本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# SAP 利用重叠 IP 地址路由实现 AWS 高可用性
本指南向 SAP 客户和合作伙伴，说明如何设置使用 Amazon Web Services 上的重叠 IP 地址的高可用性 SAP 架构。本指南包括两种配置方法：
+ AWS Transit Gateway 充当中心枢纽，便于网络连接到叠加 IP 地址。
+ Elastic Load Balancing，其中 Network Load Balancer 使网络可访问 Overlay 网络 IP 地址。
本指南面向之前已有安装和操作高可用性 SAP 环境和系统经验的用户。
**Topics**
+ [SAP 关于 AWS 高可用性设置](sap-oip-sap-on-aws-high-availability-setup.md)
+ [使用 Tr AWS ansit Gateway 进行覆盖 IP](sap-oip-overlay-ip-routing-using-aws-transit-gateway.md)
+ [使用 Network Load Balancer 的 Overlay 网络 IP 路由](sap-oip-overlay-ip-routing-with-network-load-balancer.md)
# SAP 关于 AWS 高可用性设置
SAP 客户可以根据操作系统和数据库在 AWS 云中构建可靠、容错且高度可用的系统，从而充分实现运行任务关键型 SAP 工作负载的好处。 AWS 允许在一个 AWS 区域内使用多个可用区，为 SAP 应用程序提供弹性。
作为 SAP 实施的一部分，您需要创建亚马逊虚拟私有云（Amazon VPC），以便在逻辑上将网络与 AWS 云中的其他虚拟网络隔离开来。然后，您可以使用 AWS 网络路由功能将流量引导到 VPC 中不同子网内 VPCs 或子网之间的任何实例。Amazon VPC 设置包括为你的 SAP ASCS/ERS 分配[子网](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Subnets.html) NetWeaver 和 SAP HANA 数据库的 primary/secondary 节点。这些已配置的子网都具有来自完全驻留在一个可用区内的 VPC 的无类域间路由 (CIDR) IP 分配。在故障转移情况下，此 CIDR IP 分配不能跨多个区域，也不能重新分配给不同可用区中的辅助实例。
因此， AWS 允许您在 VPC CIDR 块之外配置叠加 IP (OIP) 以访问活动的 SAP 实例。通过 IP 叠加路由，您可以允许 AWS 网络使用位于 VPC CIDR 范围之外的非重叠[RFC1918](https://tools.ietf.org/html/rfc1918)私有 IP 地址，并通过更改中的路由条目，将 SAP 流量引导到 VPC 内跨可用区设置的任何实例。 AWS
受集群解决方案（例如 S [USE Linux 企业服务器高可用性扩展 (SLES HAE)、RedHat 企业 Linux](https://documentation.suse.com/sbp/all/html/SAP_HA740_SetupGuide_AWS/index.html) [HA 附加组件](https://access.redhat.com/articles/4175371) (RHEL HA) 或 S [IOS）保护的 SAP HANA 数据库或 S](https://us.sios.com/solutions/cloud-high-availability/aws/sap/) AP NetWeaver 应用程序使用分配的覆盖 IP 地址来确保 HA 集群在故障转移情况下仍然可以访问。由于叠加 IP 地址使用超出 VPC CIDR 范围和[虚拟专用网关](https://docs.aws.amazon.com/vpc/latest/adminguide/Introduction.html)连接的 IP 地址范围，因此您可以使用AWS Transit Gatewa [y](https://docs.aws.amazon.com/vpc/latest/tgw/what-is-transit-gateway.html) 作为中心枢纽，通过 AWS 直接连接或 C AWS lient VPN，从多个位置（包括亚马逊 VPCs、其他 AWS 区域）和本地（包括亚马逊、其他地区）和本地，促进网络连接。
