网络服务

网络服务

云平台为云主机提供以下网络服务：安全组、虚拟IP、弹性IP、端口转发、负载均衡、防火墙、IPsec隧道、OSPF区域、Netflow、端口镜像、路由表。

支持以下两种网络架构模型：

扁平网络
VPC网络

网络服务模块

网络服务模块：用于提供网络服务的模块。在UI界面已隐藏。

主要有以下四种：

VirtualRouter（虚拟路由器网络服务模块，不建议使用）
提供以下网络服务：DNS、SNAT、负载均衡、端口转发、弹性IP、DHCP
Flat Network Service Provider（扁平网络服务模块）
提供以下网络服务：
- Userdata：使用cloud-init进行云主机开机加载并执行特定的用户数据，例如ssh-key注入。
- 弹性IP：分布式EIP实现的弹性IP地址，可通过公有网络访问内部私有网络。
- DHCP：分布式DHCP实现动态获取IP地址。
  说明: DHCP服务包含了DNS的功能。
- VipQos：虚拟IP限速，限制上行及下行带宽。仅作用于弹性IP。
VPC Router（VPC网络服务模块）
提供以下网络服务：
- IPsec：使用IPsec隧道协议实现虚拟私有网络（VPN）的连接。
- VRouterRoute：通过路由表，用户可管理自定义路由。
- CentralizedDNS：在启用分布式DHCP服务的场景下，提供DNS服务。
- VipQos：虚拟IP限速，限制上行及下行带宽。
- DNS：使用VPC路由器提供DNS服务。
- SNAT：云主机使用SNAT可以直接访问外部互联网。
- 负载均衡：将虚拟IP地址的访问流量分发到一组后端的云主机上，自动检测并隔离不可用的云主机。
- 端口转发：提供将指定公有网络的IP地址端口流量转发到云主机对应协议的端口。
- 弹性IP：使用VPC路由器可通过公有网络访问云主机的私有网络。
- DHCP：集中式DHCP服务
SecurityGroup（安全组网络服务模块）
提供以下网络服务：
- 安全组：使用iptables进行云主机防火墙的安全控制。

扁平网络实践

生产环境中，一般建议使用以下网络服务的组合：

扁平网络服务模块：
- Userdata：使用cloud-init进行云主机开机加载并执行特定的用户数据，例如ssh-key注入。
- 弹性IP：分布式EIP实现的弹性IP地址，可通过公有网络访问内部私有网络。
- DHCP：分布式DHCP实现的动态获取IP地址。
  说明: DHCP服务包含了DNS的功能。
安全组网络服务模块：
- 安全组：使用iptables进行云主机防火墙的安全控制。

VPC网络实践

生产环境中，一般建议使用以下网络服务的组合：

扁平网络服务模块：
- Userdata：使用cloud-init进行云主机开机加载并执行特定的用户数据，例如ssh-key注入。
- DHCP：分布式DHCP实现的动态获取IP地址。
VPC网络服务模块：
- DNS：使用VPC路由器提供DNS服务。
- SNAT：云主机使用SNAT可以直接访问外部互联网。
- 路由表：通过路由表，用户可管理自定义路由。
- 弹性IP：使用VPC路由器可通过公有网络访问云主机的私有网络。
- 端口转发：提供将指定公有网络的IP地址端口流量转发到云主机对应协议的端口。
- 负载均衡：将虚拟IP地址的访问流量分发到一组后端的云主机上，并自动检测并隔离不可用的云主机。
- IPsec隧道：使用IPsec隧道协议实现虚拟私有网络（VPN）的连接。
安全组网络服务模块：
- 安全组：使用iptables进行云主机防火墙的安全控制。

高级网络服务

动态路由：支持OSPF动态路由协议，用于单一自治系统内决策路由，适用于VPC网络场景。
组播路由：将组播源发送的组播消息转发给云主机，在发送端和接收端实现点对多点连接，适用于VPC网络场景。
VPC防火墙：通过对VPC路由器接口处南北向流量进行过滤，有效保护整个VPC通信安全及VPC路由器安全，适用于VPC网络场景。
端口镜像：将云主机网卡的网络流量复制一份到远端，对端口上的业务报文进行分析，方便对网络数据进行监控管理，适用于扁平/VPC网络场景。
Netflow：通过Netflow对VPC路由器网卡的进出流量进行分析监控，支持Netflow V5、V9两种数据流输出格式，适用于VPC网络场景。

安全组

安全组：为云主机提供三层网络安全控制，控制TCP/UDP/ICMP等数据包进行有效过滤，对指定网络的指定云主机按照指定的安全规则进行有效控制。

功能特点

安全组规则按数据包的流向分为两种类型：
- 入方向：代表数据包从外部进入云主机。
- 出方向：代表数据包从云主机往外部发出。
安全组规则对通信协议支持以下类型：
- ALL：表示涵盖所有协议类型，此时不能指定端口。
- TCP：支持1-65535端口。
- UDP：支持1-65535端口。
- ICMP：默认起始结束端口均为-1，表示支持全部的ICMP协议。
安全组规则支持对数据来源的限制，目前源可以设置为CIDR和安全组。
- CIDR作为源：仅允许指定的CIDR才可通过。
- 安全组作为源：仅允许指定的安全组内云主机通过。
说明: 若两者都设置，只取两者交集。

