Migra a una plataforma de Google Cloud VMware Engine

Last reviewed 2024-09-17 UTC

Muchas empresas quieren trasladar sus clústeres de VMware a la nube para aprovechar la escalabilidad, la resiliencia, la elasticidad y los servicios de nivel superior de la nube, como Vertex AI Studio y BigQuery. Las empresas también desean cambiar los gastos de un modelo de hardware intensivo en capital a un modelo de gastos operativos más flexible. Para ayudar a las empresas a compilar rápidamente un entorno operativo que siga las prácticas recomendadas de Google Cloud, creamos el plano empresarial de Google Cloud VMware Engine. Este modelo te proporciona una guía integral para implementar un entorno de VMware preparado para empresas, de modo que puedas migrar tus cargas de trabajo de VM a la nube.

VMware Engine es un servicio completamente administrado que te permite ejecutar la plataforma de VMware en Google Cloud. Tus cargas de trabajo de VMware operan en hardware dedicado de Google Cloud, completamente integrado con los servicios de Google Cloud. Google se encarga de la infraestructura, las redes y la administración. El modelo te permite implementar un proyecto de Google Cloud que contiene una nube privada de VMware Engine, una red de VMware Engine administrada por Google y las conexiones de intercambio de tráfico entre redes de VPC que permiten que el tráfico fluya de extremo a extremo.

El modelo empresarial de VMware Engine incluye lo siguiente:

  • Repositorios de GitHub que contienen el código de Terraform y las secuencias de comandos auxiliares necesarias para implementar la plataforma de VMware Engine
  • Una guía sobre los controles de arquitectura, redes y seguridad que usas para implementar los repositorios de GitHub (este documento)

El modelo está diseñado para ejecutarse en una base de servicios de nivel base, como las redes de VPC. Puedes usar el plano de base empresarial o Fabric FAST para crear la base de este modelo.

Este documento está dirigido a arquitectos de nube, administradores de plataformas de nube, administradores de VMware Engine y a ingenieros de VMware Engine que pueden usar el modelo para compilar e implementar clústeres de VMware en Google Cloud. El modelo se enfoca en el diseño y la implementación de una nueva nube privada de VMware Engine y supone que ya conoces VMware y el servicio administrado de VMware Engine.

Descripción general del modelo empresarial de VMware Engine

El modelo empresarial de VMware Engine se basa en un enfoque en capas para habilitar la plataforma de VMware Engine. En el siguiente diagrama, se muestra la interacción de varios componentes de este modelo con otros modelos y servicios.

Capas y componentes del plano.

En este diagrama, se incluye lo siguiente:

  • La infraestructura de Google Cloud te proporciona funciones de seguridad, como la encriptación en reposo y la encriptación en tránsito, así como componentes básicos, como el procesamiento y el almacenamiento.
  • La base empresarial te proporciona un modelo de referencia de recursos, como las redes, la identidad, las políticas, la supervisión y el registro. Estos recursos te permiten adaptarte rápidamente a Google Cloud y, al mismo tiempo, cumplir con los requisitos arquitectónicos de tu organización.
  • El modelo empresarial de VMware Engine te proporciona lo siguiente:

  • La automatización de la Deployment con una canalización de CI/CD te proporciona las herramientas para automatizar el aprovisionamiento, la configuración y la administración de la infraestructura. La automatización te ayuda a garantizar implementaciones coherentes, confiables y auditables, a minimizar los errores manuales y a acelerar el ciclo de desarrollo general.

Arquitectura

En el siguiente diagrama, se muestra la arquitectura que implementa el esquema empresarial de VMware Engine.

Arquitectura del modelo

El modelo de implementación implementa lo siguiente:

  • Un proyecto de Google Cloud llamado proyecto independiente de VMware Engine que contiene una nube privada de VMware Engine
  • Un proyecto administrado por Google para la red de VMware Engine
  • Las conexiones de intercambio de tráfico entre redes de VPC para que el tráfico pueda fluir de las aplicaciones de VMware Engine a los clientes

La nube privada de VMware Engine consta de los siguientes componentes:

