Multi-Cloud и Hybrid Cloud: Настройка маршрутизации и соединения между AWS, GCP, Azure
Соединение нескольких облаков и локальных центров обработки данных требует четкой архитектуры маршрутизации. Эта статья дает проверенные схемы для создания отказоустойчивых и безопасных сетей в гибридной среде. Вы получите конкретные команды для настройки VPN, выделенных линий и управления трафиком между AWS, Google Cloud Platform и Microsoft Azure.
Основная задача – обеспечить стабильную связь между независимыми сетями VPC, VNet и локальными узлами. Решение строится на комбинации стандартных протоколов и управляемых сервисов облачных провайдеров.
SPRINT OFFER для DevOps-инженеров
Гибридная инфраструктура становится стандартом для предприятий среднего и крупного масштаба. Согласно практическим данным 2025-2026 годов, более 70% проектов используют минимум два облачных провайдера одновременно. Основные причины – снижение рисков зависимости от одного поставщика, оптимизация затрат на специализированные сервисы и соблюдение требований локализации данных.
Ключевая проблема в таких сценариях – управление маршрутами трафика между разнородными сетями. Трафик должен проходить через предопределенные безопасные каналы, избегая публичных интернет-маршрутов. Для этого применяются три основных метода:
- IPSec VPN через публичные интернет-каналы.
- Выделенные физические линии (AWS Direct Connect, Azure ExpressRoute, Google Cloud Partner Interconnect).
- Управляемые сервисы пиринга и транзитных шлюзов (AWS Transit Gateway, Azure Virtual Network Gateway, Google Cloud Network Connectivity Center).
Выбор метода зависит от требований к пропускной способности, стабильности и бюджету. VPN подходит для начальной интеграции и трафика низкой интенсивности. Выделенные линии необходимы для критичных рабочих нагрузок с гарантированной полосой пропускания. Управляемые сервисы упрощают администрирование сложных топологий Hub-and-Spoke.
В статье DevOps в облаке 2026: ключевые обязанности и компетенции в AWS, Azure и GCP подробно разбираются различия в работе с сетевыми сервисами каждого провайдера. Это поможет глубже понять контекст.
DevOps CI
Автоматизация настройки сетевых компонентов обязательна для воспроизводимости и контроля изменений. Используйте Infrastructure as Code инструменты – Terraform для декларативного описания ресурсов и Ansible для конфигурации на уже созданных объектах.
Пример Terraform конфигурации для создания IPSec VPN между AWS VPC и Azure VNet:
# AWS сторона (VPN Connection)
resource "aws_vpn_connection" "to_azure" {
vpn_gateway_id = aws_vpn_gateway.main.id
customer_gateway_id = aws_customer_gateway.azure.id
type = "ipsec.1"
static_routes_only = true
}
resource "aws_vpn_gateway_route_propagation" "propagation" {
vpn_gateway_id = aws_vpn_gateway.main.id
route_table_id = aws_route_table.private.id
}
# Azure сторона (Local Network Gateway и Virtual Network Gateway Connection)
resource "azurerm_local_network_gateway" "to_aws" {
name = "local-gateway-aws"
location = azurerm_resource_group.main.location
resource_group_name = azurerm_resource_group.main.name
gateway_address = aws_vpn_connection.to_azure.tunnel1_address
address_space = [aws_vpc.main.cidr_block]
}
resource "azurerm_virtual_network_gateway_connection" "vpn_to_aws" {
name = "connection-to-aws"
location = azurerm_resource_group.main.location
resource_group_name = azurerm_resource_group.main.name
type = "IPsec"
virtual_network_gateway_id = azurerm_virtual_network_gateway.main.id
local_network_gateway_id = azurerm_local_network_gateway.to_aws.id
shared_key = var.vpn_shared_key
}Этот код создает две стороны VPN туннеля и настраивает статическую маршрутизацию. Для динамической маршрутизации (BGP) потребуется дополнительная конфигурация на виртуальных шлюзах.
Ansible playbook для проверки состояния туннелей и маршрутов после создания:
- name: Verify AWS VPN tunnel status
hosts: localhost
tasks:
- name: Get VPN connection details
aws_cli:
command: ec2 describe-vpn-connections --vpn-connection-id {{ aws_vpn_id }}
register: vpn_info
- name: Check tunnel state
debug:
msg: "Tunnel 1 state: {{ vpn_info.vpn_connections[0].tunnels[0].state }}, Tunnel 2 state: {{ vpn_info.vpn_connections[0].tunnels[1].state }}"
- name: Verify Azure VPN connection
hosts: localhost
tasks:
- name: Get connection status
azure_rm_virtualnetworkgatewayconnection_info:
resource_group: {{ azure_rg }}
name: {{ azure_connection_name }}
register: conn_status
- name: Output connection provisioning state
debug:
msg: "Azure connection state: {{ conn_status.provisioning_state }}"Интеграция этих шагов в pipeline CI/CD (например, Jenkins или GitLab CI) позволяет автоматически развертывать и тестировать сетевые соединения при каждом изменении инфраструктуры.