如果您没有将 T AWS ransit Gateway 设置为网络交通枢纽，或者如果您的[首选 AWS 区域](https://aws.amazon.com/transit-gateway/faqs/)没有 Tr AWS ansit Gateway，则可以使用[网络负载均衡器](https://docs.aws.amazon.com/elasticloadbalancing/latest/network/introduction.html)来启用对 OIP 的网络访问。
# 使用 Tr AWS ansit Gateway 进行覆盖 IP
借助中转网关，您可以使用路由表规则，这些规则使 Overlay 网络 IP 地址可以与 SAP 实例通信，而无需配置任何其他组件，如 Network Load Balancer 或 Amazon Route 53。您可以从另一个 VPC、另一个子网（不共享同一路由表，其中维护重叠的 IP 地址）、VPN 连接或通过公司网络的 Di AWS rect Connect 连接连接到重叠的 IP。
**注意：**如果您不使用 Amazon Route 53 或 T AWS ransit Gateway，请参阅使用[网络负载均衡器的叠加 IP 路由](sap-oip-overlay-ip-routing-with-network-load-balancer.md)部分。
## 架构
AWS Transit Gateway 充当枢纽，控制流量在所有连接的网络之间如何路由，这些网络就像辐条一样。您的中转网关使用[中转网关路由表](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-route-tables.html)在源附件和目标附件之间路由数据包。您可以将这些路由表配置为传播所连接的 VPC 和 VPN 连接的路由表中的路由。您还可以将静态路由添加到中转网关路由表中。您可以在中转网关路由表中添加 Overlay 网络 IP 地址或地址 CIDR 范围作为静态路由，目标作为运行 SAP 集群的 EC2 实例的 VPC。这样，所有指向 Overlay 网络 IP 地址的网络流量都路由到此 VPC。下图显示的这个场景使用来自不同 VPC 和企业网络的连接。
**图 1：使用 T AWS ransit Gateway 设置叠加 IP 地址**
![\[使用 Transit Gateway 的重叠 IP 地址设置\]](http://docs.aws.amazon.com/zh_cn/sap/latest/sap-hana/images/ha-overlay-ip-image1.png)
*T AWS ransit Gateway 的定价*：
AWS Transit Gateway 的[定价](https://aws.amazon.com/transit-gateway/pricing/)基于每小时与 Transit Gateway 建立的连接数量以及流经 AWS 公交网关的流量。有关更多信息，请参阅 [AWS Transit Gateway 服务水平协议](https://aws.amazon.com/transit-gateway/sla/)。
# T AWS ransit Gateway 的配置步骤
本节包括理解此方案的 Overlay 网络 IP 地址配置所需的简要步骤。有关 T [AWS ransit Gateway 配置的详细步骤，请参阅 T AWS ransit Gateway 文档](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-getting-started.html)。
## 步骤 1：设置中转网关架构
1. 在部署了 SAP 实例的 AWS 区域的 AWS 账户中创建 Transit Gateway。有关详细步骤，请参阅[中转网关入门](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-getting-started.html)。
1. 将 SAP 实例的部署 VPCs 位置（以及任何其他 VPCs 需要的实例）连接到 Transit Gateway。有关详细步骤，请参阅 [VPC 的中转网关连接](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-vpc-attachments.html)。
**注意：**对于连接，请仅选择运行 SAP 实例并配置了集群和 Overlay 网络 IP 的子网。在下图中，为中转网关连接选择了 SAP 实例的私有子网。
**图 2：将 Transit Gateway 连接到私有子网**
![\[将 Transit Gateway 连接到私有子网\]](http://docs.aws.amazon.com/zh_cn/sap/latest/sap-hana/images/ha-overlay-ip-image2.png)
1. 根据您的连接，执行下列操作之一：