如图 1所示：

安全组支持以下操作：

操作	描述
创建安全组	创建一个新的安全组。
启用安全组	启用安全组，将启用所有的安全组规则和相关安全组服务。
停用安全组	停用安全组，停用后，安全组规则和相关安全组服务不再生效。
加载三层网络	安全组支持加载多个三层网络，它们会共享相同的安全组规则。
卸载三层网络	将安全组上的三层网络卸载。
删除安全组	删除安全组，将自动删除所有的安全组规则和相关安全组服务。

注意事项

安全组可以挂载到多个云主机，它们会共享相同的安全组规则。
安全组可以挂载到多个三层网络，它们会共享相同的安全组规则。
安全组支持白名单机制，即设置的所有规则均为允许机制，一旦对指定端口设置了允许机制，那么没有被允许的端口就无法通过。
新建安全组时，默认配置了两条规则（即：协议类型为ALL的进口规则和出口规则），用于设置组内互通。用户可以删除这两条默认规则，取消组内互通。
新建安全组时，如果没有设置任何规则，则默认所有的外部访问均禁止进入安全组内的云主机，安全组内云主机访问外部不受限制。
若使用安全组同时使用其他网络服务（如负载均衡、路由表等），需确保其他网络服务所需要的安全组规则已添加至该安全组中。
公有网络、扁平网络和VPC网络均支持安全组服务，安全组服务均由安全组网络服务模块提供，使用方法均相同：使用iptables进行云主机的安全控制。
安全组实际上是一个分布式防火墙，每次规则变化、加入/删除网卡都会导致多个云主机上的安全组规则被更新。

虚拟IP

虚拟IP（VIP）：在桥接网络环境中，使用虚拟IP地址提供弹性IP、端口转发、负载均衡、IPsec隧道等网络服务，数据包会被发送到虚拟IP，再路由至云主机网络。

公有网络创建的虚拟IP支持为扁平网络提供弹性IP、负载均衡网络服务。
公有网络创建的虚拟IP支持为VPC网络提供弹性IP、端口转发、负载均衡、IPsec隧道网络服务。
VPC网络创建的虚拟IP支持为VPC网络提供负载均衡网络服务。
扁平网络创建的虚拟IP支持为扁平网络提供弹性IP、负载均衡网络服务。

支持虚拟IP提供性能共享型负载均衡服务。性能共享型负载均衡通过VPC路由器提供负载均衡服务，访问流量经由VPC路由器分发给后端服务器。当VPC路由器上承载多业务运行，负载均衡服务需与其它业务共享VPC路由器性能。

如虚拟IP提供性能共享型负载均衡服务所示：

虚拟IP相关定义

公网虚拟IP：使用公有网络创建的虚拟IP，支持自定义创建或跟随路由器自动创建
- 公网虚拟IP支持为扁平网络提供弹性IP、负载均衡网络服务。支持为VPC网络提供弹性IP、端口转发、负载均衡、IPsec隧道网络服务。
- 公网虚拟IP可同时用于端口转发、负载均衡、IPsec隧道服务，且支持一种服务的多个实例，但不同类型服务不能使用相同的端口号。
- 公网虚拟IP支持QoS、监控数据、性能TOP 5、性能分析、报警功能。
VPC网络虚拟IP：使用VPC网络创建的虚拟IP，仅支持自定义创建
- VPC网络虚拟IP支持为VPC网络提供负载均衡网络服务。
- VPC网络虚拟IP暂不支持QoS、监控数据、性能TOP 5、性能分析、报警功能。
扁平网络虚拟IP：使用扁平网络创建的虚拟IP，支持自定义创建或跟随路由器自动创建
- 扁平网络虚拟IP支持为扁平网络提供弹性IP、负载均衡网络服务。
- 扁平网络虚拟IP支持QoS、监控数据、性能TOP 5、性能分析、报警功能。
自定义虚拟IP：用户手动创建的虚拟IP，支持自定义创建公网虚拟IP、VPC网络虚拟IP、扁平网络虚拟IP
- 一个自定义公网虚拟IP仅用于一个弹性IP服务实例。
- 自定义虚拟IP不支持跨VPC路由器使用。
- 使用弹性IP、端口转发、负载均衡、IPsec隧道时，可选择创建虚拟IP重新创建自定义虚拟IP提供服务，也可选择已有虚拟IP中的已有自定义虚拟IP提供服务。
系统虚拟IP：VPC路由器成功创建后，系统使用路由器加载的三层网络自动创建的虚拟IP，支持跟随路由器自动创建公网虚拟IP或扁平网络虚拟IP
- 系统虚拟IP与VPC路由器一一对应，路由器每加载一条公有网络，系统将自动创建一个系统虚拟IP。且系统虚拟IP与VPC路由器的默认IP相同。
- 默认公有网络创建的系统虚拟IP，用于提供源地址转换服务。
- 使用弹性IP、端口转发、负载均衡、IPsec隧道时，可选择已有虚拟IP中的自定义/系统虚拟IP提供服务。

