Настройки сети
Сценарии настройки VRF
SNAT-группа в VRF

SNAT-группа в VRF

По умолчанию балансировщик обращается к серверам с единственного адреса — своего адреса в этом VRF. Одному адресу доступно около 65 000 одновременных соединений на каждый сервер, и при высокой нагрузке этого не хватает.

SNAT-группа добавляет дополнительные адреса источника и в VRF работает так же, как в общей сети. Значения — из сквозного примера.

Что получится

  • На агентах появится дополнительный адрес 10.88.0.240 в VRF demo.
  • Балансировщик будет открывать соединения к серверам с этого адреса.
  • Ёмкость по числу одновременных соединений вырастет пропорционально числу адресов в группе.

Перед началом

  • Профиль demo создан, конфигурация балансировки в нём работает.
  • Адрес 10.88.0.240 свободен и не входит в диапазон выдачи сегмента — иначе система может выдать его агенту.
  • Серверы приложения принимают соединения с этого адреса.

Настройка

  1. Откройте раздел SNAT-группы кластера и нажмите Создать группу.
  2. Заполните форму создания группы:
    • Имя группы — например, demo-snat;
    • VRF — demo;
    • Метод выбора адреса — percentage;
    • добавьте записи с адресами источника 10.88.0.240 и 10.88.0.241, распределив между ними 100 %.
  3. Сохраните группу.
  4. Откройте конфигурацию балансировки, работающую в VRF demo, и на шаге Узлы:
    • Режим трансляции адресов — SNAT группы;
    • Стратегия распределения — Полное дублирование, если адреса группы должны быть подняты на всех агентах, либо Уникально для каждого агента, если каждому агенту нужен свой адрес;
    • SNAT группа — demo-snat.
  5. Сохраните конфигурацию.
ℹ️

VRF SNAT-группы и VRF конфигурации балансировки, к которой она привязана, должны совпадать: адреса группы поднимаются в той же таблице маршрутизации, из которой открываются соединения к серверам.

Проверка

В интерфейсе системы

  1. На вкладке Сеть → <сетевой агент> → IP/VIP появились адреса группы, привязанные к устройству demo.
  2. Обращение к серверам можно снять инструментом TCP Dump на интерфейсе ens19.300: источником будет адрес из группы, а не адрес агента в изолированной сети.

Если адреса группы нужно анонсировать соседям по BGP, включите в конфигурации балансировки Режим доступности SNAT группы — иначе ответный трафик к этим адресам нужно маршрутизировать вручную.

Трафиком

Отправьте несколько запросов на VIP и посмотрите журнал сервера приложения: источником должен быть адрес из группы.

Частые ошибки

СообщениеЧто означаетЧто сделать
VRF SNAT-группы нельзя изменить, пока она привязана к сервисам: web. Отвяжите её от них либо перенесите сервисы вместе с группойПопытка сменить VRF у группы, которой пользуется конфигурация балансировкиСначала отвяжите группу от конфигураций
from_prefixes NAT-политики накрывают адрес 10.88.0.240 SNAT-пула "demo-snat" — источник уже транслируется пулом (double-NAT)Адреса группы попали в источники Cross-VRF политики с трансляциейСузьте Сети источников политики или откажитесь от одной из двух трансляций
Адрес группы выдан агенту как его адрес в сегментеАдрес входит в диапазон выдачиОграничьте Диапазон выдачи сегмента так, чтобы адреса SNAT-группы в него не попадали

Дальше

Выход из изолированной сети наружуIPv4 и IPv6 в одном VRF