How to connect an ACK cluster and an on-premises Kubernetes cluster using SAG vCPE -

Prérequis

Vous devez disposer des autorisations nécessaires pour gérer et configurer le réseau de votre centre de données. Contactez l'administrateur de votre centre de données si vous avez besoin d'assistance.
Vous devez avoir créé un Virtual Private Cloud (VPC) et déployé les services cloud requis sur Alibaba Cloud. Pour plus d'informations, consultez Créer un VPC avec un bloc CIDR IPv4.
Vous devez connaître les règles du groupe de sécurité applicables à vos services cloud dans le VPC. Assurez-vous que les règles autorisent le trafic provenant de votre réseau sur site à accéder aux ressources du VPC. Pour plus d'informations, consultez Afficher les règles du groupe de sécurité et Ajouter une règle de groupe de sécurité.
Vous devez maîtriser la création et la planification des réseaux pour un cluster ACK. Assurez-vous que les blocs CIDR du cluster ACK ne chevauchent pas ceux de votre réseau sur site. Pour plus d'informations, consultez Créer un cluster ACK géré et Planifier les blocs CIDR pour un cluster ACK.

Scénario

Une entreprise dispose d'un cluster Kubernetes déployé dans son centre de données privé et d'un cluster ACK déployé dans une région Alibaba Cloud. L'entreprise souhaite utiliser un SAG vCPE pour connecter son cluster Kubernetes sur site à son cluster ACK basé sur le cloud, permettant ainsi l'accès aux ressources entre les deux environnements.

Vous pouvez déployer l'image SAG vCPE sur une instance (serveur physique ou machine virtuelle) au sein de votre centre de données. Cette instance agit comme un appareil SAG vCPE qui se connecte à Alibaba Cloud. Une fois la connexion établie, vous pouvez utiliser Cloud Connect Network et Cloud Enterprise Network pour permettre la communication entre les ressources de votre centre de données et votre VPC Alibaba Cloud. La figure suivante illustre l'architecture de ce scénario.

Les détails du réseau pour les environnements cloud et sur site sont les suivants :

Type

Bloc CIDR privé

Bloc CIDR Pod

Cluster ACK Alibaba Cloud

172.16.0.0/12

10.77.0.0/16

Cluster Kubernetes dans le centre de données

192.168.0.0/16

10.18.0.0/16

Procédure

部署流程.png

Créez une instance SAG vCPE : dans la console Smart Access Gateway, créez une instance SAG vCPE, que vous utiliserez pour gérer l'appareil SAG vCPE.
Déployez l'image SAG vCPE : choisissez un hôte dans votre centre de données et déployez-y l'image SAG vCPE. Cet hôte agira comme un appareil SAG vCPE pour connecter le réseau de votre centre de données à Alibaba Cloud.
Configurez le réseau Alibaba Cloud : dans la console Smart Access Gateway, configurez les paramètres réseau de l'appareil SAG vCPE pour garantir sa connexion à Alibaba Cloud.
Configurez le réseau du centre de données : configurez le réseau de votre centre de données pour permettre la communication entre le centre de données et les ressources ACK d'Alibaba Cloud.
Vérifiez la connectivité : vérifiez la connectivité réseau entre les hôtes du cloud et du centre de données, ainsi qu'entre les pods du cloud et du centre de données.

Étape 1 : Créer une instance SAG vCPE

Créez une instance SAG vCPE dans la console Smart Access Gateway. Cette instance sert à gérer votre appareil SAG vCPE.

Connectez-vous à la console Smart Access Gateway.
Sur la page Smart Access Gateway, sélectionnez Purchase SAG > Create SAG (vCPE).

Sur la page d'achat, configurez les paramètres suivants et cliquez sur Buy Now pour finaliser le paiement.

Paramètre	Description	Exemple
Area	Zone de déploiement de l'instance SAG vCPE.	Chinese mainland
Nom de l'instance	Nom de l'instance SAG vCPE. Ce paramètre est facultatif. Le nom doit comporter entre 2 et 128 caractères, commencer par une lettre ou un caractère chinois, et peut contenir des chiffres, des points (.), des traits de soulignement (_) ou des tirets (-).	Demo
Instance Type	Type d'instance du SAG vCPE.	SAG-vCPE
Edition	Édition du SAG vCPE.	Basic
Méthode de déploiement	Méthode de déploiement du SAG vCPE. La valeur par défaut est Active-Active. En mode Active-Active, une instance SAG vCPE peut par défaut se connecter à deux appareils SAG vCPE. Vous pouvez configurer deux appareils en mode actif-passif pour connecter votre réseau local à Alibaba Cloud, améliorant ainsi la disponibilité du réseau. Ce tutoriel n'utilise que l'appareil principal.	Active-Active
Bande passante de pointe	Bande passante de pointe pour la communication réseau, en Mbit/s.	50 Mbps
Quantité	Nombre d'instances SAG vCPE à créer.	1
Durée de l'abonnement	Durée de l'abonnement. Vous pouvez cocher la case pour activer le renouvellement automatique.	1 Month
Resource Group	Groupe de ressources qui contiendra l'instance SAG vCPE.	N/A

