How to connect an ACK cluster and an on-premises Kubernetes cluster using SAG vCPE -

Smart Access Gateway (SAG) ofrece equipos virtuales en las instalaciones del cliente (vCPE), que consisten en una imagen de software que se puede desplegar en un host dentro de su red. Esto convierte al host en un dispositivo de equipo en las instalaciones del cliente (CPE) que conecta su red con la nube. Este tema describe cómo utilizar un SAG vCPE para conectar un clúster de Kubernetes local con Alibaba Cloud Container Service for Kubernetes (ACK) y establecer una conexión entre sus redes locales y en la nube.

Requisitos previos

Debe contar con los permisos obligatorios para gestionar y configurar la red de su centro de datos. Póngase en contacto con el administrador de su centro de datos si necesita asistencia.
Debe haber creado una Virtual Private Cloud (VPC) y haber desplegado los servicios en la nube obligatorios en Alibaba Cloud. Para obtener más información, consulte Create a VPC with an IPv4 CIDR block.
Debe estar familiarizado con las reglas de security group de sus servicios en la nube dentro de la VPC. Asegúrese de que las reglas permitan el tráfico desde su red local para acceder a los recursos en la VPC. Para obtener más información, consulte View security group rules y Add a security group rule.
Debe comprender cómo crear y planificar redes para un clúster de ACK. Asegúrese de que los bloques CIDR del clúster de ACK no se superpongan con su red local. Para obtener más información, consulte Create an ACK managed cluster y Plan CIDR blocks for an ACK cluster.

Escenario

Una empresa tiene un clúster de Kubernetes desplegado en su centro de datos privado y un clúster de ACK desplegado en una región de Alibaba Cloud. La empresa desea utilizar un SAG vCPE para conectar su clúster de Kubernetes local con su clúster de ACK en la nube, lo que permite el acceso a recursos entre ambos.

Puede desplegar la imagen de SAG vCPE en una instancia (un servidor físico o una máquina virtual) dentro de su centro de datos. Esta instancia actúa como un dispositivo SAG vCPE que se conecta a Alibaba Cloud. Una vez conectado, puede utilizar Cloud Connect Network y Cloud Enterprise Network para habilitar la comunicación entre los recursos de su centro de datos y su VPC de Alibaba Cloud. La siguiente figura muestra la arquitectura para este escenario.

Los detalles de red para los entornos en la nube y locales son los siguientes:

Tipo	Bloque CIDR privado	Bloque CIDR de pods
Clúster de ACK en Alibaba Cloud	172.16.0.0/12	10.77.0.0/16
Clúster de Kubernetes en el centro de datos	192.168.0.0/16	10.18.0.0/16

Procedimiento

部署流程.png

Crear una instancia de SAG vCPE: En la consola de Smart Access Gateway, cree una instancia de SAG vCPE, la cual utilizará para gestionar el dispositivo SAG vCPE.
Desplegar la imagen de SAG vCPE: Elija un host en su centro de datos y despliegue la imagen de SAG vCPE en él. Este host actuará como el dispositivo SAG vCPE para conectar la red de su centro de datos a Alibaba Cloud.
Configurar la red de Alibaba Cloud: En la consola de Smart Access Gateway, configure los ajustes de red del dispositivo SAG vCPE para garantizar que pueda conectarse a Alibaba Cloud.
Configurar la red del centro de datos: Configure la red en su centro de datos para habilitar la comunicación entre el centro de datos y los recursos de ACK en Alibaba Cloud.
Comprobar la conectividad: Compruebe la conectividad de red entre los hosts en la nube y en el centro de datos, así como entre los pods en la nube y en el centro de datos.

Paso 1: Crear una instancia de SAG vCPE

Cree una instancia de SAG vCPE en la consola de Smart Access Gateway. Esta instancia se utiliza para gestionar su dispositivo SAG vCPE.

Inicie sesión en la consola de Smart Access Gateway.
En la página Smart Access Gateway, seleccione Purchase SAG > Create SAG (vCPE).

En la página de compra, configure los siguientes parámetros y haga clic en Buy Now para completar el pago.