  • Herramientas de administración: VLAN y subred para la red de administración de los hosts ESXi, el servidor DNS y vCenter Server
  • Copia de seguridad: Infraestructura de copia de seguridad para VMs de cargas de trabajo
  • Máquinas virtuales: VMs de cargas de trabajo
  • vCenter Server: Administración centralizada del entorno de vSphere de nube privada
  • NSX Manager: Proporciona una única interfaz para configurar, supervisar y administrar los servicios de seguridad y redes de NSX-T.
  • Hosts ESXi: Hipervisor en nodos dedicados
  • Almacenamiento vSAN: Plataforma de almacenamiento definida por software hiperconvergente
  • Red de superposición de NSX-T: Software de seguridad y virtualización de red
  • VMware HCX: Migración de aplicaciones y rebalanceo de cargas de trabajo en centros de datos y nubes

Descripción general de las redes de VMware Engine

La red de VMware Engine es una red dedicada que conecta la nube privada de VMware Engine, las redes de VPC y los entornos locales. La red de VMware Engine tiene las siguientes funciones:

  • Conectividad a la nube privada: Cada nube privada de VMware Engine está conectada a una red de VMware Engine, lo que permite la comunicación entre las cargas de trabajo dentro de la nube privada.
  • Conectividad de red de VMware Engine: Puedes usar el intercambio de tráfico entre redes de VPC para establecer conectividad entre las redes de VMware Engine y una VPC de Google. Esta conectividad permite la comunicación entre las cargas de trabajo que se ejecutan en VMware Engine y las que se ejecutan en otros servicios de Google Cloud.
  • Conectividad local: Para crear una solución de nube híbrida, puedes extender las redes de VMware Engine a centros de datos locales mediante Cloud VPN o Cloud Interconnect.
  • Servicios de red: Las redes de VMware Engine usan varios servicios de red, incluidos los siguientes:
    • Cloud DNS para la resolución de nombres de recursos internos y externos
    • Cloud NAT para el acceso a Internet de las cargas de trabajo de la nube privada
    • Intercambio de tráfico de red de VPC para la conectividad de red a otras VPC y otras redes de VMware Engine
    • Conectividad privada a los servicios y las APIs de Google Cloud

Con VMware Engine, eres responsable de crear y administrar VMs de cargas de trabajo con la plataforma de administración de aplicaciones de VMware. Google Cloud es responsable de aplicar parches y actualizar los componentes de la infraestructura, así como de solucionar los problemas de los componentes que fallan.

Decisiones arquitectónicas clave

Área de decisión Decisión Razonamiento de la decisión
Base Puedes implementar el esquema empresarial de VMware Engine en el esquema de base empresarial, Fabric FAST, o en una base que cumpla con los requisitos previos definidos. Tanto el plano de base empresarial como Fabric FAST proporcionan las capacidades básicas que ayudan a las empresas a adoptar Google Cloud.
Procesamiento Puedes implementar un solo clúster privado en una región en particular o dos clústeres privados en dos regiones. La configuración de un solo clúster privado permite una administración simplificada y una optimización de costos.
El modelo implementa un nodo de repuesto. Un solo nodo de repuesto te permite controlar fallas, eventos de mantenimiento y fluctuaciones de la carga de trabajo a la vez que minimizas los costos.
La copia de seguridad y la recuperación ante desastres se administran con el servicio de copia de seguridad y DR. Backup and DR te permite usar un servicio administrado y disminuir la cantidad de administración necesaria para una implementación de VMware Engine.
Redes El modelo habilita la conectividad híbrida. La conectividad híbrida te permite conectar tu entorno local con tu entorno de Google Cloud.
La nube privada usa un espacio de IP privado, enrutable y contiguo. El espacio de IP contiguo facilita la administración de las direcciones IP. Cuando el espacio IP es enrutable, la nube privada puede comunicarse con tus recursos locales.
El acceso a Internet se proporciona a través de Cloud Load Balancing y está protegido por Google Cloud Armor. Google Cloud Armor mejora la postura de seguridad de la carga de trabajo, mientras que Cloud Load Balancing ayuda a habilitar la escalabilidad y la alta disponibilidad de la carga de trabajo.
El modelo habilita Cloud DNS. Cloud DNS resuelve nombres internos y externos.

