Обзор AWS vSockets
Вы можете подключить свой AWS VPC к Cato, используя туннель IPsec или виртуальный Socket (vSocket). В этой статье описывается, как развернуть vSocket на экземпляре EC2.
vSocket предоставляет следующие преимущества:
Управление пропускной способностью и QoS
Максимальное соединение с точками присутствия в облаке Cato
Поддержка конфигураций высокой доступности
Для получения дополнительной информации о vSocket и сайтах IPsec см. Выбор типа подключения для сайта.
Эта статья предполагает, что у вас уже есть VPC в вашей среде AWS.
Заметка:
В связи с законодательством в Китае, для развертывания сайта vSocket AWS в Китае, пожалуйста, свяжитесь с вашим представителем Cato или службой поддержки Cato.
Предварительные условия
У вас должны быть права администратора на панели мониторинга AWS и в приложении управления Cato. Кроме того, у вас должны быть следующие разрешения на AWS:
AWS Marketplace
Создание пары ключей
Убедитесь, что среда соответствует требованиям, перечисленным в Cato Socket Connection Prerequisites.
Ограничения AWS
AWS не поддерживает следующие функции сетевого взаимодействия:
Диапазоны VLAN
Диапазоны DHCP
Общий обзор создания AWS vSocket
В Cato Management Application создайте новый Сайт для AWS vSocket.
Создайте виртуальные ресурсы AWS
На AWS Marketplace подпишитесь на предложение AMI от Cato Networks для подключения виртуальных ресурсов к экземпляру EC2
Запустите экземпляр vSocket
Проверьте, что vSocket подключен к вашей учётной записи.
Создание площадки vSocket в приложении управления Cato
Создайте сайт AWS vSocket в приложении управления Cato, и для vSocket будет сгенерирован серийный номер. Этот серийный номер используется при запуске экземпляра EC2.
Локальный IP-адрес для vSocket должен быть таким же, как IP-адрес интерфейса LAN на экземпляре EC2. Первые три IP-адреса в подсети зарезервированы VPC.
После того как вы создадите сайт, приложение управления Cato автоматически сгенерирует уникальный серийный номер для нового vSocket. Вам необходимо ввести этот серийный номер при запуске экземпляра EC2).
Создание AWS сайта
Для создания сайта для AWS vSocket:
В Приложении Управления Cato из меню навигации выберите Сеть > Сайты.
Нажмите на Новый. Панель Добавить сайт откроется.
Настройте Общие параметры для сайта:
Введите Название сайта.
Выберите тип сайта. Данный параметр определяет, какой значок будет использоваться для сайта в окне Топология.
Выберите vSocket AWS для Типа соединения.
Настройте Страну, Штат и Часовой пояс для установки временных рамок окна обслуживания. Страна, и Штат.
Настройте Настройки интерфейса WAN, включая Входящий трафик и Исходящий трафик в соответствии с пропускной способностью ISP.
Настроить Настройки интерфейса LAN, включая Собственный диапазон для сайта AWS. Эта настройка должна совпадать с диапазоном IP-подсетей LAN в AWS (см. ниже Создание подсетей MGMT, WAN и LAN).
Кликните Применить. Узел добавлен в список Сайты.
Копирование серийного номера vSocket
Приложение Управления Cato автоматически генерирует уникальный серийный номер для нового vSocket. Необходимо ввести этот серийный номер (S/N) при настройке AMI (см. ниже Настройка Cato AMI).
Чтобы скопировать серийный номер:
Из меню навигации выберите Network > Sites, и выберите сайт.
Из меню навигации выберите Настройки сайта > Socket.
Скопируйте S/N для vSocket.
Вам нужно ввести этот серийный номер при запуске экземпляра vSocket.
Создание виртуальных ресурсов AWS
После создания vSocket вы можете создать виртуальные ресурсы AWS и подключить их к вашему экземпляру EC2, используя шаблон AMI на AWS Marketplace.
Ручное создание виртуальных ресурсов AWS
Создайте эти виртуальные ресурсы для экземпляра vSocket:
Заметка:
Если эти ресурсы уже существуют, вы можете перейти к ассоциации ресурсов с экземпляром EC2 ниже.
Интернет-шлюз
Три подсети - WAN, LAN и MGMT
(Группа(ы) безопасности для управления входящей и исходящей связью
Три интерфейса (ENI) - WAN, LAN и MGMT
Две таблицы маршрутизации - Интернет и LAN
Два Elastic IP (для интерфейсов WAN и MGMT)
Определение интернет-шлюза для VPC
Используйте панель управления AWS Virtual Private Cloud (VPC), чтобы создать новый интернет-шлюз и прикрепить его к вашему VPC.