Parámetro	Descripción	Ejemplo
Area	El área donde se despliega la instancia de SAG vCPE.	Chinese mainland
Instance name	El nombre de la instancia de SAG vCPE. Este parámetro es opcional. El nombre debe tener entre 2 y 128 caracteres de longitud, comenzar con una letra o un carácter chino, y puede contener dígitos, puntos (.), guiones bajos (_) o guiones (-).	Demo
Instance Type	El tipo de instancia del SAG vCPE.	SAG-vCPE
Edition	La edición del SAG vCPE.	Basic
Deployment method	El método de despliegue para el SAG vCPE. El valor predeterminado es Active-Active. En el modo Active-Active, una instancia de SAG vCPE puede conectarse a dos dispositivos SAG vCPE de forma predeterminada. Puede configurar dos dispositivos en una configuración activo-standby para conectar su red local a Alibaba Cloud, lo que mejora la disponibilidad de la red. Este tutorial utiliza únicamente el dispositivo principal.	Active-Active
Peak bandwidth	El ancho de banda máximo para la comunicación de red, en Mbit/s.	50 Mbps
Quantity	El número de instancias de SAG vCPE que se van a crear.	1
Subscription duration	La duración de la suscripción. Puede seleccionar la casilla para habilitar la renovación automática.	1 Month
Resource Group	El resource group que contendrá la instancia de SAG vCPE.	N/A

Regrese a la consola de Smart Access Gateway. En la barra de navegación superior, seleccione la región donde creó la instancia.
En el panel de navegación izquierdo, haga clic en Smart Access Gateway.
En la página Smart Access Gateway, haga clic en el ID de la instancia que creó.
En la página de detalles de la instancia, haga clic en la pestaña Device Management. Consulte y registre el número de serie y la clave del dispositivo SAG vCPE principal. Necesitará esta información para asociar la instancia de SAG vCPE con el dispositivo.

Seleccione la pestaña del dispositivo principal. En el panel izquierdo, haga clic en el menú Device Information para ver el número de serie. Junto al campo Key, haga clic en el enlace Show para ver la clave.

Paso 2: Desplegar la imagen de SAG vCPE

Para habilitar la comunicación de red entre su centro de datos y el clúster de ACK, debe seleccionar un host en su centro de datos para desplegar la imagen de SAG vCPE. Después del despliegue, este host funciona como un dispositivo SAG vCPE que conecta la red de su centro de datos a Alibaba Cloud.

Seleccione un host en su centro de datos.
Para garantizar que la imagen de SAG vCPE se ejecute correctamente, el host seleccionado debe cumplir con los siguientes requisitos:
- Admite uno de los siguientes sistemas operativos:
  - (Recomendado) CentOS 7.6 (64 bits) o posterior.
  - Ubuntu 18.04 (64 bits) o posterior.
- Admite la versión de kernel 3.10.0-957.21.3.el7.x86_64 o posterior.
- Cuenta con una tarjeta de interfaz de red (NIC) dedicada que pueda conectarse a Internet.
- Admite inicio de sesión remoto.
- No está ejecutando ningún sistema crítico para el negocio.
Inicie sesión en el host y ejecute el siguiente comando para descargar el script al directorio /root del host.
Nota
- Puede descargar el script en un directorio personalizado. Si lo hace, asegúrese de actualizar la ruta cuando ejecute el script.
- No modifique el contenido ni el nombre del script después de descargarlo.
Elija el comando adecuado según si su host está desplegado dentro o fuera de China continental.
- El host está desplegado en China continental
```
wget -O /root/sag_vcpe_v2.3.0_deployment.sh https://sdwan-oss-shanghai.oss-cn-shanghai.aliyuncs.com/vcpe_vm/sag_vcpe_v2.3.0_deployment.sh
```
- El host está desplegado fuera de China continental
```
wget -O /root/sag_vcpe_v2.3.0_deployment.sh https://sdwan-oss-shanghai.oss-accelerate.aliyuncs.com/vcpe_vm/sag_vcpe_v2.3.0_deployment.sh
```
Ejecute el siguiente comando para otorgar permisos de ejecución al script.
```
chmod +x /root/sag_vcpe_v2.3.0_deployment.sh
```

Ejecute el script.

/root/sag_vcpe_v2.3.0_deployment.sh -n sag**** -k X8==**** -t idc  -w eth0

La siguiente tabla describe los parámetros clave. Para obtener una lista completa de los parámetros del script, consulte Script parameter descriptions.

Parámetro	Descripción
-n	El número de serie del dispositivo SAG vCPE.
-k	La clave del dispositivo SAG vCPE.
-t	La plataforma donde se encuentra el host para la imagen de SAG vCPE. Valores válidos: `aliyun` (predeterminado): La imagen de SAG vCPE se despliega en una instancia de Elastic Compute Service (ECS) de Alibaba Cloud. `aws`: La imagen de SAG vCPE se despliega en una instancia EC2 de AWS. `ens`: La imagen de SAG vCPE se despliega en una instancia de Alibaba Cloud Edge Node Service (ENS). Si su imagen de SAG vCPE se despliega en un servidor local, establezca este parámetro en cualquier cadena de caracteres en inglés distinta de `aliyun`, `aws` o `ens`.
-w	El nombre de la NIC del puerto WAN. Puede ejecutar el comando `ifconfig` para ver los nombres de las NIC del host.

