使用 NSX-T 将本地第 2 层网络扩展到私有云
本文档介绍如何使用基于 NSX-T 的第 2 层 VPN 将第 2 层网络从本地环境扩展至 Google Cloud VMware Engine 私有云。如需使用 HCX 网络扩展程序扩展第 2 层网络，请参阅 VMware HCX 文档。
对第 2 层网络进行基于第 2 层 VPN 的扩展时，您可以在本地 VMware 环境中使用或不使用基于 NSX-T 的网络。如果您没有适用于本地工作负载的基于 NSX-T 的覆盖网络，请使用 NSX-T 自治边缘，它具有数据平面开发套件 (DPDK) 支持的接口，从而实现高性能。
与使用 HCX 网络扩展相比，使用 NSX-T 扩展第 2 层网络具有以下优势：
- NSX-T 中的第 2 层 VPN 扩展支持使用中继接口。
- NSX-T 中的网络吞吐量高于使用 HCX 网络扩展时的吞吐量。
- 与 HCX 相比，NSX-T 所需的升级更少，停机时间也更少。
- HCX 网络扩展需要具有本地 vSphere 企业 Plus 版许可，但第 2 层 VPN 扩展在本地 vSphere 标准许可上即可运行。
部署场景
为了使用第 2 层 VPN 扩展本地网络，上述部署场景会配置第 2 层 VPN 服务器和第 2 层 VPN 客户端。此过程包括以下主要步骤：
- 在本地环境中，部署 NSX-T 自治边缘（第 2 层 VPN 客户端）。
- 在私有云中，在 NSX-T Manager 上配置第 2 层 VPN 服务器。
- 在本地环境中，在自治边缘上配置第 2 层 VPN 客户端。
- （可选）在本地环境中，以高可用性模式部署辅助自治边缘（第 2 层 VPN 客户端）。
您的私有云会通过 Cloud VPN 或 Cloud Interconnect 连接到本地环境。此设置可确保私有云中的 0 层级或 1 层级网关与本地网络中的自治边缘客户端之间存在路由路径。
如需查看第 2 层 VPN 部署的示例规范，请参阅第 2 层 VPN 部署示例部分。
准备工作
在开始之前，请执行以下操作：
- 将您的本地环境连接到您的 VPC 网络。
- 确定要扩展到私有云的工作负载第 2 层网络。
- 确定本地环境中的两个 VLAN，它们将用于部署自治边缘设备（第 2 层 VPN 客户端）。
- 创建私有云。
- 在本地 DNS 服务器上设置 DNS 转发，使网域指向私有云 DNS 服务器。
- 允许自治边缘的上行 IP 地址和本地端点 IP 地址之间的端口 500 和 4500 上的 UDP 流量用于您的私有云中的 0 层级或 1 层级网关。
此外，请验证以下各项是否已准备就绪：
- 本地 vSphere 版本必须是 6.7U1+ 或 6.5P03+。相应的许可必须是企业 Plus 版级别（适用于 vSphere 分布式交换机）。
- 自治边缘设备版本与私有云中使用的 NSX-T Manager 版本兼容。
- 根据 vMotion 在两个站点之间的运行要求，往返时间 (RTT) 延迟不超过 150 毫秒（如果尝试迁移工作负载）。
限制和注意事项
下表列出了受支持的 vSphere 版本和网络适配器类型：
| vSphere 版本 | 来源 vSwitch 类型 | 虚拟 NIC 驱动程序 | 目标 vSwitch 类型 | 是否支持？ |
|---|---|---|---|---|
| 全部 | DVS | 全部 | DVS | 是 |
| vSphere 6.7UI 或更高版本，6.5P03 或更高版本 | DVS | VMXNET3 | N-VDS | 是 |
| vSphere 6.7UI 或更高版本，6.5P03 或更高版本 | DVS | E1000 | N-VDS | 不受支持（根据 VMware） |