Чтобы создать новый интернет-шлюз и прикрепить его к VPC:
На панели управления VPC в меню навигации выберите Virtual Private Cloud > Интернет-шлюзы.
Нажмите Создать интернет-шлюз.
В поле Метка имени введите имя для интернет-шлюза.
Нажмите Создать интернет-шлюз. Панель управления VPC показывает детали для интернет-шлюза.
В выпадающем меню Действия выберите Прикрепить к VPC.
В окне Прикрепить к VPC в разделе Доступные VPC выберите VPC.
Нажмите Прикрепить интернет-шлюз. Интернет-шлюз прикреплен к вашему VPC.
Создание подсетей MGMT, WAN и LAN
Создайте эти подсети в AWS, и они автоматически прикрепятся к VPC:
Подсеть MGMT
Подсеть WAN
Подсеть LAN - это то же самое, что и Native Range для участка.
Убедитесь, что все подсети находятся в одной и той же зоне доступности AWS.
Для создания подсети для AWS vSocket:
На панели VPC, в меню навигации выберите Virtual Private Cloud > Subnets.
Нажмите Create subnet.
В окне Create subnet, в разделе VPC, выберите VPC ID.
Настройте параметры для подсети:
Введите Subnet name.
Выберите Availability Zone для подсети.
Введите IPv4 CIDR блок для подсети. Для LAN подсети - это то же значение, что и для Native Range сайта.
Чтобы добавить дополнительные подсети, нажмите Add new subnet и повторите предыдущий шаг 4.
Нажмите Create subnet. AWS создает подсети и прикрепляет их к VPC.
Настройка групп безопасности
Настройте правила группы безопасности для трафика WAN и MGMT с Outbound rules, которые разрешают весь исходящий трафик, чтобы трафик мог достичь Cato Cloud.
Создание Интерфейсов WAN и ЛВС
Создайте интерфейсы WAN и ЛВС для vSocket для экземпляра EC2. Используйте панель EC2 для создания интерфейсов.
Установите Пользовательский IP-адрес для интерфейса LAN, используя тот же IP-адрес, что и Локальный IP для Собственный диапазон. Не используйте первые 3 IP адреса, так как они зарезервированы AWS.
Вам нужно отключить проверку источников/назначений AWS на интерфейсе LAN, чтобы позволить экземпляру EC2 выполнять пересылку трафика.
Заметка:
Для создания сетевого интерфейса (ENI):
На панели управления EC2, в меню навигации выберите Сеть & Безопасность > Сетевые интерфейсы.
Нажмите Создать сетевой интерфейс.
В окне Создать сетевой интерфейс выберите Подсеть LAN.
В Private IPv4 address, нажмите Custom и введите Local IP для Native Range.
В Группы безопасности выберите подходящую группу безопасности для интерфейса.
Нажмите Создать сетевой интерфейс. AWS создает интерфейс.
Повторите предыдущие шаги для интерфейса WAN.
Для интерфейса LAN отключите отслеживание источников/назначений AWS:
В окне Сетевые интерфейсы щелкните правой кнопкой мыши на интерфейс LAN и выберите Изменить источник/назначение. проверка.
В окне Изменить проверку источника/назначения снимите Включить.
Нажмите Save.
Создание таблиц маршрутизации
Создайте новые или используйте существующие таблицы маршрутов VPC для трафика vSocket:
Приватная таблица маршрутизации для подсетей LAN
Присоедините подсеть LAN
Определите Socket LAN ENI как цель (следующий узел) для маршрута по умолчанию
Единая таблица маршрутизации в Интернете для подсетей MGMT и WAN. Эта таблица маршрутизации используется для обеспечения подключения между vSocket и ресурсами Cato Cloud.
Присоедините подсети WAN и MGMT
Определите интернет-шлюз как цель (следующий узел) для маршрута по умолчанию
Чтобы создать таблицы маршрутизации для Интернета и LAN:
На панели управления VPC в меню навигации выберите Виртуальная частная сеть > Таблицы маршрутов.
Щелкните Создать таблицу маршрутов.
В Тег имени введите имя для таблицы маршрутов Интернета или LAN.
Выберите VPC для vSocket.
Нажмите Создать. Таблица маршрутов добавлена в VPC.
Ассоциируйте подсети WAN и MGMT с таблицей маршрутов Интернета или подсеть LAN с таблицей маршрутов LAN.
Щелкните правой кнопкой мыши таблицу маршрутов и выберите Редактировать ассоциации подсетей. Это пример таблицы маршрутов Интернета.