Cuando ejecuta el script, el sistema comprueba automáticamente si el entorno de despliegue cumple con los requisitos:

Si algunos componentes obligatorios no están instalados, el sistema muestra el siguiente mensaje. Introduzca yes para que el sistema instale automáticamente estos componentes. Luego, el script comienza a desplegar la imagen de SAG vCPE.
```
Missing dependency packages python3 telnet vim traceroute sshpass mtr docker inotify wget netifaces==0.10.9, are you sure want to install these packages? [yes|no]
[no] >>>
```

Si el entorno de despliegue cumple con los requisitos, el sistema comienza a desplegar la imagen de SAG vCPE directamente. Cuando finaliza el despliegue, el script muestra el siguiente mensaje:

2021-10-27 01:48:08 INFO: Install complete, please wait for few minutes to check state
==============================================================================================
[root@xxx ~]#

Una vez completado el despliegue, ejecute el comando docker ps para comprobar si los siguientes dos contenedores están presentes en el sistema.
```
[root@xxx ~]# docker ps
CONTAINER ID   IMAGE        COMMAND                  CREATED       STATUS       PORTS     NAMES
b5xxx          vsag-core    "sh -c 'mkdir -p /li…"   7 days ago    Up 7 days              vsag-core
2fxxx          centos:7     "/sbin/init"             7 days ago    Up 7 days              vsag-manager-base
```
- Si el sistema contiene los contenedores vsag-core y vsag-manager-base, el despliegue fue exitoso.
- Si el sistema no contiene estos dos contenedores, el despliegue ha fallado. En este caso, submit a ticket para obtener asistencia.

Paso 3: Configurar la red de Alibaba Cloud

Después de desplegar la imagen de SAG vCPE, debe configurar la red para el dispositivo SAG vCPE en la consola de Smart Access Gateway para conectarlo a Alibaba Cloud.

Configure la sincronización de rutas locales.
1. Inicie sesión en la consola de Smart Access Gateway y seleccione la región objetivo en la barra de navegación superior.
2. En la página Smart Access Gateway, busque la instancia objetivo y haga clic en Network Settings en la columna Actions.
3. En la pestaña Network Settings, en la sección Method to Synchronize with On-premises Routes, haga clic en Add Static Route.
4. En el cuadro de diálogo Add Static Route, introduzca el bloque CIDR privado de su centro de datos y luego haga clic en OK.
5. Haga clic nuevamente en Add Static Route. En el cuadro de diálogo Add Static Route, introduzca el bloque CIDR de pods del clúster de Kubernetes en su centro de datos y luego haga clic en OK.
  
  Después de agregar las rutas, en la pestaña Network Configuration, bajo la sección Method to Synchronize with On-premises Routes, seleccione Static Route. Puede consultar las entradas de ruta agregadas, como 192.168.0.0/16 y 10.18.0.0/16.
Asocie una instancia de Cloud Connect Network.

Cloud Connect Network es un componente clave de SAG. SAG utiliza Cloud Connect Network para conectar su red a Alibaba Cloud.
1. Cree una instancia de Cloud Connect Network. Para obtener más información, consulte Create a CCN instance.
  
  Nota
  La instancia de Cloud Connect Network debe estar en la misma región que la instancia de SAG vCPE.
2. En el panel de navegación izquierdo de la consola de Smart Access Gateway, haga clic en Smart Access Gateway.
3. En la página Smart Access Gateway, busque la instancia objetivo y haga clic en Network Settings en la columna Actions.
4. En la pestaña Network Settings, seleccione Network Instance Details.
5. En la sección Associated Instances Under Current Account, haga clic en Attach Network, seleccione la instancia de Cloud Connect Network que creó y luego haga clic en OK.
6. Haga clic en la pestaña Device Management para consultar el VPN Status y el Controller Status del dispositivo SAG vCPE.
  
  Después de asociar la instancia de Cloud Connect Network, si tanto el VPN Status como el Controller Status del dispositivo SAG vCPE muestran Normal, esto indica que el dispositivo SAG vCPE está conectado a Alibaba Cloud.
Configure Cloud Enterprise Network.

Conecte la instancia de SAG vCPE y la VPC a una Cloud Enterprise Network (CEN). Esto permite que las instances aprendan rutas entre sí, lo que habilita la comunicación entre el dispositivo SAG vCPE y los recursos en la VPC.
1. En el panel de navegación izquierdo de la consola de Smart Access Gateway, haga clic en CCN Instance.
2. En la página CCN Instance, busque la instancia de Cloud Connect Network objetivo y haga clic en Bind CEN Instance en la columna Actions.
3. En el panel Bind CEN Instance, seleccione la instancia de Cloud Enterprise Network que desea vincular y luego haga clic en OK.
  Puede elegir una instancia de Cloud Enterprise Network de dos maneras. En este tema, se selecciona Create CEN.
  - Existing CEN: Si ya ha creado una CEN, puede seleccionarla de la lista desplegable para vincularla.
  - Create CEN: Si no tiene una CEN, introduzca un nombre en el cuadro de texto. El sistema crea una nueva instancia de CEN y la vincula automáticamente.
    