自定义虚拟IP支持以下操作：

操作	描述
创建虚拟IP	创建一个新的虚拟IP。
编辑虚拟IP	编辑虚拟IP的名称、简介信息。
删除虚拟IP	删除选中的虚拟IP。说明: 删除自定义虚拟IP将自动删除其上绑定的所有服务。删除自定义虚拟IP的某一服务，并不影响其上绑定的其它服务运行。

弹性IP

弹性IP（EIP）：基于网络地址转换（NAT）功能，将一个网络的IP地址转换成另一个网络的IP地址，从而可通过其他网络访问内部私有网络。

弹性IP相关定义

公网弹性IP：基于公有网络创建的公网虚拟IP提供弹性IP服务
- 内部私有网络是隔离的网络空间，不能直接被外部网络访问，通过公网弹性IP可对公有网络的访问直接关联到内部私网的云主机IP。
- 公网弹性IP可动态绑定到一个云主机，或从一个云主机解绑。
- 公网弹性IP支持绑定私有网络（扁平网络/VPC网络）创建的云主机：
  - 基于分布式EIP实现的公网弹性IP地址，可通过公有网络访问扁平网络。
  - 可通过VPC路由器使用公有网络访问VPC网络。
扁平网络弹性IP：基于扁平网络创建的扁平网络虚拟IP提供弹性IP服务
- 不同网段的扁平网络之间存在三层隔离，不能直接访问，通过扁平网络弹性IP可对一个扁平网络的访问直接关联到另一个扁平网络创建的云主机IP。
- 扁平网络弹性IP可动态绑定到一个云主机，或从一个云主机解绑。
- 扁平网络弹性IP支持绑定其他扁平网络创建的云主机。

弹性IP支持以下操作：

操作	描述
创建弹性IP	创建一个新的弹性IP。
编辑弹性IP	编辑弹性IP的名称、简介信息。
绑定网卡	将弹性IP绑定到网卡。设置方法：在弹性IP管理界面，选择一个弹性IP，选择绑定网卡，给网卡绑定弹性IP。选择需要绑定的网卡，点击确定按钮，完成绑定网卡操作。点击取消按钮，可取消绑定网卡，取消后也可在弹性IP操作中重新绑定。
解绑网卡	将弹性IP与网卡解绑。设置方法：在弹性IP管理界面，选择一个弹性IP，选择解绑网卡，给网卡解绑弹性IP。选择需要的网卡，点击确定按钮，完成卸载网卡操作。点击取消按钮，可取消解绑网卡，取消后也可在弹性IP操作中重新解绑。
更改所有者	更改弹性IP的所有者。
删除弹性IP	删除选中的弹性IP。说明: 删除弹性IP将自动删除其提供的弹性IP服务。如需同时删除相应的虚拟IP，请勾选同时删除虚拟IP。

应用场景

扁平网络下弹性IP：
以公网弹性IP为例，扁平网络下弹性IP的应用场景。
如图 1所示：
图 1. 扁平网络下弹性IP的应用场景
- 公有网络可通过防火墙连接到互联网。
- 扁平网络为各个计算节点内云主机提供IP地址，此IP地址默认情况下无法连接到互联网。
- 每个计算节点分别部署分布式EIP，可分别独立实现公有网络与扁平网络的绑定。
VPC下弹性IP：
VPC下弹性IP的应用场景。
如VPC下弹性IP的应用场景所示：
图 2. VPC下弹性IP的应用场景

注意事项

使用弹性IP时，需注意：

一个实例接口在同一时间只能绑定一个弹性IP。
绑定和解绑弹性IP实时生效。
绑定和解绑弹性IP不影响实例的运行。

升级提醒

若您选择升级至4.0.0及之后版本，请注意以下功能调整：

1. 云路由器全面升级为VPC路由器，云路由网络全面升级为VPC网络，不再单独设云路由器页面。升级全程无感知，相关业务不受任何影响。

2. 企业管理账号体系取代用户组与用户，不再单独设用户/用户组页面，不可再使用用户/用户组账号登录云平台。升级前，请先将“用户组与用户”纳管的账号数据妥善迁移至“企业管理”纳管，再执行升级操作。注意：对于admin创建并具备admin权限的用户账号同步取消，如有需要，可使用企业管理账号体系中的平台管理员实现相同功能。

3. 调整AD/LDAP与账户的对接管理方式，统一由企业管理纳管，不再单独设AD/LDAP页面。升级前，请先将“账户”对接纳管的AD/LDAP账号数据妥善迁移至“企业管理”纳管，再执行升级操作。

如对上述升级提醒有任何疑问或需要升级帮助，请联系ZStack官方技术支持

网络服务模块

扁平网络实践

VPC网络实践

高级网络服务

安全组

功能特点

注意事项

虚拟IP

虚拟IP相关定义

弹性IP

弹性IP相关定义

应用场景

注意事项

客户评论

撰写评论

产品

解决方案

支持

联系

咨询