Arquetipos de la plataforma

El modelo de concepto usa dos grupos de usuarios: un grupo de ingeniería de la plataforma de nube y un grupo de ingeniería de la plataforma de VMware. Estos grupos tienen las siguientes responsabilidades:

  • El grupo de ingeniería de la plataforma de nube es responsable de la implementación de la base para el modelo de VMware Engine y de la implementación del modelo.
  • El grupo de Ingeniería de Plataformas de VMware es responsable de la configuración y el funcionamiento de los componentes de VMware que forman parte de la nube privada.

Si implementas el modelo en el modelo de base empresarial o Fabric FAST, el grupo de ingeniería de la plataforma de nube se crea como parte del proceso de implementación inicial. El grupo de ingeniería de la plataforma de VMware se implementa como parte de este modelo.

Estructura de la organización

El modelo empresarial de VMware Engine se basa en la estructura organizativa existente del modelo de base empresarial y Fabric FAST. Agrega un proyecto independiente de VMware Engine en los entornos de producción, no producción y desarrollo. En el siguiente diagrama, se muestra la estructura del esquema.

Jerarquía de la organización del modelo

Redes

El modelo empresarial de VMware Engine te proporciona las siguientes opciones de red:

  • Una sola red de VPC compartida para una nube privada de VMware Engine
  • Dos instancias de VPC compartidas para una nube privada

Ambas opciones se implementan en una sola región y te permiten administrar el tráfico desde tu entorno local.

En el siguiente diagrama, se muestra una sola red de VPC compartida para una sola región.

Establecer redes con una sola red de VPC compartida

Las instancias de VPC compartidas independientes te permiten agrupar los costos y el tráfico de red en unidades de negocio distintas, a la vez que se mantiene la separación lógica en la nube privada de VMware Engine. En el siguiente diagrama, se muestran varias redes de VPC compartida en una sola región.

Establecer redes con varias redes de VPC compartida

Red de nube privada

Dentro de la nube privada, las redes se basan en NSX-T, que proporciona una capa de red definida por software con funciones avanzadas, como microsegmentación, enrutamiento y balanceo de cargas. El esquema de VMware Engine crea una red para tu servicio de VMware Engine. Esta red es un único espacio de direcciones de la capa 3. El enrutamiento está habilitado de forma predeterminada, lo que permite que todas las subredes y las nubes privadas de la región se comuniquen sin configuración adicional. Como se muestra en el siguiente diagrama, cuando se crea una nube privada, se crean varias subredes que consisten en subredes de administración, subredes de servicio, subredes de carga de trabajo y subredes de servicios de perímetro.

Red de nube privada para este modelo

Cuando configures tu nube privada, debes seleccionar un rango de CIDR que no se superponga con otras redes en la nube privada, la red local, la red de administración de la nube privada o los rangos de direcciones IP de la subred en tu red de VPC. Después de seleccionar un rango de CIDR, VMware Engine asignará automáticamente direcciones IP para varias subredes. Con un rango CIDR de ejemplo de 10.0.0.0/24, la siguiente tabla muestra los rangos de direcciones IP del modelo para sus subredes de administración.

Subred Descripción Rango de direcciones IP
Administración del sistema VLAN y subred para la red de administración de los hosts ESXi, el servidor DNS y vCenter Server 10.0.0.0/26
VMotion VLAN y subred para la red de vMotion de los hosts ESXi 10.0.0.64/28
Uplink de HCX Enlace de subida para los dispositivos HCX IX (movilidad) y NE (extensión) para llegar a sus pares y permitir la creación de la malla de servicios de HCX 10.0.0.216/29

Las VMs de carga de trabajo se encuentran en la subred de NSX-T. Los uplinks de NSX-T Edge proporcionan conectividad externa. El tamaño del rango de CIDR de la nube privada define la cantidad de nodos ESXi que se pueden admitir en la subred de NSX-T. Los nodos de ESXi usan la subred de VSAN para el transporte de almacenamiento.

En la siguiente tabla, se muestran los rangos de direcciones IP de la subred de transporte del host de NSX-T, las subredes de uplink perimetral de NSX-T y las subredes de vSAN, según un rango de CIDR de 10.0.0.0/24.