    Nota
    El nombre de la instancia de CEN debe tener entre 2 y 100 caracteres de longitud, comenzar con una letra o un carácter chino, y puede contener dígitos, guiones bajos (_) o guiones (-).
4. Asocie la instancia de VPC que creó a esta Cloud Enterprise Network. Para obtener más información, consulte Attach a network instance.

Paso 4: Configurar la red del centro de datos

Para habilitar la comunicación entre su centro de datos y los recursos de Alibaba Cloud, también debe configurar la red de su centro de datos. Póngase en contacto con el administrador de red de su centro de datos para obtener los comandos específicos necesarios para su entorno.

Configure una ruta estática en el centro de datos.
Configure una ruta en la red de su centro de datos que dirija el tráfico destinado al bloque CIDR del clúster de ACK de Alibaba Cloud (y al bloque CIDR de pods, si es necesario) hacia la dirección IP del host donde está instalado el SAG vCPE. Este host gestiona la comunicación con los servicios de Alibaba Cloud.
```
ip route add 10.77.0.0/16 via 192.168.11.210
```
Nota
Este ejemplo de ruta estática es solo para referencia. El comando puede variar según el fabricante y el modelo del dispositivo.
Configure el firewall en el centro de datos.

Permita el tráfico entre los bloques CIDR privados del clúster de ACK de Alibaba Cloud y el centro de datos.

Paso 5: Comprobar la conectividad

Compruebe la conectividad del host.
1. Inicie sesión en una instancia de ECS dentro de su VPC. Para obtener más información, consulte Connection methods overview.
2. Ejecute el comando ping para acceder a un host en su centro de datos local y verificar la conexión de red entre sus hosts en la nube y locales.
  Esta salida confirma que los recursos en la VPC de Alibaba Cloud pueden comunicarse con los recursos en el centro de datos local.
  [root@<hostname> ~]# ping 192.168.11.236 PING 192.168.11.236 (192.168.11.236) 56(84) bytes of data. 64 bytes from 192.168.11.236: icmp_seq=1 ttl=61 time=9.52 ms 64 bytes from 192.168.11.236: icmp_seq=2 ttl=61 time=9.30 ms 64 bytes from 192.168.11.236: icmp_seq=3 ttl=61 time=9.24 ms

Compruebe la conectividad de red de los pods.

Despliegue contenedores de prueba en un clúster de ACK en Alibaba Cloud y en un clúster de Kubernetes en un IDC local. A continuación se muestra un ejemplo de YAML.

apiVersion: apps/v1 # for versions before 1.8.0 use apps/v1beta1
kind: Deployment
metadata:
  name: nginx-deployment-basic
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
    #  nodeSelector:
    #    env: test-team
      containers:
      - name: nginx
        image: nginx:1.7.9 # Replace with your actual <image_name:tags>.
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: "500m"

Acceda al contenedor en el clúster de ACK y ejecute el comando ping para acceder a la dirección IP de un pod en el clúster de Kubernetes local. Esto verifica la conectividad de red de pods entre el clúster de ACK y el clúster de Kubernetes local.

Esta salida confirma que los pods en el clúster de ACK de Alibaba Cloud pueden comunicarse con los pods en el clúster de Kubernetes local.

root@nginx-deployment-basic-8xxx-pjns8:/# ping 10.18.1.131
PING 10.18.1.131 (10.18.1.131): 48 data bytes
56 bytes from 10.18.1.131: icmp_seq=0 ttl=59 time=10.106 ms
56 bytes from 10.18.1.131: icmp_seq=1 ttl=59 time=9.930 ms
56 bytes from 10.18.1.131: icmp_seq=2 ttl=59 time=9.926 ms
56 bytes from 10.18.1.131: icmp_seq=3 ttl=59 time=9.909 ms
56 bytes from 10.18.1.131: icmp_seq=4 ttl=59 time=9.888 ms
56 bytes from 10.18.1.131: icmp_seq=5 ttl=59 time=9.859 ms

Resumen

Al utilizar un SAG vCPE con Cloud Connect Network y Cloud Enterprise Network, puede configurar rápidamente una red que conecte sus entornos locales y en la nube para lograr una comunicación fluida. Para minimizar posibles problemas, planifique su arquitectura de red con anticipación y evite conflictos de red que podrían afectar su entorno de producción.