+ **VPN 连接**。将 VPN 连接到这个中转网关。有关详细步骤，请参阅[中转网关 VPN 连接](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-vpn-attachments.html)。
创建 site-to-site VPN 连接时，需要为叠加 IP 地址指定静态路由。有关详细步骤，请参阅 [VPN 路由选项](https://docs.aws.amazon.com/vpn/latest/s2svpn/VPNRoutingTypes.html)。
+ ** AWS Direct Connect**。将 Direct Connect 网关连接到这个中转网关。首先，将 Direct Connect 网关与中转网关关联。然后，为与 Direct Connect 网关的 AWS Direct Connect 连接创建中转虚拟接口。在这里，您可以将前缀从本地广告到本地 AWS 以及从 AWS 本地广告到本地。有关详细步骤，请参阅[将中转网关连接到 Direct Connect 网关](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-dcg-attachments.html)。
当您将中转网关与 Direct Connect 网关关联时，您可以指定前缀列表，以便将 Overlay 网络 IP 地址通告到本地环境。有关详细步骤，请参阅[允许的前缀交互](https://docs.aws.amazon.com/directconnect/latest/UserGuide/allowed-to-prefixes.html)。
**注意：**建议为业务关键型工作负载使用 AWS Direct Connect。要了解网络级别[的弹性，请参阅 Di AWS rect Connec](https://docs.aws.amazon.com/directconnect/latest/UserGuide/disaster-recovery-resiliency.html) t 中的弹性。
## 步骤 2：为 AWS 公司网络配置路由
下表列出了示例配置中使用的 IP 地址。请确保为您的实施使用有效的私有 IP 地址。
| 说明 | IP Range/IP 地址 |
| --- | --- |
| 生产 SAP 系统的 VPC CIDR （带有使用 Overlay 网络 IP 运行的高可用性集群） | 10.0.0.0/16 |
| 非生产 SAP 系统的 VPC CIDR （此 VPC 中的实例使用 Tr AWS ansit Gateway 访问生产集群叠加层 IP） | 192.168.1.0/24 |
| 企业网络 CIDR （在 Tr AWS ansit Gateway 的公司网络之间配置 Site-to-Site VPN） | 192.168.2.0/24 |
| Overlay 网络 IP 地址 CIDR | 172.16.1.0/26 |
| 客户网关 IP 地址 | 34.216.94.150/32 |
**注意**
如果您使用的是 [AWS 客户端 VPN](https://docs.aws.amazon.com/vpn/latest/clientvpn-admin/what-is.html)，则无需配置 Transit Gateway。您可以在路由表中为 Overlay 网络 IP 地址创建额外的条目。将流量路由到配置了 Overlay 网络 IP 地址的生产 SAP 系统 VPC 的子网。
创建至 VPC 的中转网关连接时，在默认的中转网关路由表中创建传播路由。在图 3 中，第一个和第二个条目显示了通过 VPC 连接为 SAP 生产和非生产系统运行的 VPCs 位置自动创建的传播路由。
1. 要将流量从 T AWS ransit Gateway 路由到叠加 IP 地址，请在 Transit **Gateway 路由表**中创建静态路由，将叠加 IP 地址路由到配置了叠加 IP 地址的生产 SAP 系统的 VPC。在图 3 中，第三个条目显示为重叠 IP 范围创建的静态路由已挂载。此路由的目标是 SAP 生产 VPC。
**图 3：Transit Gateway 路由表：重叠 IP 静态路由，以生产 SAP 系统的 VPC 为目标**
![\[Transit Gateway 路由表：重叠 IP 静态路由，以生产 SAP 系统的 VPC 为目标\]](http://docs.aws.amazon.com/zh_cn/sap/latest/sap-hana/images/ha-overlay-ip-image3.png)