Subred Descripción Rango de direcciones IP
VSAN La subred de VSAN es responsable del tráfico de almacenamiento entre los hosts ESXi y los clústeres de almacenamiento de VSAN. 10.0.0.80/28
Transporte del host de NSX-T La VLAN y la subred de la zona del host ESXi que es responsable de la conectividad de red, lo que permite el firewall, el enrutamiento, el balanceo de cargas y otros servicios de red 10.0.0.128/27
Uplink-N de NSX-T Edge [N=1-4] El vínculo ascendente de borde de NSX-T permite que los sistemas externos accedan a los servicios y las aplicaciones que se ejecutan en la red de NSX-T.
  • 10.0.0.160/29
  • 10.0.0.168/29
  • 10.0.0.176/29
  • 10.0.0.184/29

En el caso de las subredes de servicio y la subred de servicio perimetral, VMware Engine no asigna un rango ni un prefijo CIDR. Por lo tanto, debes especificar un rango y un prefijo CIDR que no se superpongan. En la siguiente tabla, se muestran los bloques CIDR del modelo para las subredes de servicio y la subred de servicio perimetral.

Subred Descripción Rango de direcciones IP
Servicio-N [N=1-5] Las subredes de servicio permiten que las máquinas virtuales omitan el transporte de NSX y se comuniquen directamente con las redes de Google Cloud para habilitar comunicaciones de alta velocidad.
  • 10.0.2.0/24
  • 10.0.3.0/24
  • 10.0.4.0/24
  • 10.0.5.0/24
Servicio de Edge Es obligatorio si están habilitados los servicios perimetrales opcionales, como la VPN de punto a sitio, el acceso a Internet y la dirección IP externa. Los rangos se determinan para cada región. 10.0.1.0/26

Enrutamiento

Excepto por las redes que se extienden desde tu red local o desde otras nubes privadas de VMware Engine, todas las comunicaciones dentro de VMware Engine y a direcciones IP externas se enrutan (a través de la capa 3) de forma predeterminada. El modelo de diseño configura un Cloud Router asociado con la conexión híbrida local (con Cloud VPN o Cloud Interconnect) con rutas anunciadas personalizadas de resumen para los rangos de direcciones IP de VMware Engine. Las rutas de segmento de NSX se resumen a nivel de nivel 0. El modelo habilita los servicios de DHCP a través del relé de DHCP de NSX-T a los servicios de DHCP que se configuran en la nube privada de VMware Engine.

Configuración del DNS

VMware Engine te permite usar una zona de Cloud DNS en tu proyecto como un extremo de resolución de DNS único para todos los dispositivos de administración conectados en una red de VPC de intercambio de tráfico. Puedes hacerlo incluso si las nubes privadas se implementan en diferentes regiones.

Cuando configuras la resolución de direcciones para múltiples nubes privadas y una sola, puedes configurar la resolución de direcciones global con Cloud DNS.

De forma predeterminada, puedes resolver la zona de administración desde cualquiera de tus redes de VPC que tenga habilitado Cloud DNS.

Cuando el modelo crea una nube privada vinculada a una red estándar de VMware Engine, se crea una zona de DNS de administración asociada y se completa automáticamente con las entradas de los dispositivos de administración.

Si la red estándar de VMware Engine es una red de VPC que intercambia tráfico con una VPC o con otra red de VMware Engine, el modelo crea automáticamente una vinculación de zona de DNS de administración. Esta vinculación de zona garantiza la resolución de los dispositivos de administración desde tus VMs de Google Cloud en esa red. En el siguiente diagrama, se muestra la topología de Cloud DNS.

La configuración de DNS en el modelo.

Tráfico saliente de VMware Engine a Internet

El modelo de diseño te proporciona las siguientes tres opciones para el tráfico saliente que va de VMware Engine a Internet:

  1. Llamadas salientes a través del entorno local del cliente
  2. Salida a través de la puerta de enlace de Internet de VMware Engine
  3. Salida a través de la VPC adjunta del cliente con una dirección IP externa

En el siguiente diagrama, se muestran estas opciones.

Opciones de tráfico saliente para VMware Engine

Tráfico entrante de Internet a VMware Engine

El modelo de diseño te proporciona las siguientes tres opciones para el tráfico que proviene de Internet a VMware Engine:

  1. Llamadas entrantes a través del entorno local del cliente
  2. Entrada a través de un VPC de cliente con Cloud Load Balancing y, posiblemente, Google Cloud Armor
  3. Entrada a través de VMware Engine con una dirección IP externa

En el siguiente diagrama, se muestran estas opciones.