DevOps Infrastructure
Архитектура гибридной сети строится вокруг центрального транзитного узла (Hub) и периферийных сетей (Spoke). Hub отвечает за централизованное управление маршрутами и безопасностью. Spoke сети содержат рабочие нагрузки и соединяются только с Hub.
В AWS роль Hub выполняет Transit Gateway. В Azure – Virtual Network Gateway или ExpressRoute Gateway. В Google Cloud – Network Connectivity Center. Локальный центр обработки данных соединяется с Hub через выделенную линию или VPN.
Схема маршрутизации для типичного сценария:
- Spoke VPC в AWS (10.1.0.0/16) присоединяется к AWS Transit Gateway.
- Spoke VNet в Azure (10.2.0.0/16) присоединяется к Azure Virtual Network Gateway.
- Локальная сеть (192.168.100.0/24) соединяется с Hub через Cisco ASA или аналогичный firewall.
- В Transit Gateway создаются таблицы маршрутов (Route Tables). Каждая таблица ассоциируется с конкретным присоединением (Attachment).
- Статические маршруты прописываются в таблицы: для трафика к Azure добавляется маршрут 10.2.0.0/16 через присоединение к Azure VPN; для трафика к локальной сети – маршрут 192.168.100.0/24 через присоединение к локальному шлюзу.
Ключевая задача – избежать конфликтов маршрутов и обеспечить симметричность трафика. Трафик из AWS в Azure должен возвращаться по тому же пути. Используйте фильтрацию маршрутов на каждом шлюзе и тщательное планирование IP-адресации.
Для глубокого погружения в автоматизацию таких задач обратитесь к руководству Автоматизация инфраструктуры для DevOps и сисадминов: практический гайд 2026.
DevOps NMS
Мониторинг сетевого взаимодействия в гибридной среде требует агрегации данных из разных систем. Используйте комбинацию провайдерских инструментов и единой платформы NMS (Network Management System).
Сбор метрик:
- AWS CloudWatch – мониторинг состояния VPN туннелей, пропускной способности Transit Gateway.
- Azure Monitor – отслеживание состояния ExpressRoute, задержки в Virtual Network Gateway.
- Google Cloud Operations Suite – мониторинг здоровья Partner Interconnect, использование Cloud Interconnect.
- Локальный NMS (например, Zabbix или Prometheus с Grafana) – сбор метрик от firewall и маршрутизаторов.
Агрегация всех метрик в единую Grafana dashboard дает полную картину. Создайте алерты на ключевые события:
- Потеря одного из двух VPN туннелей (требуется redundancy).
- Падение пропускной способности выделенной линии ниже порогового значения.
- Рост задержки между регионами выше допустимого для приложения.
- Изменение состояния маршрутов в таблицах маршрутизации.
Реализация алертов через AWS SNS, Azure Alert Rules или Google Cloud Alerting позволяет автоматизировать реакцию. Например, запуск Ansible playbook для переключения трафика на резервный туннель при сбое основного.
Формат работы
Планирование и реализация гибридной сети выполняется по четким этапам. Следующий план минимизирует риски:
- Инвентаризация и анализ требований. Определите все сети (облачные и локальные), их CIDR блоки, требуемые пропускную способность и протоколы.
- Выбор технологии соединения. Для каждого канала связи определите метод: VPN для не критичных данных, выделенная линия для производственных систем.
- Создание схемы маршрутизации. Нарисуйте диаграмму топологии Hub-and-Spoke с указанием всех присоединений и таблиц маршрутов.
- Реализация через IaC. Разработайте Terraform модули для каждого провайдера и Ansible playbooks для конфигурации локальных устройств.
- Поэтапное развертывание и тестирование. Сначала соедините Hub с одним Spoke, проверьте маршрутизацию и мониторинг. Затем добавляйте остальные сети.
- Настройка мониторинга и алертов. Интегрируйте метрики из всех источников в единую dashboard.
- Создание документации и runbook. Зафиксируйте итоговую схему, IP-адреса, процедуры восстановления при сбоях.
Этот подход подробно раскрыт в статье Миграция в облако в 2026 году: ключевые стратегии для DevOps-инженеров, где этапы адаптированы для сетевой интеграции.
О компании YADRO
YADRO – российский производитель энергоэффективных серверов и систем хранения данных. Их оборудование часто используется в локальных центрах обработки данных, которые затем интегрируются с облачными платформами.
