Perutean dan Konektivitas Eksternal
Logical router menggabungkan subnet-subnet Anda dan, dengan sedikit konfigurasi tambahan, menghubungkannya ke jaringan fisik. Halaman ini membahas perutean antar-subnet, menjangkau dunia luar, dan memberikan alamat publik untuk beban kerja Anda.
Semua konfigurasi di sini berada pada halaman Logical Routers, atau pada VPC yang memiliki router tersebut.
Perutean antar-Subnet
Subnet yang terpasang pada router yang sama saling merutekan lalu lintas tanpa konfigurasi tambahan. Gateway setiap subnet adalah alamat port router yang Anda berikan, dan sebuah beban kerja menjangkau subnet lain melalui gateway tersebut.
Port router tercantum pada tampilan detailnya. Masing-masing menampilkan subnet yang dilayaninya dan alamat yang dipegangnya di sana.
Rute Statis
Tambahkan rute statis untuk mengirimkan lalu lintas dengan prefiks tertentu ke next hop. Kasus yang paling umum adalah rute default keluar dari VPC:
- IP prefix:
0.0.0.0/0 - Next hop: alamat gateway fisik
Sebuah rute memerlukan next hop yang benar-benar dapat dijangkau oleh router, yang biasanya berarti router harus terlebih dahulu memiliki port pada jaringan yang memuatnya — lihat di bawah.
Menjangkau Jaringan Fisik
Logical router tidak memiliki jalur keluar dari jaringan virtual sampai Anda memberikannya. Hal ini memerlukan tiga hal:
Pemetaan jaringan provider (provider network mapping). Pada host yang akan membawa lalu lintas data,
ovn-bridge-mappingsharus memetakan nama jaringan provider ke bridge OVS yang memegang uplink fisik. Hal ini diatur selama aktivasi, atau pada konfigurasi OVS host.Switch localnet. Buat logical switch, lalu buat port di dalamnya bertipe
localnetyang nama jaringannya cocok dengan pemetaan tersebut. Switch ini merupakan representasi virtual dari segmen fisik.Port router pada switch tersebut. Berikan port pada router yang memegang alamat pada subnet fisik, dan hubungkan ke switch localnet dengan port bertipe
router. Sematkan (pin) port router ke gateway chassis — host yang memiliki pemetaan provider — sehingga OVN mengetahui dari host mana lalu lintas tersebut harus keluar.
Kemudian tambahkan rute default melalui gateway fisik.
Jika Anda membuat port localnet pada host tanpa pemetaan bridge yang cocok, Vapor akan tetap membuatnya dan memperingatkan Anda bahwa jaringan provider belum ditentukan di sini. Hal ini belum tentu salah — lalu lintas mungkin dimaksudkan untuk keluar melalui host yang berbeda — tetapi jika egress tidak berfungsi, ini adalah hal pertama yang harus diperiksa.
SNAT: Berbagi Satu Alamat Eksternal
Untuk memungkinkan seluruh subnet menjangkau internet melalui satu alamat tunggal, tambahkan aturan NAT bertipe SNAT pada router:
- External IP: alamat yang akan tampak sebagai asal lalu lintas
- Logical IP: subnet, misalnya
10.50.0.0/24
Lalu lintas yang keluar dari subnet tersebut kemudian akan ditranslasikan ke alamat eksternal, dan balasan paket akan ditranslasikan kembali.
Pastikan alamat eksternal belum digunakan
Alamat eksternal harus berupa alamat yang tidak digunakan oleh sistem lain. Memeriksa apakah alamat tersebut merespons ping saja tidak cukup: host yang dilindungi firewall akan tetap diam tetapi sebenarnya masih memiliki alamat tersebut. Pastikan dengan pemeriksaan ARP (ARP probe) dari host di segmen yang sama, atau dari catatan manajemen alamat IP Anda.
Mengklaim alamat yang sudah digunakan akan membuat OVN dan host tersebut berkonflik, menyebabkan gangguan intermiten pada keduanya yang sulit dilacak penyebabnya.
DNAT: Mempublikasikan Satu Beban Kerja
Untuk membuat satu beban kerja dapat dijangkau dari luar, gunakan DNAT and SNAT dengan alamat eksternal dan alamat internal beban kerja tersebut. Koneksi masuk ke alamat eksternal akan mencapai beban kerja, dan lalu lintas keluarnya akan menggunakan alamat yang sama.
Kebijakan Perutean (Routing Policies)
Kebijakan (policies) dievaluasi sebelum tabel perutean dan dicocokkan berdasarkan prioritas, dengan prioritas tertinggi diproses lebih dulu. Gunakan kebijakan ini saat tujuan saja tidak cukup untuk menentukan tindakan — misalnya mengirimkan lalu lintas satu subnet melalui jalur yang berbeda, atau memutus (drop) lalu lintas antara dua subnet yang berbagi router yang sama.
Anda dapat menyusun kebijakan berdasarkan CIDR sumber dan tujuan, protokol, dan port, atau menulis ekspresi pencocokan secara langsung jika Anda memerlukan sesuatu yang tidak dicakup oleh formulir penyusun (builder). Tindakan yang tersedia adalah allow, drop, dan reroute ke satu atau lebih next hop.
Kebijakan langsung berlaku saat diterapkan dan merupakan instrumen yang tegas — aturan drop pada prefiks sumber yang luas akan menghentikan lalu lintas yang mungkin tidak Anda maksudkan. Tambahkan pencocokan sespesifik mungkin yang mengekspresikan maksud Anda, dan hapus kebijakan tersebut untuk membatalkannya.
Load Balancer Seharusnya Ditempatkan pada Switch
Ketika Anda memasang load balancer, pasanglah pada logical switch, bukan pada distributed router.
Load balancer yang terpasang pada router mentranslasikan tujuan pada paket masuk, tetapi pada distributed router tanpa port gateway khusus, OVN tidak menghasilkan translasi balik. Balasan paket kemudian akan membawa alamat asli backend dan bukan IP virtual, klien akan menolaknya, dan setiap permintaan tampak tidak mengembalikan apa pun. Load balancer yang terpasang pada switch berfungsi dengan benar.
Terkait hal ini: berikan IP virtual alamat di luar subnet tempat klien berada. Alamat di dalam subnet tidak memiliki entitas yang merespons ARP untuknya, sehingga klien tidak akan pernah sempat mengirimkan paket — koneksi akan menggantung (hang). Dengan IP virtual di luar subnet, klien mengirimkan paket ke gateway-nya dan load balancer akan bekerja saat paket melintas.