混合云管理

混合云管理

ZStack Cloud混合云平台，结合了ZStack Cloud私有云的简单、健壮、弹性、智能以及阿里云公有云的领先、安全、稳定等特点，以云+端的形式提供了一套无缝集成的混合云管理方案，实现了混合云真正意义上的控制面和数据面互联互通。

混合云相关定义

产品：ZStack Cloud混合云产品包括以下阿里云提供的云计算产品：
- ECS云主机：阿里云端创建的ECS实例。
- 云盘：阿里云端创建的云盘资源，作为ECS云主机的扩展存储使用。
- 镜像：创建ECS云主机使用的镜像模板文件，镜像类型包括：自定义镜像和阿里云镜像。
- 安全组：阿里云为ECS云主机提供的三层网络安全控制，按照指定的安全规则对ECS云主机进行约束。
- 专有网络VPC：阿里云ECS云主机使用的专有网络资源。
- 弹性公网IP：阿里云端公有网络池中的IP地址，绑定弹性公网IP的ECS云主机可以直接使用该IP进行公网通信。
VPN：通过建立点对点的IPsec VPN通道，实现企业本地数据中心的私有网络与阿里云端VPN网络进行通信，包括以下设置项：
- VPN网关：通过加密通道将本地数据中心和阿里云专有网络VPC进行安全连接的服务。
- VPN用户网关：本地数据中心的VPN服务网关。
- VPN连接：VPN网关和VPN用户网关建立连接后的加密VPN通道，实现本地数据中心的私有网络与阿里云端VPN网络进行通信。
高速通道：通过物理专线（即租用运营商的专线：电缆或光纤），连通本地数据中心到阿里云专线接入点，与阿里云VPC环境打通，实现云上云下不同网络间高速、稳定、安全的私网通信，包括以下设置项：
- 路由器接口：用于搭建通信通道并控制其工作状态的虚拟设备。
- 边界路由器：用户使用物理专线接入交换机的产品映射，边界路由器负责将物理专线上的数据在阿里云上进行转发。通过边界路由器，用户数据可以直达阿里云VPC网络。
阿里云NAS：阿里云网络文件存储服务，通过标准的文件访问协议，用户即可使用具备无限容量及性能扩展、单一命名空间、多共享、高可靠和高可用等特性的分布式文件系统。ZStack Cloud无缝对接阿里云NAS，在ZStack Cloud私有云环境下，用户可通过添加AliyunNAS类型主存储的方式直接使用独立部署的阿里云分布式存储，包括以下设置项：
- 文件系统：AliyunNAS类型主存储的后端存储系统，添加AliyunNAS主存储需首先添加NAS文件系统。
- 权限组：阿里云为IP地址或网段提供的白名单机制，按照指定的权限规则对IP地址或网段访问文件系统的权限进行约束。
数据中心：数据中心涉及阿里云的地域和可用区等地域资源，用于匹配阿里云资源的地域属性，具体包括：
- 地域：物理的数据中心，划分地区的基本单位，ZStack Cloud混合云的地域对应了阿里云端的地域。
- 可用区：对应阿里云的Zone可用区，指同一地域内，电力和网络互相独立的物理地域。
设置：ZStack Cloud混合云支持以下基本设置：
- AccessKey管理：访问阿里云/阿里专有云API的身份凭证，具有该云平台完全的权限，包括：AccessKey ID（访问密钥 ID）和AccessKey Secret（访问密钥）。
- 混合云设置：提供平台层面的功能特性设置，一经设置，云平台全局范围内生效。

物理部署

ZStack Cloud混合云平台采用进程内微服务架构，并不引入新的模块。但ZStack Cloud管理节点要求能够访问公网，以便调用阿里云公有云的OpenAPI。

基于物理专线部署：通过物理专线构建本地—远程互联网络，从而连通本地数据中心和阿里云公有云。

功能框架

ZStack Cloud混合云功能模块主要包括以下几点：

身份认证：
阿里云AK：实现了阿里云（阿里公有云）/阿里私有云的账户身份认证RAM对接，采用授权子账户AK（AccessKey以及KeySecret）信息远程访问。
图 2. 身份认证
网络互联：
实现IPsec隧道、阿里云高速通道（Express Connect）连接本地私有云和阿里云公有云，使得本地—远程在三层网络可达下互访。本地—远程的互联网络，是混合云核心基础设施。
ZStack Cloud混合云平台支持IPsec隧道、阿里云高速通道构建互联网络，如图 3、图 4所示：
图 3. IPsec隧道

图 4. 阿里云高速通道
资源管理：
通过授权子账户，访问阿里云公有云账户里的资源，包括管理ECS、VBR、VPC和虚拟交换机等服务，如图 5所示：
图 5. 资源管理
业务实现：
基于上述网络基础设施和管理控制方式，实现灵活弹性的业务系统架构。混合云平台建成后，可在其上部署灵活多维的业务模式。