1. 要将来自运行 SAP 实例的 VPCs 位置的传出流量路由到另一个 VPC 的私有 IP 地址，SAP 实例正在运行，连接到同一 Transit Gateway，请在**与这些 VPC 子网关联的路由表**中创建条目。这些路线的目标是 Tr AWS ansit Gateway。在以下生产 SAP 系统的 VPC 路由表示例中，非生产 SAP VPC（第三个条目）和公司网络（第四个条目）被路由到中转网关。
**图 4：生产 SAP 系统的 VPC 路由表：路由到 T AWS ransit Gateway 的生产 SAP 系统和企业网络的 VPC**
![\[生产 SAP 系统的 VPC 路由表：生产 SAP 系统的 VPC 和企业网络路由到 Transit Gateway\]](http://docs.aws.amazon.com/zh_cn/sap/latest/sap-hana/images/ha-overlay-ip-image4.png)
1. 在非生产 SAP 系统的 VPC 中，要从 Overlay 网络 IP 地址路由传出流量，请在路由表中创建条目，以中转网关作为目标。在以下非生产 SAP 系统的 VPC 路由表示例中，目的地是 Overlay 网络 IP 范围，目标是中转网关。
**图 5：非生产 SAP 系统路由表的 VPC：来自叠加 IP 地址的传出流量路由到 Transit Gateway**
![\[非生产 SAP 系统的 VPC 路由表：来自重叠 IP 地址的传出流量路由到 Transit Gateway\]](http://docs.aws.amazon.com/zh_cn/sap/latest/sap-hana/images/ha-overlay-ip-image5.png)
1. 配置从企业设备到 Amazon VPC IP 地址的路由。
## 步骤 3：禁用支 source/destination 票
默认情况下，每个 Amazon EC2 都会执行 source/destination 检查。这意味着实例必须为其发送或接收的数据流的源头或目标。对于集群实例，必须禁用本应接收来自叠加 IP 地址的流量的两个 Amazon EC2 实例的 source/destination 检查。您可以使用 [AWS CLI](https://aws.amazon.com/cli/) 或[AWS 管理控制台](https://aws.amazon.com/console/)禁用 source/destination 检查。有关详细信息，请参阅 [ec2 modify-instance-attribute](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/ec2/modify-instance-attribute.html)。
## 步骤 4：测试配置
设置完成后，执行连接测试，方法是确保可以通过 Overlay 网络 IP 地址访问 SAP 系统。使用此配置，您可以像 VPC 的任何私有 IP 地址一样从其他网络 VPCs 和您的公司网络访问叠加 IP 地址。使用 T AWS ransit Gateway 方法，无需其他组件即可进行通信，例如 Amazon Route 53 代理或网络负载均衡器。
## 步骤 5。更新重叠 IP 地址。
步骤 4：成功测试网络连接后，在 SAP 图形用户界面 (GUI) 系统条目属性以及其他用于连接的 SAP 连接属性的消息服务器参数中，更新生产或非生产 SAP 系统的 Overlay 网络 IP 地址。您可以使用企业 DNS 或 Amazon Route 53 为 Overlay 网络 IP 创建方便用户使用的 CNAME。
# 使用 Network Load Balancer 的 Overlay 网络 IP 路由
如果您不使用 Amazon Route 53 或 T AWS ransit Gateway，则可以使用[网络负载均衡器](https://docs.aws.amazon.com/elasticloadbalancing/latest/network/introduction.html)从外部访问叠加 IP 地址。Network Load Balancer 在开放系统互连 (OSI) 模型的第四层运行。它每秒可以处理数百万个请求。负载均衡器收到连接请求后，它会从 Network Load Balancer 目标组中选择一个目标，将网络连接请求路由到目标地址，可以是 Overlay 网络 IP 地址。
## 架构
下图显示了来自 VPC 外部的 ASCS 或 SAP HANA Overlay 网络 IP 的网络访问流。
**图 6：使用叠加 IP 和 Elastic Load Balancer 实现的 SAP 高可用性**
![\[具有重叠 IP 和弹性负载均衡器的 SAP 高可用性实例\]](http://docs.aws.amazon.com/zh_cn/sap/latest/sap-hana/images/ha-overlay-ip-image6.png)
