Considerações de design para Nuvens Privadas da Geração 2 da Solução VMware do Azure

Este artigo descreve as principais considerações de design para nuvens privadas do Azure VMware Solution Generation 2 (Gen 2). Ele explica os recursos que essa geração traz para ambientes de nuvem privada baseados em VMware, permitindo o acesso para seus aplicativos a partir da infraestrutura local e dos recursos baseados no Azure. Há várias considerações a serem analisadas antes de configurar sua nuvem privada do Azure VMware Solution Gen 2. Este artigo fornece soluções para casos de uso que você pode encontrar ao usar o tipo de nuvem privada.

Limitações

A funcionalidade a seguir é limitada durante esse período. Estas limitações serão levantadas no futuro:

1. Não é possível excluir seu Grupo de Recursos, que contém sua nuvem privada. Você deve excluir a nuvem privada primeiro antes de excluir o grupo de recursos.

2. Você só pode implantar 1 nuvem privada por rede virtual do Azure.

3. Você só pode criar 1 nuvem privada por Grupo de Recursos. Não há suporte para várias nuvens privadas em um único Grupo de Recursos.

4. Sua nuvem privada e rede virtual para sua nuvem privada devem estar no mesmo Grupo de Recursos.

5. Não é possível mover sua nuvem privada de um Grupo de Recursos para outro depois que a nuvem privada é criada.

6. Não é possível mover sua nuvem privada de um locatário para outro depois que a nuvem privada é criada.

7. Não há suporte para a conectividade direta de pontos de extremidade de serviço de cargas de trabalho da solução VMware do Azure.

8. Endpoints privados, quando emparelhados globalmente entre regiões ligadas ao Azure VMware Solution não são suportados.

9. O vCloud Diretor usando Private Endpoints é suportado. No entanto, o vCloud Director utilizando endereços públicos não é suportado.

10. Não há suporte para vSAN Stretched Clusters.

11. O IP público até o VMware NSX Microsoft Edge para configurar a Internet não será suportado. Você pode encontrar quais opções de internet são suportadas em Opções de conectividade com a Internet.

12. Durante a manutenção não planejada – como uma falha de hardware do host – em qualquer um dos quatro primeiros hosts do SDDC, você pode enfrentar uma interrupção temporária da conectividade de rede North-South para algumas cargas de trabalho, com duração de até 30 segundos. Conectividade Norte-Sul refere-se ao tráfego entre as suas cargas de trabalho VMware AVS e pontos de extremidade externos para além do NSX-T Tier-0 (T0) Edge, como serviços da Azure ou ambientes locais.

13. Os Grupos de Segurança de Rede associados à rede virtual de host de nuvem privada devem ser criados no mesmo grupo de recursos que a nuvem privada e sua rede virtual.

14. Referências entre grupos de recursos e entre subscrições de redes virtuais de clientes para a rede virtual da Solução VMware do Azure não são suportadas por padrão. Isso inclui tipos de recursos como: UDRs (rotas definidas pelo usuário), planos de proteção contra DDoS e outros recursos de rede vinculados. Se uma rede virtual do cliente estiver associada a uma dessas referências que reside em um grupo de recursos ou assinatura diferente da rede virtual da Solução VMware do Azure, a programação de rede (como a propagação do segmento NSX) poderá falhar. Para evitar problemas, os clientes devem garantir que a rede virtual da Solução VMware do Azure não esteja vinculada a recursos em um grupo de recursos ou assinatura diferente e desanexar esses recursos (por exemplo, Planos de Proteção contra DDoS) da rede virtual antes de prosseguir.

    • Para manter a referência do seu grupo de recursos cruzados, crie uma atribuição de função a partir do seu grupo de recursos cruzados ou da subscrição e atribua à "AzS VIS Prod App" a função "AVS on Fleet VIS Role". A atribuição de função permite que utilize a referência e que esta seja corretamente aplicada à sua nuvem privada da Solução VMware da Azure.

15. As implantações de nuvem privada da geração 2 podem falhar se as políticas do Azure, que impõem regras rígidas para Grupos de Segurança de Rede ou tabelas de rotas (por exemplo, convenções de nomenclatura específicas), estiverem ativadas. Essas restrições de política podem bloquear a criação necessária do Azure VMware Solution Network Security Group e da tabela de rotas durante a implantação. Você deve remover essas políticas da rede virtual da Solução VMware do Azure antes de implantar sua nuvem privada. Depois que sua nuvem privada for implantada, essas políticas poderão ser adicionadas novamente à sua nuvem privada da Solução VMware do Azure.

16. Se você estiver usando o DNS privado para sua nuvem privada do Azure VMware Solution Gen 2, o uso do DNS personalizado na rede virtual onde uma nuvem privada do Azure VMware Solution Gen 2 está implantada não é suportado. O DNS personalizado interrompe as operações do ciclo de vida, como dimensionamento, atualizações e aplicação de patches.