功能特性

ZStack Cloud混合云拥有以下功能特性：

无缝集成：
ZStack Cloud混合云功能把公有云的操作无缝集成到ZStack Cloud混合云平台中，让ZStack Cloud私有云的所有优点都输出到混合云上，为用户提供一个真正的统一管理视图。
无缝升级：
ZStack Cloud混合云功能支持无缝升级，不影响业务和资源的运行。
便捷易用：
ZStack Cloud混合云以“云+端”的形式，通过云管理系统对资源进行统一管理。既可以灵活管理本地的私有云，也可以随时便捷的调用阿里公有云的各种资源。

应用场景

云上备份场景：
金融、医疗等行业对数据长期保存存在合规要求，采用混合云功能可解决本地备份存在数据风险高、投入大、运维难的问题，将数据备份在云端，保证数据存储稳定，降低存储成本。
云上存储场景：
企业机构存在大规模数据存储需求时，可使用混合云功能将数据存储在云端，节省投资费用和管理费用，且便于从多地访问数据。
云上迁移场景：
企业机构存在多地联动，需要保证数据自由流动时，可使用混合云功能将本地数据迁移上云，确保数据完整稳定的进行传输。

产品

ZStack Cloud混合云产品包括以下阿里云提供的云计算产品：

ECS云主机：阿里云端创建的ECS实例。
云盘：阿里云端创建的云盘资源，作为ECS云主机的扩展存储使用。
镜像：创建ECS云主机使用的镜像模板文件，镜像类型包括：自定义镜像和阿里云镜像。
安全组：阿里云为ECS云主机提供的三层网络安全控制，按照指定的安全规则对ECS云主机进行约束。
专有网络VPC：阿里云ECS云主机使用的专有网络资源。
弹性公网IP：阿里云端公有网络池中的IP地址，绑定弹性公网IP的ECS云主机可以直接使用该IP进行公网通信。

VPN

VPN：通过建立点对点的IPsec VPN通道，实现企业本地数据中心的私有网络与阿里云端VPN网络进行通信。

说明: 从本地VPC路由器到阿里云端VPN网络，IPsec准备互通的各网络段不可重叠。

典型应用场景

IPsec VPN典型应用场景如图 1所示：

基本使用流程

ZStack Cloud使用IPsec VPN进行互通的基本流程如下：

在ZStack Cloud混合云界面按照顺序创建地域、可用区、专有网络VPC和VPC下的虚拟交换机。
在阿里云控制台购买VPN网关。
使用VPC网络创建私有云云主机。
创建ECS云主机。
推荐使用操作向导快速创建阿里云VPN连接。
1. 选择已购买的VPN网关，可确定该VPN网关所在的地域、可用区、VPC、虚拟交换机等阿里云资源。
2. 连接配置：选择创建本地云主机时自动创建的VPC路由器，以及该VPC路由器挂载的公有网络、私有网络，并填写预共享密钥，其他IPsec各项配置在高级选项中是默认的，不建议修改。
3. 连接配置完成后，ZStack Cloud将自动完成以下操作：
  1. 使用本地VPC路由器对应的公有网络选择可用的虚拟IP；
  2. 使用此虚拟IP在阿里云端创建VPN用户网关；
  3. 在阿里云端创建VPN连接；
  4. 在阿里云VPC的虚拟路由器下配置路由，路由的目标网段为本地VPC路由挂载的私有网络CIDR，下一跳为VPN网关；
  5. 在ZStack Cloud私有云端创建IPsec连接。
验证本地云主机与ECS云主机是否可以ping通，如能ping通，IPsec VPN通道创建成功。

高速通道

高速通道包括：阿里云高速通道。

阿里云高速通道

主要是指通过物理专线（即租用运营商的专线：电缆或光纤），连通本地数据中心到阿里云专线接入点，与阿里云VPC环境打通，实现云上云下不同网络间高速，稳定，安全的私网通信。

说明: 从本地VPC路由器到阿里云端VPC网络，阿里云高速通道准备互通的各网络段不可重叠。

阿里云高速通道具有以下优点：

低延迟、高稳定性
具有多种接入方式
支持线路冗余
安全可靠

高速通道支持的操作

高速通道支持以下操作：

同步/本地创建路由器接口：支持从阿里云端同步路由器接口到本地，以及在本地创建路由器接口，实现路由器接口的管理。
同步边界路由器：支持从阿里云端同步边界路由器到本地，实现边界路由器的管理。
创建阿里云高速通道：支持从操作向导创建阿里云高速通道。

升级提醒

若您选择升级至4.0.0及之后版本，请注意以下功能调整：

1. 云路由器全面升级为VPC路由器，云路由网络全面升级为VPC网络，不再单独设云路由器页面。升级全程无感知，相关业务不受任何影响。

2. 企业管理账号体系取代用户组与用户，不再单独设用户/用户组页面，不可再使用用户/用户组账号登录云平台。升级前，请先将“用户组与用户”纳管的账号数据妥善迁移至“企业管理”纳管，再执行升级操作。注意：对于admin创建并具备admin权限的用户账号同步取消，如有需要，可使用企业管理账号体系中的平台管理员实现相同功能。

3. 调整AD/LDAP与账户的对接管理方式，统一由企业管理纳管，不再单独设AD/LDAP页面。升级前，请先将“账户”对接纳管的AD/LDAP账号数据妥善迁移至“企业管理”纳管，再执行升级操作。

如对上述升级提醒有任何疑问或需要升级帮助，请联系ZStack官方技术支持