*网络负载均衡器的定价*：
使用 Network Load Balancer，您只需按实际使用量付费。有关更多信息，请参阅[弹性负载均衡定价](https://aws.amazon.com/elasticloadbalancing/pricing/)。
# Network Load Balancer 的配置步骤
按照以下说明设置 Network Load Balancer 以访问 Overlay 网络 IP 地址。以下值用于示例配置。
**表 1：系统设置**
| 系统设置 | 值 |
| --- | --- |
| ASCS 和 SAP HANA 的实例编号 | 00 |
| OIP for ASCS | 192.168.0.20 |
| OIP for HANA | 192.168.1.99 |
**表 2：监听器端口值**
| 侦听器端口 | 值 |
| --- | --- |
| ASCS 消息服务器端口 | 36<实例编号> (3600) |
| SAP HANA | SAP HANA Studio 服务连接（需要登录）[SAP Note 1592925](https://me.sap.com/notes/1592925) |
| SAPStartsrv/HTTP 端口 | 5<实例编号>13 (50013) |
| JDBC/SQL 端口 | 3<实例编号>15 (30015) |
## 步骤 1：创建目标组
1. 打开 Amazon EC2 控制台，网址为 https://console.aws.amazon.com/ec2/
1. 在导航窗格上的 **LOAD BALANCING (负载均衡)** 下，选择 **Target Groups (目标组)**。
1. 选择 Create target group (创建目标组)。
1. 对于**名称**，键入 sap-ascs 实例易于识别的目标组名称。（例如，为您的 ASCS Overlay 网络 IP 地址键入 sap-ascs）。
1. 对于**目标类型**，选择 **IP**。
1. 对于**协议**，选择 **TCP**。
1. 对于**端口**，请键入 36 。例如：3600，其中 00 是实例编号。
1. 对于**运行状况检查**，请保留默认运行状况检查设置，或根据您的要求更改设置。
1. 选择**创建**。
1. 重复步骤 1 到 9，为 JDBC/SQL 端口 3 15 和 SAP HANA HTTP 端口 5 13 创建目标组，以便使用相应的叠加 IP 地址访问您的 SAP HANA 实例。
1. 选择**目标**选项卡，然后选择**编辑**。
1. 选择**添加**以注册您的目标。
1. 选择**网络**下拉菜单，然后选择**其他私有 IP 地址**。然后，输入 ASCS Overlay 网络 IP 地址，然后选择**添加到列表**。
1. 重复步骤 11 到 13，使用相应的重叠 IP 地址注册 JDBC/SQL 和 HTTP 端口。
## 步骤 2：为 ASCS 创建网络负载均衡器。
1. 在 EC2 导航窗格上的**负载均衡**下，选择**负载均衡器**。
1. 选择 Create Load Balancer（创建负载均衡器）。
1. 对于 Network Load Balancer，请选择 Create（创建）。
1. 对于 **Name**，键入负载均衡器的名称。例如 sap-ha-nlb。
1. 对于**方案**，选择**内部**。内部负载均衡器使用私有 IP 地址将请求路由到目标。
1. 对于**侦听器**，在“协议”下，选择 **TCP**。对于**端口**，请指定 ASCS 端口 36< SAP 实例编号>。例如，如果 SAP 实例编号为 00，则使用 3600。
1. 对于**可用区**，选择已部署 SAP 实例（具有高可用性设置）的 VPC 和子网。
1. 对于**标签**，选择**添加标签**，对于“键”，键入“名称”。在 Value 中，键入网络负载均衡器的名称，例如 sap-ha-nlb。
1. 选择下一步：配置安全设置。
1. 忽略显示的警告，然后选择**下一步：配置路由**。（在这种情况下，网络负载均衡器用作直通，而不终止任何 SSL。 要进行 end-to-end加密，请使用从 SAP GUI 到 SAP 实例的 SNC。）
1. 对于**目标组**，选择**现有目标组**，然后选择先前创建的 **sap-ascs** 目标组。
1. 选择**下一步：注册目标**。
1. 选择**下一步：审核**。
1. 选择**创建**。
