简体中文版经机器翻译而成,仅供参考。如与英语版出现任何冲突,应以英语版为准。

GCP 中的 Cloud Volumes ONTAP 的网络要求

提供者 netapp-bcammett felix-melligan 下载此页面的 PDF

设置您的 Google 云平台网络,以便 Cloud Volumes ONTAP 系统可以正常运行。其中包括连接器和 Cloud Volumes ONTAP 的网络连接。

如果要部署 HA 对,则应执行此操作 "了解 HA 对在 GCP 中的工作原理"

Cloud Volumes ONTAP 的要求

以下要求必须在 GCP 中满足。

内部负载平衡器

一个负载平衡器用于集群管理,一个负载平衡器用于 Storage VM ( SVM )管理,一个负载平衡器用于向节点 1 发送 NAS 流量,另一个负载平衡器用于向节点 2 发送 NAS 流量。

每个负载平衡器的设置如下:

  • 一个共享专用 IP 地址

  • 一次全局运行状况检查

    默认情况下,运行状况检查使用的端口为 63001 , 63002 和 63003 。

  • 一个区域 TCP 后端服务

  • 一个区域 UDP 后端服务

  • 一个 TCP 转发规则

  • 一个 UDP 转发规则

  • 已禁用全局访问

    即使默认情况下全局访问处于禁用状态,也支持在部署后启用全局访问。我们禁用了此功能,因为跨区域流量的延迟会显著增加。我们希望确保您不会因意外的跨区域挂载而产生负面体验。启用此选项取决于您的业务需求。

HA 对的一个或多个分区
  • 多个分区(建议)

    在三个分区之间部署 HA 配置可确保在分区发生故障时持续提供数据。请注意,与使用单个分区相比,写入性能略低,但写入性能极低。

  • 单个分区

    在单个区域中部署时, Cloud Volumes ONTAP HA 配置会使用分布放置策略。此策略可确保 HA 配置免受分区内单点故障的影响,而无需使用单独的分区来实现故障隔离。

    此部署模式确实可以降低成本,因为分区之间没有数据传出费用。

适用于 HA 对的四个虚拟私有云

创建 HA 对时, Cloud Manager 将提示您选择四个 vPC :

  • vPC-0 ,用于与数据和节点的入站连接

  • VPC-1 , VPC-2 和 VPC-3 ,用于节点与 HA 调解器之间的内部通信

HA 对的子网

如果将 Connector 置于 VPC-0 中,则需要在子网上启用专用 Google 访问才能访问 API 并启用数据分层。

这些 VPC 中的子网必须具有不同的 CIDR 范围。它们不能具有重叠的 CIDR 范围。

一个适用于单节点系统的虚拟私有云

单节点系统需要一个 VPC 。

共享 vPC

对于单节点系统, VPC 可以是共享 VPC ,也可以是独立 VPC 。

对于 HA 对,需要四个 vPC 。其中每个 VPC 都可以是共享的,也可以是独立的。例如, vPC-0 可以是共享 VPC ,而 vPC-1 , vPC-2 和 vPC-3 可以是独立 VPC 。

通过共享 VPC ,您可以跨多个项目配置和集中管理虚拟网络。您可以在 host project 中设置共享 VPC 网络,并在 service project 中部署 Connector 和 Cloud Volumes ONTAP 虚拟机实例。 "Google Cloud 文档:共享 VPC 概述"

使用共享 VPC 时的唯一要求是提供 "计算网络用户角色" 连接到 Connector 服务帐户。Cloud Manager 需要这些权限才能查询主机项目中的防火墙, VPC 和子网。

Cloud Volumes ONTAP 的出站 Internet 访问

路由和防火墙策略必须允许通过 HTTP/HTTPS 流量访问以下端点,以便 Cloud Volumes ONTAP 可以发送 AutoSupport 消息:

