido del número de redes de VM que se pueden utilizar con esta puerta de enlace.MaxVMNetworksSupported= followed by the number of VM networks that can be used with this gateway.
  • MaxVPNConnectionsPerVMNetwork= seguido del número de conexiones VPN que se pueden crear por cada red de VM con esta puerta de enlace.MaxVPNConnectionsPerVMNetwork= followed by the number of VPN Connections that can be created per VM network with this gateway.
  • MaxVMSubnetsSupported= seguido del número de redes de VM que se pueden utilizar con esta puerta de enlace.MaxVMSubnetsSupported= followed by the number of VM network subnets that can be used with this gateway.
  • MaxVPNConnectionsSupported= seguido del número de conexiones VPN que se pueden utilizar con esta puerta de enlace.MaxVPNConnectionsSupported= followed by the number of VPN Connections that can be used with this gateway.

Ejemplo:Example:

Para reemplazar el número máximo de redes de VM que se pueden utilizar con la puerta de enlace por 100, actualice la cadena de conexión de la manera siguiente:To override the maximum number of VM networks that can be used with the gateway to 100, update the connection string as follows:

serverurl=https://NCCluster.contoso.com;servicename=NC_VMM_RTM; MaxVMNetworksSupported==100

Configurar el rol de administrador de puerta de enlaceConfigure the gateway manager role

Ahora que el servicio de puerta de enlace está implementado, puede configurar sus propiedades y asociarlas con el servicio de controladora de red.Now that the gateway service is deployed, you can configure the properties, and associate it with the network controller service.

  1. Haga clic en Tejido > Servicio de red para mostrar la lista de servicios de red instalados.Click Fabric > Network Service to display the list of network services installed. Haga clic con el botón derecho en el servicio de la controladora de red > Propiedades.Right-click the network controller service > Properties.
  2. Haga clic en la pestaña Servicios y seleccione Rol de administrador de puertas de enlace.Click the Services tab, and select the Gateway Manager Role.
  3. Busque el campo Servicio asociado en Información del servicio y haga clic en Examinar.Find the Associated Service field under Service information, and click Browse. Seleccione la instancia del servicio de puerta de enlace que creó anteriormente y haga clic en Aceptar.Select the gateway service instance you created earlier, and click OK.
  4. Seleccione la cuenta de ejecución que usará el controlador de red para acceder a las máquinas virtuales de puerta de enlace.Select the Run As account that will be used by network controller to access the gateway virtual machines.

    Nota: La cuenta de ejecución debe tener privilegios de administrador en las máquinas virtuales de puerta de enlace.Note: The Run as account must have Administrator privileges on the gateway VMs.

  5. En Subred VIP GRE, seleccione la subred VIP que creó anteriormente.In GRE VIP subnet, select the VIP subnet that you created previously.

  6. En Grupo IPv4 público, seleccione el grupo que configuró durante la implementación de SLB.In Public IPv4 pool, select the pool you configured during SLB deployment. En Dirección IPv4 pública, proporcione una dirección IP del grupo anterior y asegúrese de no seleccionar las tres primeras direcciones IP del intervalo.In Public IPv4 address, provide an IP address from the previous pool, and ensure you don't select the initial three IP addresses from the range.
  7. En Capacidad de puerta de enlace, configure los valores de capacidad.In Gateway Capacity, configure the capacity settings.

    La capacidad de puerta de enlace (Mbps) denota el ancho de banda TCP normal que se espera de la máquina virtual de puerta de enlace.The gateway capacity (Mbps) denotes the normal TCP bandwidth that is expected out of the gateway VM. Debe establecer este parámetro en función de la velocidad de red subyacente que use.You must set this parameter based on the underlying network speed you use.

    El ancho de banda de túnel IPsec se limita a (3/20) de la capacidad de puerta de enlace.IPsec tunnel bandwidth is limited to (3/20) of the gateway capacity. Esto significa que, si la capacidad de puerta de enlace está establecida en 1000 Mbps, la capacidad equivalente de túnel IPsec se limita a 150 Mbps.Which means, if the gateway capacity is set to 1000 Mbps, the equivalent IPsec tunnel capacity would be limited to 150 Mbps.

    Las proporciones equivalentes para túneles GRE y L3 son 1/5 y 1/2 respectivamente.The equivalent ratios For GRE, and L3 tunnels are 1/5 and 1/2 respectively.

  8. Configure el número de nodos reservados para la copia de seguridad en el campo Nodes for reserved for failures (Nodos reservados para errores).Configure the number of reserved nodes for back-up in Nodes for reserved for failures field.

  9. Para configurar máquinas virtuales de puerta de enlace individuales, haga clic en cada máquina virtual y seleccione la subred de front-end IPv4, especifique el ASN local y, opcionalmente, agregue la información del dispositivo de emparejamiento para BGP del mismo nivel.To configure individual gateway VMs, click each VM and select the IPv4 frontend subnet, specify the local ASN, and optionally add the peering device information for the BGP peer.

Nota: Debe configurar los pares BGP de puerta de enlace, si tiene previsto usar conexiones de GRE.Note: You must configure the gateway BGP peers, if you plan to use GRE connections.

La instancia de servicio que ha implementado ya está asociada al rol de administrador de puerta de enlace.The service instance you deployed is now associated with the gateway Manager role. Debería ver la instancia de máquina virtual de puerta de enlace indicada debajo.You should see the gateway VM instance listed under it.

Validar la implementaciónValidate the deployment

Después de implementar la puerta de enlace, puede configurar los tipos de conexión GRE S2S, IPsec S2S o L3 y validarlos.After you deploy the gateway, you can configure S2S GRE, S2S IPSec, or L3 connection types, and validate them. Para obtener más información, vea el siguiente contenido:For additional information, see the following contents:

Para más información sobre los tipos de conexión, vea este artículo.For more information on connection types, see this article.

Configurar el selector de tráfico de PowerShellSet up the traffic selector from PowerShell

Este es el procedimiento para configurar el selector de tráfico mediante PowerShell para VMM.Here is the procedure to setup the traffic selector by using the VMM PowerShell.

  1. Cree el selector de tráfico con los parámetros siguientes.Create the traffic selector by using the following parameters.

    Nota: Los valores que se usan son solo ejemplos.Note: Values used are examples only.

    $t= new-object Microsoft.VirtualManager.Remoting.TrafficSelector
    
    $t.Type=7 // IPV4=7, IPV6=8
    
    $t.ProtocolId=6 // TCP =6, reference: https://en.wikipedia.org/wiki/List_of_IP_protocol_numbers
    
    $t.PortEnd=5090
    
    $t.PortStart=5080
    
    $t.IpAddressStart=10.100.101.10
    
    $t.IpAddressEnd=10.100.101.100
    
  2. Configure el selector de tráfico anterior mediante el parámetro -LocalTrafficSelectors de Add-SCVPNConnection o Set-SCVPNConnection.Configure the above traffic selector by using -LocalTrafficSelectors parameter of Add-SCVPNConnection or Set-SCVPNConnection.

Quitar la puerta de enlace del tejido de SDNRemove the gateway from the SDN fabric

Siga estos pasos para quitar la puerta de enlace del tejido de SDN.Use these steps to remove the gateway from the SDN fabric.