В окне Редактировать ассоциации подсетей:
Для таблицы маршрутов Интернета выберите подсети MGMT и WAN
Для таблицы маршрутов LAN выберите подсеть LAN
Нажмите Save. Подсети ассоциированы с таблицей маршрутов.
Добавьте маршрут по умолчанию в каждую таблицу маршрутов (сначала настройте таблицу маршрутов Интернета, затем LAN).
Щелкните правой кнопкой мыши таблицу маршрутов и выберите Редактировать маршруты. Следующий снимок показывает таблицу маршрутов Интернета:
Щелкните Добавить маршрут.
В Пункт назначения для нового маршрута укажите 0.0.0.0/0.
В Цель выберите следующий узел для таблицы маршрутов Интернета или LAN:
Для таблицы маршрутов Интернета выберите Интернет-шлюз и выберите интернет-шлюз для VPC
Для таблицы маршрутов LAN выберите Сетевой интерфейс и выберите LAN ENI. Следующий снимок показывает таблицу маршрутов LAN:
Нажмите Сохранить изменения.
Окно показывает, что маршрут успешно создан, нажмите Закрыть.
Повторите предыдущие шаги для таблицы маршрутов LAN.
Ассоциация эластичных IP адресов с интерфейсом
Создайте и ассоциируйте эластичные IP-адреса с интерфейсами WAN и MGMT. Вы можете использовать публичный IP-адрес, выделенный из пула адресов IPv4 Amazon.
Заметка:
Примечание: Эластичный IP для интерфейса MGMT должен быть ассоциирован с интерфейсом MGMT, который автоматически создается Cato AMI во время создания экземпляра, а не созданным вручную.
Чтобы выделить эластичный IP-адрес:
На панели управления EC2 в меню навигации выберите Сеть & Безопасность > Elastic IPs.
Щелкните Выделить эластичный IP-адрес.
Для Пул публичных IPv4 адресов выберите Пул IPv4 адресов Amazon.
Щелкните Выделить. Эластичный IP выделен.
Выберите эластичный IP и выберите Действия > Связать адрес эластичного IP.
В окне Связывание эластичного IP-адреса в поле Тип ресурса выберите Сетевой интерфейс.
В Сетевой интерфейс, выберите интерфейс WAN.
Нажмите Ассоциировать. Эластичный IP связан с интерфейсом.
Повторите предыдущие шаги для интерфейса MGMT.
Настройка экземпляра EC2 для vSocket
После создания всех виртуальных ресурсов для vSocket, подключите эти ресурсы к вашему экземпляру EC2, используя Cato Networks AMI, доступный на AWS Marketplace.
Поддерживаемые экземпляры EC2
Следующие типы экземпляров EC2 сертифицированы для vSockets:
t3.large
t3.xlarge
c3.xlarge
c4.xlarge
c5.xlarge
c5d.xlarge
c5n.xlarge (Рекомендуется для более производительных площадок с пропускной способностью выше 2Гбит/с)
d2.xlarge
Поддерживаются следующие типы экземпляров начиная с Socket версии 26.0.23517:
c7i.xlarge
c7i.2xlarge
c7i.4xlarge
c7i.8xlarge
Смотрите эту статью, чтобы ознакомиться с характеристиками типов экземпляров, которые помогут вам выбрать тип, соответствующий требованиям сайта.
Заметка:
Примечание: Если экземпляры c3.xlarge или c4.xlarge недоступны в вашем регионе, свяжитесь с поддержкой клиентов AWS.
Настройка Cato AMI
После подготовки среды, вы можете настроить Cato Networks AMI.
Настройте AMI:
В AWS Marketplace найдите Cato Networks Virtual Socket.
Кликните Продолжить подписку.
Кликните Продолжить конфигурацию.
В разделе Опция выполнения выберите Amazon Machine Image.
В разделе Регион убедитесь, что выбрали регион, в котором находится ваш vSocket.
Кликните Продолжить запуск.
На странице Запустите это программное обеспечение:
В разделе Выберите действие выберите Запустить через EC2.
В разделе Тип экземпляра EC2 выберите экземпляр EC2.
В разделе Настройки VPC выберите VPC, к которому вы подключаетесь.
В разделе Настройки подcети выберите сеть MGMT.
В разделе Настройки группы безопасности выберите группу безопасности, которую вы создали для этого экземпляра.
Разверните Расширенную конфигурацию сети и в разделе Сетевой интерфейс выберите созданный вами интерфейс MGMT.
Примечание: Если вы не выберете существующий интерфейс, будет создан новый интерфейс.
В разделе Настройки ключевой пары выберите созданную вами ключевую пару.
В разделе Расширенные подробности в разделе Пользовательские данные - необязательно введите серийный номер, скопированный с созданного вами сайта vSocket в Приложении Управления Cato.