专用 IP 地址
  • * 单节点 * : 3 或 4 个专用 IP 地址

    如果您使用 API 部署 Cloud Volumes ONTAP 并指定以下标志,则可以跳过创建 Storage VM ( SVM )管理 LIF :

    skipSvmManagementLif : true

    LIF 是与物理端口关联的 IP 地址。SnapCenter 等管理工具需要使用 Storage VM ( SVM )管理 LIF 。

  • * HA 对 * : 15 或 16 个专用 IP 地址

    • VPC-0 的 7 或 8 个专用 IP 地址

      如果您使用 API 部署 Cloud Volumes ONTAP 并指定以下标志,则可以跳过创建 Storage VM ( SVM )管理 LIF :

    skipSvmManagementLif : true

    • VPC-1 的两个专用 IP 地址

    • VPC-2 的两个专用 IP 地址

    • VPC-3 的三个专用 IP 地址

防火墙规则

请注意, HA 配置需要两组防火墙规则:

  • VPC-0 中 HA 组件的一组规则。这些规则允许对 Cloud Volumes ONTAP 进行数据访问。 了解更多信息。

  • VPC-1 , VPC-2 和 VPC-3 中 HA 组件的另一组规则。这些规则适用于 HA 组件之间的入站和出站通信。 了解更多信息。

从 Cloud Volumes ONTAP 连接到 Google 云存储以进行数据分层

有关在 Cloud Manager 中设置数据分层所需的其他步骤,请参见 "将冷数据分层到低成本对象存储"

连接到其他网络中的 ONTAP 系统

有关说明,请参见 "Google Cloud 文档: Cloud VPN 概述"

连接器的要求

设置您的网络,以便 Connector 能够管理公有云环境中的资源和流程。最重要的步骤是确保对各种端点的出站 Internet 访问。

提示 如果您的网络使用代理服务器与 Internet 进行所有通信,则可以从设置页面指定代理服务器。请参见 "将 Connector 配置为使用代理服务器"

连接到目标网络

连接器要求与要部署 Cloud Volumes ONTAP 的 VPC 建立网络连接。如果要部署 HA 对,则 Connector 只需要连接到 VPC-0 。

出站 Internet 访问

连接器需要通过出站 Internet 访问来管理公有云环境中的资源和流程。在 GCP 中管理资源时, Connector 会联系以下端点:

端点 目的

https://www.googleapis.com

使 Connector 能够联系 Google API 以在 GCP 中部署和管理 Cloud Volumes ONTAP 。

https://api.services.cloud.netapp.com:443

对 NetApp Cloud Central 的 API 请求。

https://cloud.support.netapp.com.s3.us-west-1.amazonaws.com

提供对软件映像、清单和模板的访问。

https://cognito-idp.us-east-1.amazonaws.com https://cognito-identity.us-east-1.amazonaws.com https://sts.amazonaws.com https://cloud-support-netapp-com-accelerated.s3.amazonaws.com

使 Connector 能够访问和下载清单,模板和 Cloud Volumes ONTAP 升级映像。

https://cloudmanagerinfraprod.azurecr.io * .blob.core.windows.net

访问运行 Docker 的基础架构中容器组件的软件映像,并提供解决方案以实现与 Cloud Manager 的服务集成。

https://kinesis.us-east-1.amazonaws.com

使 NetApp 能够从审计记录流化数据。

https://cloudmanager.cloud.netapp.com

与 Cloud Manager 服务进行通信,其中包括 Cloud Central 帐户。

https://netapp-cloud-account.auth0.com

与 NetApp Cloud Central 进行通信以实现集中式用户身份验证。

support.netapp.com:443 https://mysupport.netapp.com

与 NetApp AutoSupport 通信。请注意, Connector 会与 support.netapp.com:443 进行通信,此通信将重定向到 https://mysupport.netapp.com 。

https://support.netapp.com/svcgw https://support.netapp.com/ServiceGW/entitlement https://eval.lic.netapp.com.s3.us-west-1.amazonaws.com https://cloud-support-netapp-com.s3.us-west-1.amazonaws.com