| vx 6.7UI 或 6.5P03、NSX-V 或 NSX-T2.2、6.5P03 或更高版本 | 全部 | 全部 | N-VDS | 不受支持（根据 VMware） |
部署 NSX-T 自治边缘（第 2 层 VPN 客户端）
如需在本地环境中部署 NSX-T 自治边缘，请在本地构建中继端口组，然后使用该端口组创建自治边缘。
创建和配置中继端口组
以下步骤展示了如何创建和配置中继端口组：
创建分布式端口组，并将 VLAN 类型设置为 VLAN 中继。提供要扩展的 VLAN。
在安全选项中，将混杂模式和模拟传输都设置为接受。
在分组和故障切换选项中，将负载均衡设置为使用显式故障切换顺序。
在分组和故障切换选项中，将活跃上行链路设置为 uplink1，并将备用上行链路设置为 uplink2。
完成其余的端口组创建步骤。
在本地环境中部署自治边缘
以下步骤介绍了如何在本地环境中部署 NSX-T 自治边缘（第 2 层 VPN 客户端）：
- 请与 Cloud Customer Care 联系，下载正确的 NSX Edge for VMware ESXi 版本。
将 NSX Edge OVA 部署为 OVF 模板。
- 在配置步骤中，选择大型配置以适应 VMware Engine 私有云附带的大型 NSX-T Edge。
- 在选择存储空间步骤中，选择要使用的数据存储区。
在选择网络步骤中，提供用于不同流量类型的端口组：
- 网络 0（设备上的 eth1）：选择为管理流量预留的端口组。
- 网络 1（设备上的 eth2）：选择为上行流量预留的端口组。
- 网络 2（设备上的 eth3）：选择中继端口组。
- 网络 3（设备上的 eth4）：选择为高可用性流量预留的端口组。在下图中，为管理流量预留的端口组也用于高可用性流量。
在自定义模板步骤中，输入以下详细信息：
在应用部分中，执行以下操作：
- 设置系统根用户密码。
- 设置 CLI“admin”用户密码。
- 选中是自治边缘复选框。
- 将其余字段留空。
在网络属性部分中，执行以下操作：
- 设置主机名。
- 设置默认 IPv4 网关。这是管理网络的默认网关。
- 设置管理网络 IPv4 地址。这是自治边缘的管理 IP 地址。
- 设置管理网络网络掩码。这是管理网络前缀长度。
在 DNS 部分，执行以下操作：
- 在 DNS 服务器列表字段中，输入以空格分隔的 DNS 服务器 IP 地址。
- 在网域搜索列表字段中，输入域名。
在 Service 配置部分，执行以下操作：
- 输入 NTP 服务器列表。
- 输入 NTP 服务器（以空格分隔）。
- 选中启用 SSH 复选框。
- 选中允许根 SSH 登录复选框。
- 输入日志记录服务器（如果有）。
在外部部分中，执行以下操作：
按以下格式输入外部端口详细信息：
VLAN ID,Exit Interface,IP,Prefix Length。例如：2871,eth2,172.16.8.46,28。替换以下值：VLAN ID：上行 VLAN 的 VLAN IDExit Interface：为上行流量预留的接口 IDIP：为上行接口预留的 IP 地址Prefix Length：上行网络的前缀长度
在外部网关字段中，输入上行网络的默认网关。
在高可用性部分，执行以下操作：
按以下格式输入高可用性端口详细信息：
VLAN ID,exitPnic,IP,Prefix Length。例如：2880,eth4,172.16.8.46,28。替换以下值：VLAN ID：管理 VLAN 的 VLAN IDexitPnic：为高可用性流量预留的接口 IDIP：为高可用性接口预留的 IP 地址Prefix Length：高可用性网络的前缀长度
在高可用性端口默认网关字段中，输入管理网络的默认网关。如果使用其他网络进行高可用性通信，请提供相应的默认网关。