Opciones de tráfico entrante para VMware Engine

Logging

El modelo de concepto te permite enviar las acciones administrativas de VMware Engine a los Registros de auditoría de Cloud con un sumidero de registros. Cuando se analizan los registros de auditoría de VMware Engine, los administradores pueden identificar comportamientos sospechosos, investigar incidentes y demostrar el cumplimiento de los requisitos reglamentarios.

Las exportaciones de registros también pueden servir como fuentes de transferencia para los sistemas de información de seguridad y administración de eventos (SIEM). Google admite las siguientes fuentes de transferencia que entregan VMware Engine:

  • La organización de Google Cloud de hosting, que incluye la telemetría de activos y de la plataforma de nube
  • Componentes del servicio de VMware
  • Cargas de trabajo que se ejecutan en VMware Engine

Google SecOps incluye una canalización de transferencia de registros automatizada integrada para transferir datos de la organización y proporciona sistemas de reenvío para enviar telemetría de transmisión desde VMware Engine y cargas de trabajo a la canalización de transferencia de Google SecOps. Google SecOps enriquece la telemetría con contenido contextual y la hace searchable. Puedes usar Google SecOps para encontrar problemas de seguridad y hacer un seguimiento de ellos a medida que se desarrollan.

Supervisión

El modelo de diseño instala un agente independiente para Cloud Monitoring que reenvía las métricas de tu nube privada a Cloud Monitoring. El modelo configura paneles predefinidos que proporcionan una descripción general de tus recursos de VMware Engine y su uso. En VMware vCenter Server, VMware proporciona herramientas para ayudarte a supervisar tu entorno y ubicar la fuente de los problemas. Puedes usar estas herramientas como parte de tus operaciones en curso y como complemento de otras opciones de supervisión.

Como se ve en el siguiente diagrama, el modelo de diseño automatiza la implementación del agente independiente con un grupo de instancias administrado que se implementa en la VPC del cliente. El agente recopila métricas y registros de syslog de VMware vCenter y los reenvía a Cloud Monitoring y Cloud Logging.

Supervisión del modelo

Copias de seguridad

El modelo usa la copia de seguridad y la DR para proporcionar servicios de protección de datos a tus cargas de trabajo de VMware. El servicio usa un dispositivo administrado que se implementa en la VPC del cliente. El dispositivo se conecta al plano de control de Google a través de Acceso privado a Google y websockets. Las copias de seguridad se almacenan en Cloud Storage, y el servicio proporciona opciones de recuperación detalladas, lo que te permite restablecer archivos individuales o VMs completas a un momento específico.

Prácticas recomendadas operativas

En esta sección, se describen algunas de las prácticas recomendadas que puedes implementar, según tu entorno y tus requisitos, después de implementar el modelo.

Agrega más nodos de repuesto

El tamaño de los clústeres de VMware Engine se ajusta automáticamente para tener al menos un nodo libre para la resiliencia. Un nodo de repuesto es un comportamiento inherente en la HA de vSphere, lo que significa que este nodo está disponible en el clúster y se factura según corresponda.

Puedes agregar más nodos de repuesto al clúster para garantizar la capacidad durante las ventanas de mantenimiento. Esta decisión puede generar costos de consumo adicionales, y tu organización administra directamente estos nodos.

Los nodos de repuesto que agregues aparecerán como nodos adicionales en tu clúster de vSphere. De manera opcional, puedes programar cargas de trabajo en los nodos de repuesto.

Ten en cuenta los límites de recursos de las nubes privadas

Las nubes privadas de VMware Engine tienen límites de recursos en los componentes de procesamiento, almacenamiento y redes. Ten en cuenta estos límites durante la implementación de la nube privada para que tu entorno pueda escalar con las demandas de tu carga de trabajo.