Нажмите Запуск.
Присоединение интерфейсов к экземпляру vSocket
После запуска экземпляра vSocket, интерфейс MGMT присоединяется к нему. Остановите экземпляр и затем присоедините оставшиеся интерфейсы WAN и LAN к экземпляру.
Заметка:
Примечание: Убедитесь, что экземпляр EC2 остановлен и что сначала вы присоедините интерфейс WAN, а затем интерфейс LAN.
Чтобы присоединить интерфейсы к экземпляру vSocket:
На панели мониторинга EC2 в меню навигации выберите Экземпляры > Экземпляры.
Щелкните правой кнопкой по экземпляру vSocket и выберите Остановить экземпляр.
В окне подтверждения кликните Остановить. Обновите окно и убедитесь, что Состояние экземпляра - Остановлено.
В меню навигации выберите Сеть & Безопасность > Сетевые интерфейсы.
Присоедините интерфейсы WAN к экземпляру:
Щелкните правой кнопкой по интерфейсу WAN и выберите Присоединить интерфейс.
В окне Присоединение сетевого интерфейса, в разделе Экземпляр выберите экземпляр vSocket.
Кликните Присоединить.
Повторите предыдущие три шага для интерфейса LAN.
Завершение установки vSocket
После подключения интерфейсов к vSocket, запустите экземпляр и подтвердите, что он подключается к облаку Cato. После подключения vSocket к облаку Cato, он автоматически обновляется до последней версии Socket.
Чтобы завершить установку vSocket:
Из панели управления EC2 в навигационном меню выберите Инстансы > Инстансы.
Щелкните правой кнопкой по экземпляру vSocket и выберите Запустить экземпляр.
Если экземпляр уже выполняется, перезапустите его.В Cato Management Application выберите Моя Сеть > Топология.
Подтвердите, что сайт AWS подключен к облаку Cato.
(Необязательно) Подключение к Веб-интерфейсу сокета
Мы не рекомендуем подключаться к WebUI AWS vSocket используя эластичный IP-адрес. Если вам нужно войти в Веб-интерфейс сокета, используйте эти настройки:
Используйте MGMT Elastic IP-адрес как публичный IP-адрес для vSocket
Создайте правило безопасности, чтобы разрешить входящий трафик с одного IP-адреса (эластический IP-адрес)
Имя пользователя admin
Пароль по умолчанию - это ID экземпляра для EC2 экземпляра vSocket
(Необязательно) Маршрутизация Трафика на Экземпляры EC2
Если ваши экземпляры EC2 приложения связаны с подсетью, не входящей в Собственный Диапазон (подсеть, которая не является подсетью интерфейса LAN vSocket), в Приложении Управления Cato добавьте маршрутизируемый диапазон в разделе Сети для сайта.
Для маршрутизации трафика на экземпляр EC2:
Из меню навигации выберите Network > Sites, и выберите сайт.
Из меню навигации выберите Конфигурация сайта > Сети.
В разделе LAN нажмите Новый. Откроется панель Новый диапазон IP-адресов.
Введите Имя диапазона IP.
Установите Тип диапазона на Маршрутизируемый.
Введите Диапазон IP-адресов для Подсети.
Установите IP-адрес для Шлюза маршрутизатора VPC, который является первым IP-адресом хоста для собственной подсети диапазона.
(Необязательно) Настройте Статический NAT для диапазона.
Кликните Применить. Диапазон добавлен на экран Сети.
Скриншот выше показывает эти примерные настройки для Маршрутизируемого диапазона:
Собственный диапазон - 10.0.2.0/24
Маршрутизируемый диапазон - 10.0.26.0/24
IP-адрес Шлюза - 10.0.2.1
(Необязательно) Настройка IMDSv2 для Экземпляров EC2
IMDS (Сервис метаданных экземпляра) предоставляет безопасный доступ для получения метаданных экземпляра. Cato использует этот сервис для получения следующей информации:
Серийный номер в пользовательских данных
ID экземпляра
Информация, связанная с HA
Настройки ключа и имени хоста для изменения таблицы маршрутизации
Начиная с версии Socket v20 сборки 18221, Cato добавляет поддержку IMDSv2.
Чтобы настроить ваш экземпляр для использования IMDSv2:
В AWS, выберите экземпляр, который вы хотите настроить.
Выберите Действия > Настройки экземпляра.
В разделе Изменить параметры метаданных экземпляра, под IMDSv2 выберите Необходимо.
Нажмите Save.
Это изменение не вызывает простоев. Однако, если у вас есть развертывание HA, вы должны настроить как основной, так и вторичный экземпляры для использования одной и той же версии IMDS.