17. Se você estiver excluindo sua nuvem privada e alguns recursos criados pela Solução VMware do Azure não forem removidos, você poderá tentar excluir novamente a nuvem privada da Solução VMware do Azure usando a CLI do Azure.

18. O Azure VMware Solution Gen 2 usa um Proxy HTTP para distinguir entre o tráfego de rede de gerenciamento e do cliente. Alguns endpoints do serviço de nuvem VMware podem não seguir o mesmo caminho de rede ou regras de proxy que o tráfego geral gerenciado pelo vCenter. Os exemplos incluem: "scapi.vmware" e "apigw.vmware". O proxy VAMI controla o acesso geral de saída à Internet do vCenter Server Appliance (VCSA), mas nem todas as interações de ponto de extremidade de serviço fluem por meio desse proxy. Algumas interações originam-se diretamente do navegador do usuário ou de componentes de integração, que em vez disso seguem as configurações de proxy da estação de trabalho ou iniciam conexões de forma independente. Como resultado, o tráfego para os endpoints do serviço de nuvem VMware pode ignorar totalmente o proxy VCSA.

19. As migrações de RAV e Bulk do HCX na Gen 2 podem apresentar um desempenho significativamente mais lento devido a atrasos durante as fases de Sincronização de Base e Sincronização Online. Os clientes devem planear janelas de migração mais longas e agendar fases em conformidade, por enquanto. Para cargas de trabalho adequadas, o vMotion oferece uma opção mais rápida e de baixo overhead quando as condições do host e da rede o permitem.

Integrações sem suporte

As seguintes integrações de 1ª e 3ª parte não estão disponíveis:

• Zerto DR

Sub-redes delegadas e grupos de segurança de rede para a geração 2

Quando uma nuvem privada Azure VMware Solution (AVS) Gen 2 é implantada, o Azure cria automaticamente várias sub-redes delegadas dentro da rede virtual host da nuvem privada. Essas sub-redes são usadas para isolar e proteger os componentes de gerenciamento da nuvem privada.

Os clientes podem gerenciar o acesso a essas sub-redes usando NSGs (Grupos de Segurança de Rede) visíveis no portal do Azure ou por meio da CLI do Azure/PowerShell. Além dos NSGs gerenciáveis pelo cliente, o AVS aplica NSGs adicionais gerenciados pelo sistema a interfaces de gerenciamento críticas. Esses NSGs gerenciados pelo sistema não são visíveis ou editáveis pelos clientes e existem para garantir que a nuvem privada permaneça segura por padrão.

Como parte da postura de segurança padrão:

• O acesso à Internet está desativado para a nuvem privada, a menos que o cliente a habilite explicitamente.
• Apenas o tráfego de gerenciamento necessário é permitido para acessar os serviços da plataforma.

Esse design garante que o ambiente AVS seja isolado e seguro imediatamente, ao mesmo tempo em que permite que os clientes controlem e personalizem o acesso à rede com base em suas necessidades específicas.

Considerações sobre roteamento e sub-rede

As nuvens privadas do Azure VMware Solution Gen 2 fornecem um ambiente de nuvem privada VMware acessível a usuários e aplicativos de ambientes ou recursos locais e baseados no Azure. A conectividade é fornecida através da Rede do Azure padrão. Intervalos de endereços de rede específicos e portas de firewall são necessários para habilitar esses serviços. Esta seção ajuda você a configurar sua rede para trabalhar com a Solução VMware do Azure.

A nuvem privada se conecta à sua rede virtual do Azure usando a rede padrão do Azure. As nuvens privadas do Azure VMware Solution Gen 2 exigem um bloco de endereço de rede CIDR /22 mínimo para sub-redes. Essa rede complementa suas redes locais, portanto, o bloco de endereço não deve se sobrepor aos blocos de endereços usados em outras redes virtuais em sua assinatura e redes locais. As redes de gerenciamento, vMotion e replicação são provisionadas automaticamente dentro desse bloco de endereços como sub-redes dentro de sua rede virtual.

Evite usar o seguinte esquema IP reservado para uso do VMware NSX:

• 169.254.0.0/24 - utilizados para a rede de trânsito interno
• 169.254.2.0/23 - utilizado para a rede de trânsito inter-VRF
• 100.64.0.0/16 - usado para conectar gateways T1 e T0 internamente
• 100.73.x.x – usado pela rede de gerenciamento da Microsoft

Exemplo /22 O bloco de endereços de rede CIDR 10.31.0.0/22 é dividido nas seguintes sub-redes:

Próximos passos

• Comece por configurar o principal de serviço da solução Azure VMware como um pré-requisito. Para saber como, consulte o guia rápido Ativação do principal de serviço do Azure VMware Solution.

• Siga um tutorial para criar uma nuvem privada do Azure VMware Gen 2