Implementa opciones de administración de costos

Puedes implementar una o más de las siguientes opciones para administrar tus costos:

  • Descuentos por compromiso de uso (CUD)
  • Ajuste de escala automático
  • Límites de recuento de núcleos
  • Sobresuscripción de la capacidad de procesamiento

Usa los descuentos por compromiso de uso

Los CUD proporcionan precios con descuento a cambio de tu compromiso de usar un nivel mínimo de recursos durante un período específico. Los CUD de VMware Engine se aplican al uso agregado de nodos de VMware Engine en una región, lo que te brinda costos bajos y predecibles sin que tengas que realizar ningún cambio o actualización manual. Los descuentos se aplican al uso de nodos de VMware Engine en las regiones en las que el servicio está disponible y en las que compraste los CUD.

Usa el ajuste de escala automático

VMware Engine te permite agregar o quitar nodos de un clúster de forma automática en función de umbrales y marcas de agua predefinidos. Estas políticas se activan si se mantiene una condición especificada durante al menos 30 minutos. Cuando apliques o actualices una política de ajuste de escala automático a un clúster de vSphere (estándar o estirado), ten en cuenta lo siguiente:

  • Según la configuración predeterminada, el ajuste de escala automático está inhabilitado. Debes habilitarlo de forma explícita para cada clúster.
  • En un clúster extendido, la cantidad de nodos que especificas en la política se agrega o quita por zona, lo que afecta la facturación según corresponda.
  • Debido a que el uso de procesamiento, memoria y almacenamiento suele ser independiente, las políticas de ajuste de escala automático que supervisan varias métricas usan la lógica O para la adición de nodos y la lógica Y para la eliminación de nodos.
  • Los máximos del ajuste de escala automático se determinan según las cuotas disponibles en tu proyecto de Google Cloud y la nube privada de VMware Engine.
  • Habilitar el ajuste de escala automático y agregar o quitar un nodo de forma manual no son mutuamente excluyentes. Por ejemplo, con la política de optimización de la capacidad de almacenamiento, puedes quitar un nodo de forma manual si puedes reducir el espacio en disco de la VM lo suficiente como para admitir todas las VMs del clúster. Si bien es posible quitar nodos de forma manual, no es una práctica recomendada cuando se usa el ajuste de escala automático.

Limita el recuento de núcleos

VMware Engine permite a los administradores reducir la cantidad de núcleos de CPU efectivos que se exponen al SO invitado (que es la VM que se ejecuta en VMware Engine). Algunos contratos de licencia de software requieren que reduzcas los núcleos que están expuestos.

Sobresuscribe la capacidad de procesamiento de VMware Engine

La suscripción excesiva de la capacidad de procesamiento de VMware Engine es una práctica estándar y, a diferencia de los nodos de usuario único de Compute Engine, no genera cargos adicionales. Una proporción de sobresuscripción más alta podría ayudarte a disminuir la cantidad de nodos facturables efectivos en tu entorno, pero puede afectar el rendimiento de la aplicación. Cuando definas el tamaño de las cargas de trabajo empresariales, te recomendamos que uses una proporción de 4:1 para comenzar y, luego, modifiques la proporción en función de los factores que se apliquen a tu caso de uso.

Implementa el plano

Puedes implementar el plano en el plano de base empresarial o en Fabric FAST.

Para implementar el plano en el plano de bases empresariales, completa lo siguiente:

Para implementar el modelo de diseño en Fabric FAST, consulta el repositorio de Fabric FAST. La etapa de Google Cloud VMware Engine implementa el modelo empresarial de VMware Engine.

Implementa el plano sin el plano de bases empresariales ni Fabric FAST

Para implementar el modelo sin implementar primero el modelo de bases empresariales o Fabric FAST, verifica que los siguientes recursos existan en tu entorno:

  • Una jerarquía de organización con carpetas development, nonproduction y production
  • Una red de VPC compartida para cada carpeta
  • Un esquema de direcciones IP que tenga en cuenta los rangos de direcciones IP necesarios para tus nubes privadas de VMware Engine
  • Un mecanismo de DNS para tus nubes privadas de VMware Engine
  • Políticas de firewall que estén alineadas con tu postura de seguridad
  • Un mecanismo para acceder a las APIs de Google Cloud a través de direcciones IP internas
  • Un mecanismo de conectividad con el entorno local
  • Un registro centralizado para la seguridad y la auditoría
  • Políticas organizativas que están alineadas con tu posición de seguridad
  • Una canalización que puedes usar para implementar VMware Engine

¿Qué sigue?