与 NetApp 沟通以获得系统许可和支持注册。

https://client.infra.support.netapp.com.s3.us-west-1.amazonaws.com https://cloud-support-netapp-com-accelerated.s3.us-west-1.amazonaws.com https://trigger.asup.netapp.com.s3.us-west-1.amazonaws.com

使 NetApp 能够收集对支持问题进行故障排除所需的信息。

https://ipa-signer.cloudmanager.netapp.com

允许 Cloud Manager 生成许可证(例如,适用于 Cloud Volumes ONTAP 的 FlexCache 许可证)

各种第三方位置,例如:

第三方位置可能会发生变化。

在升级过程中、 Cloud Manager 会下载最新的软件包以满足第三方依赖性。

虽然您应该从 SaaS 用户界面执行几乎所有任务,但连接器上仍提供本地用户界面。运行 Web 浏览器的计算机必须连接到以下端点:

端点 目的

Connector 主机

要加载 Cloud Manager 控制台,必须从 Web 浏览器输入主机的 IP 地址。

根据您与云提供商的连接,您可以使用分配给主机的专用 IP 或公有 IP :

  • 如果您对虚拟网络具有 VPN 和直接连接访问权限,则专用 IP 可以正常工作

  • 公有 IP 可用于任何网络连接情形

在任何情况下,您都应确保安全组规则仅允许从授权的 IP 或子网进行访问,从而确保网络访问的安全。

https://auth0.com https://cdn.auth0.com https://netapp-cloud-account.auth0.com https://services.cloud.netapp.com

您的 Web 浏览器连接到这些端点、以便通过 NetApp Cloud Central 进行集中式用户身份验证。

https://widget.intercom.io

用于与 NetApp 云专家交流的产品内聊天。

Cloud Volumes ONTAP 的防火墙规则

Cloud Manager 可创建包含 Cloud Volumes ONTAP 成功运行所需入站和出站规则的 GCP 防火墙规则。您可能需要参考端口进行测试,或者如果您希望使用自己的防火墙规则。

Cloud Volumes ONTAP 的防火墙规则需要入站和出站规则。

如果要部署 HA 配置,这些是 VPC-0 中 Cloud Volumes ONTAP 的防火墙规则。

入站规则

预定义防火墙中的入站规则源为 0.0.0.0/0 。

要创建您自己的防火墙,请确保添加需要与 Cloud Volumes ONTAP 通信的所有网络,同时还要确保同时添加两个地址范围,以使内部 Google 负载平衡器正常运行。这些地址为 130.11.0.0/22 和 35.191.0.0/16 。有关详细信息,请参见 "Google Cloud 文档:负载平衡器防火墙规则"

协议 端口 目的

所有 ICMP

全部

Ping 实例

HTTP

80

使用集群管理 LIF 的 IP 地址对系统管理器 Web 控制台进行 HTTP 访问

HTTPS

443.

使用集群管理 LIF 的 IP 地址对 System Manager Web 控制台进行 HTTPS 访问

SSH

22.

SSH 访问集群管理 LIF 或节点管理 LIF 的 IP 地址

TCP

111.

远程过程调用 NFS

TCP

139.

用于 CIFS 的 NetBIOS 服务会话

TCP

161-162.

简单网络管理协议

TCP

445

Microsoft SMB/CIFS over TCP (通过 TCP )和 NetBIOS 成帧

TCP

635

NFS 挂载

TCP

749

Kerberos

TCP

2049.

NFS 服务器守护进程

TCP

3260

通过 iSCSI 数据 LIF 进行 iSCSI 访问

TCP

4045

NFS 锁定守护进程

TCP

4046

NFS 的网络状态监视器

TCP

10000

使用 NDMP 备份

TCP

11104.

管理 SnapMirror 的集群间通信会话

TCP

11105.