Revenez à la console Smart Access Gateway. Dans la barre de navigation supérieure, sélectionnez la région où vous avez créé l'instance.
Dans le volet de navigation de gauche, cliquez sur Smart Access Gateway.
Sur la page Smart Access Gateway, cliquez sur l'ID de l'instance que vous avez créée.
Sur la page des détails de l'instance, cliquez sur l'onglet Device Management. Consultez et notez le numéro de série et la clé de l'appareil SAG vCPE principal. Vous aurez besoin de ces informations pour associer l'instance SAG vCPE à l'appareil.

Sélectionnez l'onglet de l'appareil principal. Dans le volet de gauche, cliquez sur le menu Device Information pour afficher le numéro de série. À côté du champ Key, cliquez sur le lien Show pour afficher la clé.

Étape 2 : Déployer l'image SAG vCPE

Pour permettre la communication réseau entre votre centre de données et le cluster ACK, vous devez sélectionner un hôte dans votre centre de données pour y déployer l'image SAG vCPE. Après le déploiement, cet hôte fonctionne comme un appareil SAG vCPE, connectant le réseau de votre centre de données à Alibaba Cloud.

Sélectionnez un hôte dans votre centre de données.
Pour garantir le bon fonctionnement de l'image SAG vCPE, l'hôte sélectionné doit répondre aux exigences suivantes :
- Prend en charge l'un des systèmes d'exploitation suivants :
  - (Recommandé) CentOS 7.6 (64 bits) ou version ultérieure.
  - Ubuntu 18.04 (64 bits) ou version ultérieure.
- Prend en charge la version du noyau 3.10.0-957.21.3.el7.x86_64 ou une version ultérieure.
- Dispose d'une carte réseau dédiée (NIC) capable de se connecter à Internet.
- Prend en charge la connexion à distance.
- N'exécute aucun système critique pour l'activité.
Connectez-vous à l'hôte et exécutez la commande suivante pour télécharger le script dans le répertoire /root de l'hôte.
Remarque
- Vous pouvez télécharger le script dans un répertoire personnalisé. Si tel est le cas, veillez à mettre à jour le chemin lors de l'exécution du script.
- Ne modifiez ni le contenu ni le nom du script après le téléchargement.
Choisissez la commande appropriée selon que votre hôte est déployé en Chine continentale ou ailleurs.
- L'hôte est déployé en Chine continentale
```
wget -O /root/sag_vcpe_v2.3.0_deployment.sh https://sdwan-oss-shanghai.oss-cn-shanghai.aliyuncs.com/vcpe_vm/sag_vcpe_v2.3.0_deployment.sh
```
- L'hôte est déployé hors de Chine continentale
```
wget -O /root/sag_vcpe_v2.3.0_deployment.sh https://sdwan-oss-shanghai.oss-accelerate.aliyuncs.com/vcpe_vm/sag_vcpe_v2.3.0_deployment.sh
```
Exécutez la commande suivante pour accorder les permissions d'exécution au script.
```
chmod +x /root/sag_vcpe_v2.3.0_deployment.sh
```

Exécutez le script.

/root/sag_vcpe_v2.3.0_deployment.sh -n sag**** -k X8==**** -t idc  -w eth0

Le tableau suivant décrit les paramètres clés. Pour obtenir la liste complète des paramètres du script, consultez Descriptions des paramètres du script.

Paramètre	Description
-n	Numéro de série de l'appareil SAG vCPE.
-k	Clé de l'appareil SAG vCPE.
-t	Plateforme sur laquelle se trouve l'hôte de l'image SAG vCPE. Valeurs valides : `aliyun` (par défaut) : L'image SAG vCPE est déployée sur une instance Elastic Compute Service (ECS) d'Alibaba Cloud. `aws` : L'image SAG vCPE est déployée sur une instance AWS EC2. `ens` : L'image SAG vCPE est déployée sur une instance Alibaba Cloud Edge Node Service (ENS). Si votre image SAG vCPE est déployée sur un serveur sur site, définissez ce paramètre sur n'importe quelle chaîne de caractères anglais autre que `aliyun`, `aws` ou `ens`.
-w	Nom de la carte réseau (NIC) du port WAN. Vous pouvez exécuter la commande `ifconfig` pour afficher les noms des cartes réseau de l'hôte.