将其余字段留空。
完成其余的 OVF 模板部署步骤。
在私有云中的 NSX-T Manager 上配置第 2 层 VPN 服务器
以下步骤介绍了如何在私有云 NSX-T Manager 中的 0 级层或 1 级层网关上配置第 2 层 VPN 服务器。
创建第 2 层 VPN 服务
- 在 NSX-T Manager 中，转到网络 > VPN > VPN 服务 > 添加服务 > IPSec。
输入以下详细信息以创建 IPSec 服务：
- 输入名称。
- 在 0 层级/1 层级网关列中，选择要运行第 2 层 VPN 服务器的网关。
- 将其他字段留空。
转到网络 > VPN > 本地端点。
输入以下详细信息以创建本地端点：
- 输入名称。
- 在 VPN 服务列中，选择您刚创建的 IPSec VPN 服务。
- 在 IP 地址字段中，输入为本地端点预留的 IP 地址，这也是 IPSec/第 2 层 VPN 隧道终止的 IP 地址。
- 在本地 ID 字段中，输入相同的预留 IP 地址。
- 将其他字段留空。
转到网络 > VPN > VPN 服务 > 添加服务 > L2 VPN 服务器。
输入以下详细信息以创建第 2 层 VPN 服务：
- 输入名称。
- 在 0 层级/1 层级网关列中，选择要运行第 2 层 VPN 服务器的网关（与前面第 2 步中使用的网关相同）。
- 将其他字段留空。
创建第 2 层 VPN 会话
- 在 NSX-T Manager 中，转到网络 > VPN > L2 VPN 会话 > 添加 L2 VPN 会话 > L2 VPN 服务器。
输入以下详细信息以创建第 2 层 VPN 会话：
- 输入名称。
- 选择之前在第 4 步创建第 2 层 VPN 服务中创建的本地端点/IP。
- 在远程 IP 字段中，输入本地环境中自治边缘的上行 IP 地址。
- 输入预共享密钥。
- 在隧道接口字段中，输入预留的隧道接口子网中的一个 IP 地址。
- 在远程 ID 字段中，输入远程 IP 中的值。
- 将其他字段留空。
创建网络分段以扩展到本地 VLAN
- 在 NSX-T Manager 中，转到网络 > 分段 > 添加分段。
提供以下详细信息以创建要扩展到本地 VLAN 的分段：
- 输入分段名称。
- 在连接的网关字段中，选择无。
- 在传输区域部分，选择 TZ-Overlay。
- 在 L2 VPN 字段中，选择之前在创建第 2 层 VPN 会话中创建的第 2 层 VPN 会话。
- 在 VPN 隧道 ID 字段中，输入唯一的隧道 ID（例如 100）。此隧道 ID 必须与从本地扩展 VLAN 时使用的隧道 ID 一致。
- 将其他字段留空。
转到网络 > VPN > L2 VPN 会话。
展开会话，然后点击下载配置以下载第 2 层 VPN 配置。
使用任何文本编辑器打开下载的文件，然后复制 peer_code 字符串（不带引号）。稍后您在后续部分中为第 2 层 VPN 配置本地自治边缘时将使用此字符串。
向外部网络通告 IPSec 本地端点 IP
此步骤取决于您是为第 2 层 VPN 服务使用 1 层级还是 0 层级网关。
从 0 层级网关通告
如果您使用 0 层级网关，请执行以下操作，向外部网络通告 0 层级网关中的 IPSec 本地端点 IP：
- 转到网络 > 0 层级网关。
- 修改用于第 2 层 VPN 的 0 层级网关（最好是 Provider-LR）。
- 展开路由重新分布。
- 在 0 层级子网部分，选中 IPSec 本地 IP 复选框。
- 点击保存。
聚合 0 层级网关上的 IPSec 本地端点子网。您需要在 0 层级网关上聚合路由器，以便 IPSec 本地端点可供本地自治边缘的上行 IP 访问，并且不会在网络架构中被过滤掉。