使用集群间 LIF 进行 SnapMirror 数据传输

TCP

63001-63050

负载平衡探测端口,用于确定哪个节点运行状况良好(仅 HA 对需要)

UDP

111.

远程过程调用 NFS

UDP

161-162.

简单网络管理协议

UDP

635

NFS 挂载

UDP

2049.

NFS 服务器守护进程

UDP

4045

NFS 锁定守护进程

UDP

4046

NFS 的网络状态监视器

UDP

4049.

NFS Rquotad 协议

出站规则

为 Cloud Volumes ONTAP 预定义的安全组将打开所有出站流量。如果可以接受,请遵循基本出站规则。如果您需要更严格的规则、请使用高级出站规则。

基本外向规则

为 Cloud Volumes ONTAP 预定义的安全组包括以下出站规则。

协议 端口 目的

所有 ICMP

全部

所有出站流量

所有 TCP

全部

所有出站流量

所有 UDP

全部

所有出站流量

高级出站规则

如果您需要严格的出站流量规则、则可以使用以下信息仅打开 Cloud Volumes ONTAP 出站通信所需的端口。

注 源是 Cloud Volumes ONTAP 系统上的接口( IP 地址)。
服务 协议 端口 目标 目的

Active Directory

TCP

88

节点管理 LIF

Active Directory 目录林

Kerberos V 身份验证

UDP

137.

节点管理 LIF

Active Directory 目录林

NetBIOS 名称服务

UDP

138.

节点管理 LIF

Active Directory 目录林

NetBIOS 数据报服务

TCP

139.

节点管理 LIF

Active Directory 目录林

NetBIOS 服务会话

TCP 和 UDP

389.

节点管理 LIF

Active Directory 目录林

LDAP

TCP

445

节点管理 LIF

Active Directory 目录林

Microsoft SMB/CIFS over TCP (通过 TCP )和 NetBIOS 成帧

TCP

464.

节点管理 LIF

Active Directory 目录林

Kerberos V 更改和设置密码( set_change )

UDP

464.

节点管理 LIF

Active Directory 目录林

Kerberos 密钥管理

TCP

749

节点管理 LIF

Active Directory 目录林

Kerberos V 更改和设置密码( RPCSEC_GSS )

TCP

88

数据 LIF ( NFS , CIFS , iSCSI )

Active Directory 目录林

Kerberos V 身份验证

UDP

137.

数据 LIF ( NFS 、 CIFS )

Active Directory 目录林

NetBIOS 名称服务

UDP

138.

数据 LIF ( NFS 、 CIFS )

Active Directory 目录林

NetBIOS 数据报服务

TCP

139.

数据 LIF ( NFS 、 CIFS )

Active Directory 目录林

NetBIOS 服务会话

TCP 和 UDP

389.

数据 LIF ( NFS 、 CIFS )

Active Directory 目录林

LDAP

TCP

445

数据 LIF ( NFS 、 CIFS )

Active Directory 目录林

Microsoft SMB/CIFS over TCP (通过 TCP )和 NetBIOS 成帧

TCP

464.

数据 LIF ( NFS 、 CIFS )

Active Directory 目录林

Kerberos V 更改和设置密码( set_change )

UDP

464.

数据 LIF ( NFS 、 CIFS )

Active Directory 目录林

Kerberos 密钥管理

TCP

749

数据 LIF ( NFS 、 CIFS )

Active Directory 目录林

Kerberos V 更改和设置密码( RPCSEC_GSS )

集群

所有流量

所有流量

一个节点上的所有 LIF

其它节点上的所有 LIF

集群间通信(仅限 Cloud Volumes ONTAP HA )

TCP

3000

节点管理 LIF

HA 调解器

ZAPI 调用(仅适用于 Cloud Volumes ONTAP HA )

ICMP

1.