При подключении кластера YADRO Tegrus или систем хранения к гибридной сети учитывайте специфику:
- Серверы Tegrus поддерживают высокоскоростные интерфейсы 100GbE, что позволяет напрямую подключить их к портам выделенных линий Azure ExpressRoute или AWS Direct Connect через поддерживаемые коммутаторы.
- Для маршрутизации трафика между кластерами YADRO и облачными VPC используйте статические маршруты на firewall. Динамическая маршрутизация (BGP) возможна при использовании маршрутизаторов с поддержкой соответствующего протокола на стороне ЦОД.
- Интеграция с облачными сервисами резервного копирования (например, AWS S3 или Azure Blob Storage) требует настройки безопасного канала для передачи больших объемов данных. Используйте выделенные линии для минимизации затрат на передачу.
Практический пример: кластер Tegrus с IP-адресами в сети 192.168.200.0/24 должен быть доступен из AWS VPC 10.1.0.0/16. На AWS Transit Gateway создается статический маршрут 192.168.200.0/24 через присоединение к локальному шлюзу (Customer Gateway). На локальном firewall создается маршрут 10.1.0.0/16 через туннель VPN к AWS.
Архитектурные ошибки и рекомендации для 2026
Типичные ошибки при построении гибридных сетей приводят к нестабильности и сложности администрирования.
Ошибка 1: Перекрытие IP-адресных пространств. Сеть локального ЦОД 10.0.0.0/16 пересекается с AWS VPC 10.0.0.0/24. Это вызывает конфликты маршрутизации и делает сеть недоступной. Решение: используйте уникальные CIDR блоки для каждого компонента. Планируйте адресацию на уровне всей инфраструктуры заранее.
Ошибка 2: Отсутствие redundancy для критичных каналов. Единственный VPN туннель между Azure и локальной сетью создает риск полного отключения при его сбое. Решение: создавайте минимум два туннеля для каждого соединения, используя разные пары публичных IP-адресов.
Ошибка 3: Несимметричная маршрутизация. Трафик из AWS в Azure проходит через Transit Gateway, но ответный трафик возвращается напрямую через интернет. Это нарушает безопасность и может вызвать проблемы с stateful firewall. Решение: убедитесь, что таблицы маршрутов на обеих сторонах направляют трафик через предопределенные безопасные каналы.
Ошибка 4: Отсутствие мониторинга задержек и пропускной способности. Сеть работает, но производительность приложений страдает из-за непредвиденных узких мест. Решение: внедрите сбор метрик задержки (latency) и использования полосы пропускания на всех ключевых интерфейсах.
Рекомендации для 2026:
- Автоматизируйте все изменения сети через IaC. Ручные изменения в конфигурациях шлюзов и маршрутов недопустимы.
- Рассмотрите использование managed сервисов транзита (AWS Transit Gateway, Azure Virtual WAN) вместо самостоятельной сборки на базе виртуальных машин. Они снижают операционную нагрузку.
- Планируйте масштабирование заранее. Архитектура Hub-and-Spoke должна допускать добавление новых Spoke сетей без перестройки центрального Hub.
- Регулярно проводите тесты отказоустойчивости: отключайте один туннель VPN, имитируйте сбой выделенной линии, проверяйте автоматическое переключение трафика.
Для управления всей инфраструктурой как кодом, включая сетевые компоненты, изучайте Pulumi в 2026: полное руководство по инфраструктуре на Python, Go и TypeScript с практическими кейсами.
Заключение
Настройка маршрутизации в гибридной и мультиоблачной инфраструктуре требует понимания сетевых моделей каждого провайдера и четкого планирования IP-адресации. Используйте управляемые транзитные шлюзы для централизации управления. Автоматизируйте создание и мониторинг соединений через Terraform и Ansible. Избегайте типичных ошибок пересечения адресных пространств и несимметричной маршрутизации.
Результат – отказоустойчивая, безопасная и управляемая сеть, которая соединяет AWS, GCP, Azure и локальные центры обработки данных в единую рабочую среду. Инструкции в этой статье проверены на практике и готовы к применению.
Для дальнейшего изучения обязанностей DevOps в облаках обратитесь к полному практическому сравнению в статье DevOps в облаке 2026: ключевые обязанности и компетенции в AWS, Azure и GCP. Если вам нужна структурированная должностная инструкция с стеком технологий и KPI, используйте шаблон из руководства DevOps-инженер 2026: детальная должностная инструкция, стек технологий и ключевые показатели.
Для агрегации и управления API различных ИИ-моделей, включая GPT и Claude, без необходимости использования VPN, рассмотрите сервис AiTunnel. Он предоставляет единый интерфейс с оплатой в рублях и интеграцией через библиотеки OpenAI.