Lorsque vous exécutez le script, le système vérifie automatiquement si l'environnement de déploiement répond aux exigences :

Si certains composants requis ne sont pas installés, le système affiche l'invite suivante. Saisissez yes pour que le système installe automatiquement ces composants. Le script commence alors à déployer l'image SAG vCPE.
```
Missing dependency packages python3 telnet vim traceroute sshpass mtr docker inotify wget netifaces==0.10.9, are you sure want to install these packages? [yes|no]
[no] >>>
```

Si l'environnement de déploiement répond aux exigences, le système commence directement à déployer l'image SAG vCPE. Une fois le déploiement terminé, le script affiche le message suivant :

2021-10-27 01:48:08 INFO: Install complete, please wait for few minutes to check state
==============================================================================================
[root@xxx ~]#

Une fois le déploiement terminé, exécutez la commande docker ps pour vérifier si les deux conteneurs suivants sont présents dans le système.
```
[root@xxx ~]# docker ps
CONTAINER ID   IMAGE        COMMAND                  CREATED       STATUS       PORTS     NAMES
b5xxx          vsag-core    "sh -c 'mkdir -p /li…"   7 days ago    Up 7 days              vsag-core
2fxxx          centos:7     "/sbin/init"             7 days ago    Up 7 days              vsag-manager-base
```
- Si le système contient les conteneurs vsag-core et vsag-manager-base, le déploiement a réussi.
- Si le système ne contient pas ces deux conteneurs, le déploiement a échoué. Dans ce cas, soumettez un ticket pour obtenir de l'aide.

Étape 3 : Configurer le réseau Alibaba Cloud

Après avoir déployé l'image SAG vCPE, vous devez configurer le réseau de l'appareil SAG vCPE dans la console Smart Access Gateway pour le connecter à Alibaba Cloud.

Configurez la synchronisation des routes sur site.
1. Connectez-vous à la console Smart Access Gateway et sélectionnez la région cible dans la barre de navigation supérieure.
2. Sur la page Smart Access Gateway, recherchez l'instance cible et cliquez sur Network Settings dans la colonne Actions.
3. Sur l'onglet Network Settings, dans la section Method to Synchronize with On-premises Routes, cliquez sur Add Static Route.
4. Dans la boîte de dialogue Add Static Route, saisissez le bloc CIDR privé de votre centre de données, puis cliquez sur OK.
5. Cliquez à nouveau sur Add Static Route. Dans la boîte de dialogue Add Static Route, saisissez le bloc CIDR pod du cluster Kubernetes de votre centre de données, puis cliquez sur OK.
  
  Après l'ajout des routes, sur l'onglet Network Configuration, sous la section Method to Synchronize with On-premises Routes, sélectionnez Static Route. Vous pouvez afficher les entrées de route ajoutées, telles que 192.168.0.0/16 et 10.18.0.0/16.
Associez une instance Cloud Connect Network.

Cloud Connect Network est un composant clé de SAG. SAG utilise Cloud Connect Network pour connecter votre réseau à Alibaba Cloud.
1. Créez une instance Cloud Connect Network. Pour plus d'informations, consultez Créer une instance CCN.
  
  Remarque
  L'instance Cloud Connect Network doit se trouver dans la même région que l'instance SAG vCPE.
2. Dans le volet de navigation de gauche de la console Smart Access Gateway, cliquez sur Smart Access Gateway.
3. Sur la page Smart Access Gateway, recherchez l'instance cible et cliquez sur Network Settings dans la colonne Actions.
4. Sur l'onglet Network Settings, sélectionnez Network Instance Details.
5. Dans la section Associated Instances Under Current Account, cliquez sur Attach Network, sélectionnez l'instance Cloud Connect Network que vous avez créée, puis cliquez sur OK.
6. Cliquez sur l'onglet Device Management pour afficher l'état VPN et l'état du contrôleur de l'appareil SAG vCPE.
  
  Après avoir associé l'instance Cloud Connect Network, si l'état VPN et l'état du contrôleur de l'appareil SAG vCPE sont tous deux Normaux, cela indique que l'appareil SAG vCPE est connecté à Alibaba Cloud.
Configurez Cloud Enterprise Network.

Connectez l'instance SAG vCPE et le VPC à un Cloud Enterprise Network (CEN). Cela permet aux instances d'apprendre les routes mutuellement, activant ainsi la communication entre l'appareil SAG vCPE et les ressources du VPC.
1. Dans le volet de navigation de gauche de la console Smart Access Gateway, cliquez sur CCN Instance.
2. Sur la page CCN Instance, recherchez l'instance Cloud Connect Network cible et cliquez sur Bind CEN Instance dans la colonne Actions.
3. Dans le panneau Bind CEN Instance, sélectionnez l'instance Cloud Enterprise Network à associer, puis cliquez sur OK.
  Vous pouvez choisir une instance Cloud Enterprise Network de deux manières. Dans cette rubrique, l'option Create CEN est sélectionnée.
  - Existing CEN : Si vous avez déjà créé un CEN, vous pouvez le sélectionner dans la liste déroulante pour l'associer.
  - Create CEN : Si vous ne disposez pas de CEN, saisissez un nom dans la zone de texte. Le système crée une nouvelle instance CEN et l'associe automatiquement.
    