- 转到网络 > 0 层级网关。
- 修改用于第 2 层 VPN 的所选 0 层级网关（最好是 Provider-LR）。
- 转到 BGP > 路由聚合 > 添加前缀。
- 在前缀列中，输入本地端点网络。
- 在仅限摘要列中，选择是。
- 点击应用和保存。
从 1 层级网关通告
如果您对第 2 层 VPN 服务使用 1 层级网关（如示例部署中所示），请改为执行以下步骤：
聚合 0 层级网关上的 IPSec 本地端点子网。您需要在 0 层级网关上聚合路由器，以便 IPSec 本地端点可供本地自治边缘的上行 IP 访问，并且不会在网络架构中被过滤掉。
- 转到网络 > 0 层级网关。
- 修改用于第 2 层 VPN 的所选 0 层级网关（最好是 Provider-LR）。
- 转到 BGP > 路由聚合 > 添加前缀。
- 在前缀列中，输入本地端点网络。
- 在仅限摘要列中，选择是。
- 点击应用和保存。
转到网络 > 1 层级网关。
修改用于第 2 层 VPN 的 1 层级网关（最好是 Provider-LR）。
在路由通告部分中，启用 IPSec 本地端点切换开关。
点击保存。
在自治边缘（本地）上配置第 2 层 VPN 客户端
以下步骤展示了如何在通过部署 NSX-T 自治边缘在本地部署的自治边缘上配置第 2 层 VPN 客户端：
- 通过管理设备 IP 地址登录 NSX-T 自治边缘。
添加第 2 层 VPN 会话：
- 转到 L2 VPN，然后点击添加会话。
输入以下详细信息：
- 在会话名称字段中，输入您在创建第 2 层 VPN 会话中配置的会话名称。
- 将管理员状态设置为启用。
- 在本地 IP 字段中，输入自治边缘的上行 IP 地址。
- 在远程 IP 字段中，输入在私有云中的 NSX-T Manager 上配置第 2 层 VPN 服务器步骤中配置为本地端点的 IP 地址。
- 在对等代码字段中，输入在私有云中的 NSX-T Manager 上配置第 2 层 VPN 服务器步骤中复制的 peer_code 字符串。
点击保存。
扩展本地 VLAN：
- 转到端口，然后点击添加端口。
输入以下详细信息：
- 在端口名称字段中，输入端口名称。
- 将子网字段留空。
- 在 VLAN 字段中，输入要扩展的本地 VLAN 的 VLAN ID。
- 对于退出接口，选择上行接口（如 eth2）。
点击保存。
将端口连接到 L2 VPN 会话。
- 转到 L2 VPN，然后点击连接端口。
输入以下详细信息：
- 选择之前在第 2 步中创建的 L2 VPN 会话。
- 选择之前在第 3 步中创建的端口。
- 在隧道 ID 字段中，输入用于扩展私有云中分段的同一隧道 ID（在私有云中的 NSX-T Manager 上配置第 2 层 VPN 服务器步骤中所配置）。
第 2 层 VPN 会话显示在表中，其状态为“UP”。本地 VLAN 现已扩展到 VMware Engine 私有云（扩展分段）。连接到本地扩展 VLAN 的工作负载现可供附加到 VMware Engine 私有云中扩展分段的工作负载访问。
以高可用性模式部署辅助 NSX-T 自治边缘（第 2 层 VPN 客户端）
（可选）按照以下步骤在本地环境中以高可用性模式部署辅助 NSX-T 自治边缘（第 2 层 VPN 客户端）：
- 按照在本地环境中部署 NSX-T 自治边缘中的步骤操作，直到完成自定义模板步骤。
在自定义模板步骤中，改为执行以下操作：
在应用部分中，输入以下详细信息：
- 设置系统根用户密码。
- 设置 CLI“admin”用户密码。
- 选中是自治边缘复选框。
- 将所有其他字段留空。
在网络属性部分中，输入以下详细信息：
- 设置主机名。
- 设置默认 IPv4 网关。这是管理网络的默认网关。