节点管理 LIF

HA 调解器

保持活动状态(仅限 Cloud Volumes ONTAP HA )

DHCP

UDP

68

节点管理 LIF

DHCP

首次设置 DHCP 客户端

DHCP

UDP

67

节点管理 LIF

DHCP

DHCP 服务器

DNS

UDP

53.

节点管理 LIF 和数据 LIF ( NFS 、 CIFS )

DNS

DNS

NDMP

TCP

18600 – 18699

节点管理 LIF

目标服务器

NDMP 副本

SMTP

TCP

25.

节点管理 LIF

邮件服务器

SMTP 警报、可用于 AutoSupport

SNMP

TCP

161.

节点管理 LIF

监控服务器

通过 SNMP 陷阱进行监控

UDP

161.

节点管理 LIF

监控服务器

通过 SNMP 陷阱进行监控

TCP

162.

节点管理 LIF

监控服务器

通过 SNMP 陷阱进行监控

UDP

162.

节点管理 LIF

监控服务器

通过 SNMP 陷阱进行监控

SnapMirror

TCP

11104.

集群间 LIF

ONTAP 集群间 LIF

管理 SnapMirror 的集群间通信会话

TCP

11105.

集群间 LIF

ONTAP 集群间 LIF

SnapMirror 数据传输

系统日志

UDP

514.

节点管理 LIF

系统日志服务器

系统日志转发消息

VPC-1 , VPC-2 和 VPC-3 的防火墙规则

在 GCP 中, HA 配置部署在四个 VPC 上。VPC-0 中的 HA 配置所需的防火墙规则为 上面列出的 Cloud Volumes ONTAP

同时, Cloud Manager 为 VPC-1 , VPC-2 和 VPC-3 中的实例创建的预定义防火墙策略可通过 all 协议和端口进行传入通信。这些规则允许 HA 节点之间进行通信。

从 HA 节点到 HA 调解器的通信通过端口 3260 ( iSCSI )进行。

Connector 的防火墙规则

Connector 的防火墙规则需要入站和出站规则。

入站规则

协议 端口 目的

SSH

22.

提供对 Connector 主机的 SSH 访问

HTTP

80

提供从客户端 Web 浏览器到本地用户界面的 HTTP 访问

HTTPS

443.

提供从客户端 Web 浏览器到本地用户界面的 HTTPS 访问

出站规则

连接器的预定义防火墙规则会打开所有出站流量。如果可以接受,请遵循基本出站规则。如果您需要更严格的规则、请使用高级出站规则。

基本外向规则

Connector 的预定义防火墙规则包括以下出站规则。

协议 端口 目的

所有 TCP

全部

所有出站流量

所有 UDP

全部

所有出站流量

高级出站规则

如果您需要对出站流量设置严格的规则,则可以使用以下信息仅打开 Connector 进行出站通信所需的端口。

注 源 IP 地址是 Connector 主机。
服务 协议 端口 目标 目的

Active Directory

TCP

88

Active Directory 目录林

Kerberos V 身份验证

TCP

139.

Active Directory 目录林

NetBIOS 服务会话

TCP

389.

Active Directory 目录林

LDAP

TCP

445

Active Directory 目录林

Microsoft SMB/CIFS over TCP (通过 TCP )和 NetBIOS 成帧

TCP

464.

Active Directory 目录林

Kerberos V 更改和设置密码( set_change )

TCP

749

Active Directory 目录林

Active Directory Kerberos V 更改和设置密码( RPCSEC_GSS )

UDP

137.

Active Directory 目录林

NetBIOS 名称服务

UDP

138.

Active Directory 目录林

NetBIOS 数据报服务

UDP

464.

Active Directory 目录林

Kerberos 密钥管理

API 调用和 AutoSupport

HTTPS

443.

出站 Internet 和 ONTAP 集群管理 LIF

API 调用 GCP 和 ONTAP 、并将 AutoSupport 消息发送到 NetApp

DNS

UDP

53.

DNS

用于云管理器进行 DNS 解析