    Remarque
    Le nom de l'instance CEN doit comporter entre 2 et 100 caractères, commencer par une lettre ou un caractère chinois, et peut contenir des chiffres, des traits de soulignement (_) ou des tirets (-).
4. Associez l'instance VPC que vous avez créée à ce Cloud Enterprise Network. Pour plus d'informations, consultez Associer une instance réseau.

Étape 4 : Configurer le réseau du centre de données

Pour permettre la communication entre votre centre de données et les ressources Alibaba Cloud, vous devez également configurer le réseau de votre centre de données. Contactez l'administrateur réseau de votre centre de données pour obtenir les commandes spécifiques requises pour votre environnement.

Configurez une route statique dans le centre de données.
Configurez une route dans le réseau de votre centre de données qui dirige le trafic destiné au bloc CIDR du cluster ACK d'Alibaba Cloud (et au bloc CIDR pod, si nécessaire) vers l'adresse IP de l'hôte sur lequel SAG vCPE est installé. Cet hôte gère la communication avec les services Alibaba Cloud.
```
ip route add 10.77.0.0/16 via 192.168.11.210
```
Remarque
Cet exemple de route statique est fourni à titre indicatif uniquement. La commande peut varier selon le fabricant et le modèle de l'appareil.
Configurez le pare-feu dans le centre de données.

Autorisez le trafic entre les blocs CIDR privés du cluster ACK d'Alibaba Cloud et du centre de données.

Étape 5 : Vérifier la connectivité

Vérifiez la connectivité des hôtes.
1. Connectez-vous à une instance ECS au sein de votre VPC. Pour plus d'informations, consultez Présentation des méthodes de connexion.
2. Exécutez la commande ping pour accéder à un hôte de votre centre de données sur site et vérifier la connexion réseau entre vos hôtes cloud et sur site.
  Cette sortie confirme que les ressources du VPC Alibaba Cloud peuvent communiquer avec les ressources du centre de données sur site.
  [root@<hostname> ~]# ping 192.168.11.236 PING 192.168.11.236 (192.168.11.236) 56(84) bytes of data. 64 bytes from 192.168.11.236: icmp_seq=1 ttl=61 time=9.52 ms 64 bytes from 192.168.11.236: icmp_seq=2 ttl=61 time=9.30 ms 64 bytes from 192.168.11.236: icmp_seq=3 ttl=61 time=9.24 ms

Vérifiez la connectivité réseau des pods.

Déployez des conteneurs de test sur un cluster ACK sur Alibaba Cloud et sur un cluster Kubernetes dans un IDC sur site. Voici un exemple YAML.

apiVersion: apps/v1 # for versions before 1.8.0 use apps/v1beta1
kind: Deployment
metadata:
  name: nginx-deployment-basic
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
    #  nodeSelector:
    #    env: test-team
      containers:
      - name: nginx
        image: nginx:1.7.9 # Replace with your actual <image_name:tags>.
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: "500m"

Accédez au conteneur du cluster ACK et exécutez la commande ping pour accéder à l'adresse IP d'un pod du cluster Kubernetes sur site. Cela permet de vérifier la connectivité réseau des pods entre le cluster ACK et le cluster Kubernetes sur site.

Cette sortie confirme que les pods du cluster ACK Alibaba Cloud peuvent communiquer avec les pods du cluster Kubernetes sur site.

root@nginx-deployment-basic-8xxx-pjns8:/# ping 10.18.1.131
PING 10.18.1.131 (10.18.1.131): 48 data bytes
56 bytes from 10.18.1.131: icmp_seq=0 ttl=59 time=10.106 ms
56 bytes from 10.18.1.131: icmp_seq=1 ttl=59 time=9.930 ms
56 bytes from 10.18.1.131: icmp_seq=2 ttl=59 time=9.926 ms
56 bytes from 10.18.1.131: icmp_seq=3 ttl=59 time=9.909 ms
56 bytes from 10.18.1.131: icmp_seq=4 ttl=59 time=9.888 ms
56 bytes from 10.18.1.131: icmp_seq=5 ttl=59 time=9.859 ms

Résumé

En utilisant un SAG vCPE avec Cloud Connect Network et Cloud Enterprise Network, vous pouvez rapidement mettre en place un réseau reliant vos environnements sur site et cloud, pour une communication transparente. Afin de minimiser les problèmes potentiels, planifiez votre architecture réseau à l'avance pour éviter les conflits réseau susceptibles d'impacter votre environnement de production.