- 设置管理网络 IPv4 地址。这是辅助自治边缘的管理 IP 地址。
- 设置管理网络网络掩码。这是管理网络前缀长度。
在 DNS 部分中，输入以下详细信息：
- 输入 DNS 服务器列表。
- 输入 DNS 服务器 IP 地址（以空格分隔）。
- 输入网域搜索列表。
- 输入域名。
在服务配置部分中，输入以下详细信息：
- 输入 NTP 服务器列表。
- 输入 NTP 服务器（以空格分隔）。
- 选中启用 SSH 复选框。
- 选中允许根 SSH 登录复选框。
- 输入日志记录服务器（如果有）。
将外部部分留空。
在高可用性部分中，输入以下详细信息：
按以下格式输入高可用性端口详细信息：
VLAN ID,exitPnic,IP,Prefix Length。例如：2880,eth4,172.16.8.11,28。替换以下值：VLAN ID：管理 VLAN 的 VLAN IDexitPnic：为高可用性流量预留的接口 IDIP：为辅助自治边缘的高可用性接口预留的 IP 地址Prefix Length：高可用性网络的前缀长度
在高可用性端口默认网关字段中，输入管理网络的默认网关。
选中次要 API 节点复选框。
在主节点管理 IP 字段中，输入主自治边缘的管理 IP 地址。
在主节点用户名字段中，输入主自治边缘的用户名（例如“admin”）。
在主节点密码字段中，输入主自治边缘的密码。
在主节点管理指纹字段中，输入主自治边缘的 API 指纹。您可以通过使用管理员凭据并运行
get certificate api thumbprint命令通过 SSH 连接到主自治边缘来实现此目的。
完成其余 OVF 模板部署步骤，以部署辅助自治边缘（本地第 2 层 VPN 客户端）。
生成的自治边缘的高可用性状态为有效。
第 2 层 VPN 部署示例
下表提供了第 2 层 VPN 部署示例的规范。
本地网络将被扩展
| 网络属性 | 值 |
|---|---|
| VLAN | 2875 |
| CIDR | 172.16.8.16/28 |
部署自治边缘的本地网络
| 网络属性 | 值 |
|---|---|
| 管理 VLAN | 2880 |
| 管理 CIDR | 172.16.8.0/28 |
| 上行 VLAN | 2871 |
| 上行 CIDR | 172.16.8.32/28 |
| 高可用性 VLAN（与管理相同） | 2880 |
| 高可用性 CIDR（与管理相同） | 172.16.8.0/28 |
| 主要自治边缘管理 IP 地址 | 172.16.8.14 |
| 主要自治边缘上行 IP 地址 | 172.16.8.46 |
| 主要自治边缘高可用性 IP 地址 | 172.16.8.12 |
| 辅助自治边缘管理 IP 地址 | 172.16.8.13 |
| 辅助自治边缘高可用性 IP 地址 | 172.16.8.11 |
NSX-T 1 层级路由器的私有云 IP 架构（第 2 层 VPN 服务器）
| 网络属性 | 值 |
|---|---|
| 本地端点 IP 地址 | 192.168.198.198 |
| 本地端点网络 | 192.168.198.198/31 |
| 隧道接口 | 192.168.199.1/30 |
| 分段（已扩展） | L2 VPN-Seg-test |
| 环回接口（NAT IP 地址） | 104.40.21.81 |
映射到扩展网络的私有云网络
| 网络属性 | 值 |
|---|---|
| 分段（已扩展） | L2 VPN-Seg-test |
| CIDR | 172.16.8.16/28 |
后续步骤
- 如需详细了解如何使用 NSX-T 第 2 层 VPN 扩展本地网络，请参阅 VMware 文档了解第 2 层 VPN。