1. 重复步骤 1 到 14，为端口 3 15 创建另一个 SAP HANA 网络负载均衡器设置，将网络负载均衡器 TCP 协议侦听器设置为 JDBC/SQL 端口 3 15。选择 VPC 以及部署主 SAP HANA 数据库和辅助 SAP HANA 数据库的子网，然后注册 JDBC/SQL 目标组。
1. 向步骤 14 中创建的带有 SAP StartSrv/HTTP 端口 5 13 侦听器端口的 Network Load Balancer 中添加其他侦听器，并注册目标 StartSrv/HTTP 端口目标组。
## 步骤 3：设置 VPC 路由表
此步骤启用与 SAP 实例的连接。
1. 打开 Amazon VPC 控制台，网址为 https://console.aws.amazon.com/vpc/
1. 在导航窗格中，选择**路由表**，然后选择部署 SAP 实例的 Amazon VPC 路由表。
1. 依次选择 **Actions**（操作）、**Edit routes**（编辑路由）。
1. 对于**目的地**，请指定 Overlay 网络 IP 地址。对于**目标**，请指定 SAP 实例弹性网络接口。
1. 选择 Save routes（保存路由）。
此设置允许静态 Network Load Balancer DNS 通过静态 Overlay 网络 IP 地址将流量转发到 SAP 实例网络接口。在失效转移方案中，您可以使用手动步骤或使用集群管理软件自动地指向活动 SAP 实例的弹性网络接口。
## 步骤 4：使用 SAP GUI 进行连接
1. 在 EC2 控制台的**负载均衡器**部分，记下的 Network Load Balancer Network DNS 名称。 sap-ha-nlb
**图 7： sap-ha-nlbDNS 名称**
![\[sap-ha-nlb DNS 名称\]](http://docs.aws.amazon.com/zh_cn/sap/latest/sap-hana/images/ha-overlay-ip-image7.png)
1. 启动 SAP 登录。
1. 依次选择**新建**和**下一步**。
1. 在 “系统条目属性” 框中，对于 “连接类型”，选择 “ Group/Server 选择”。
1. 对于**消息服务器**，键入 Network Load Balancer DNS 名称，然后选择**确定**。
**图 8：为 SAP GUI 配置系统连接参数**
![\[为 SAP GUI 配置系统连接参数\]](http://docs.aws.amazon.com/zh_cn/sap/latest/sap-hana/images/ha-overlay-ip-image8.png)
## 步骤 5。使用 SAP HANA Studio 进行连接
1. 在 EC2 控制台的**负载均衡**器部分，记下 JBDC/SQL 和 SAPStartSrv/HTTP 端口的 Network Load Balancer DNS 名称。
**图 9：端口的 DNS 名称**
![\[端口的 DNS 名称\]](http://docs.aws.amazon.com/zh_cn/sap/latest/sap-hana/images/ha-overlay-ip-image9.png)
1. 在 SAP HANA Studio 的主机名参数中，使用 Network Load Balancer DNS 名称并提供其他凭证以连接到 SAP HANA 系统。
**图 10：SAP HANA Studio 中更新的主机名**
![\[在 SAP HANA Studio 中更新主机名\]](http://docs.aws.amazon.com/zh_cn/sap/latest/sap-hana/images/ha-overlay-ip-image10.png)
# 其他实施说明
+ 如果 VPC 外的其他应用程序需要通过 ASCS 连接到 SAP 系统，请创建额外的侦听器，端口设置为这些应用程序通信的端口。
+ 对于使用 SAP 网关服务 (GW) 并为此服务设计了高可用性的客户，请也为 GW 服务创建一个目标组 (33<实例编号>)。将 GW 目标组的运行状况检查端口指向消息服务器端口 (36<实例编号>)。
+ 您可以使用企业 DNS 或 Amazon Route 53 公共数据面板，为网络负载均衡器 DNS 名称创建方便用户使用的 CNAME。如果使用别名连接到本地 SAP GUI，则可以将别名创建为 Network Load Balancer DNS 名称的 CNAME。使用这种方法，配置迁移到 AWS之后无需在 SAP GUI 中进行更改。如果其他系统（例如需要反向查找才能正常运行的 SAP Landscape Management）正在连接到高可用性系统，请使用 A 和 PTR 记录来代替 CNAME。