[Документация Yandex Cloud](../../index.md) > [Обзор платформы](../index.md) > Платформа Yandex Cloud > Устройство сети # Устройство сети в Yandex Cloud Сеть в Yandex Cloud можно условно разделить на две большие части: * [Физическая сеть](#underlay) — это аппаратная сеть внутри [центров обработки данных (ЦОД)](geo-scope.md) и в местах подключения к внешним сетям и интернету. Физическую сеть часто называют термином *Underlay*. * [Виртуальная сеть](#overlay) — работает поверх физической сетевой инфраструктуры. Сервисы виртуальной сети [Virtual Private Cloud (VPC)](../../vpc/concepts/index.md) предоставляют пользователю: * IP-связность между облачными ресурсами. * Доступ облачных ресурсов к интернету. Виртуальную сеть часто называют термином *Overlay*. В одном [каталоге ресурсов](../../resource-manager/concepts/resources-hierarchy.md#folder) может быть создана одна или несколько [виртуальных сетей](../../vpc/concepts/network.md). Виртуальные сети изолированы друг от друга, даже если они находятся в одном каталоге ресурсов. Ниже приведено краткое описание устройства [физической сети](#underlay) и [виртуальной сети](#overlay) в Yandex Cloud. Больше информации об устройстве сети можно найти в разделе [дополнительные материалы](#refs). ## Физическая сеть в Yandex Cloud {#underlay} Транспортная сеть Yandex Cloud состоит из пакетной сети IP/MPLS. Она обеспечивает сетевой транспорт для работы всех сервисов Yandex Cloud. ## Виртуальная сеть в Yandex Cloud {#overlay} Виртуальная сеть в Yandex Cloud состоит из набора сетевых функций сервиса [Virtual Private Cloud](../../vpc/concepts/index.md) и предоставляет пользователям следующие возможности: * Организация сетевого взаимодействия между облачными ресурсами. * Организация сетевого взаимодействия между облачными ресурсами и интернетом. * Дополнительные сетевые функции по обработке трафика ([CloudGate](#cloudgate)). Виртуальная сеть в Yandex Cloud построена на основе избранных компонентов проекта OpenContrail, который потом был переименован в [Tungsten Fabric](https://github.com/tungstenfabric/opencontrails-docs). В архитектуре виртуальной сети Yandex Cloud можно выделить следующие основные компоненты: ### VRouter {#vrouter} *VRouter* — обработчик сетевого трафика. Работает на каждом физическом сервере Yandex Cloud. Выступает для всех объектов в подсети в виде шлюза по умолчанию (первый IP-адрес в подсети (`x.x.x.1`)). Обеспечивает обработку сетевого трафика всех виртуальных машин, работающих на сервере. Передача трафика (forwarding) осуществляется в соответствии с таблицей коммутации (flows table), записи в которой программируются с помощью другого компонента виртуальной сети — VRouter-agent. Для передачи трафика через [Underlay](#underlay) используется технология туннелирования трафика [MPLS over UDP](https://datatracker.ietf.org/doc/html/rfc7510). VRouter обеспечивает работу функции One-to-one NAT для [публичных IP-адресов](../../vpc/concepts/address.md#public-addresses) ВМ. VRouter обеспечивает работу [групп безопасности (SG)](../../vpc/concepts/security-groups.md) для всех виртуальных машин физического сервера, на котором он запущен. ### VRouter-agent {#vrouter-agent} VRouter-agent — вспомогательный компонент для обработки трафика. Работает совместно с VRouter и программирует таблицу коммутации сетевых потоков (flows) на сервере. Таблица коммутации определяет правила передачи трафика для того или иного IP-префикса. VRouter-agent обеспечивает ВМ на сервере работу следующих протоколов и функций: * [Сервис метаданных ВМ](../../compute/concepts/vm-metadata.md), доступный только внутри ВМ по IP-адресу `169.254.169.254`. * Cлужба DNS. Обрабатывает трафик DNS на втором IP-адресе в облачной подсети (`x.x.x.2`). * Протокол ICMP. ### CloudGate {#cloudgate} CloudGate — группы сервисных ВМ, которые обеспечивают IP-взаимодействие между физической и виртуальной сетями, а также предоставляют дополнительные сетевые функции: * [NAT-шлюз (NAT-GW)](../../vpc/concepts/gateways.md). * [Сетевой балансировщик нагрузки (NLB)](../../network-load-balancer/concepts/index.md). Каждая сетевая функция в составе компонента CloudGate работает на отдельной группе сервисных виртуальных машин внутри Yandex Cloud. {% note info %} Группы сервисных виртуальных машин для всех сетевых функций CloudGate развернуты в каждой [зоне доступности](geo-scope.md). На схеме выше для упрощения понимания представлено расположение элементов CloudGate в рамках одной зоны доступности. {% endnote %} ## Виды сетевого взаимодействия {#flows} #### Трафик между ВМ в одной зоне доступности {#between-vm-in-one-az} Трафик от ВМ `VM-A1` до ВМ `VM-A2` в зоне доступности A будет передаваться по пути: 1. `VM-A1` → `VRouter на Server-A1`. 1. `Server-A1` → `Server-A2` (внутри зоны доступности A). 1. `VRouter на Server-A2` → `VM-A2`. #### Трафик от ВМ в интернет через NAT-шлюз {#from-vm-to-internet-via-nat-gateway} Трафик от ВМ `VM-A1` в Интернет через NAT-шлюз будет передаваться по пути: 1. `VM-A1` → `VRouter на Server-A1`. 1. `Server-A1` → функция `NAT-GW` компонента CloudGate (по внутренней сети зоны доступности A). 1. `NAT-GW` → граничное сетевое оборудование зоны доступности A. 1. Граничное сетевое оборудование в зоне доступности A → сетевое оборудования на точке присутствия, где организовано подключение к внешним сетям и интернету. ## Ограничения {#limits} 1. Сейчас для организации сетевой связности в виртуальной сети Yandex Cloud можно использовать только протокол IPv4. Протокол IPv6 не поддерживается. 1. Виртуальная сеть в Yandex Cloud работает на третьем уровне модели OSI (L3), поэтому работа сетевых технологий второго уровня модели OSI (L2) сильно ограничена: 1. Ответы на ARP-запросы от VRouter (шлюза по умолчанию) всегда будут приходить от одного и того же фиксированного MAC-адреса. 1. Для сетевого взаимодействия используется только `Unicast` транспорт, `Multicast` транспорт не поддерживается. 1. Сетевые протоколы, которые требуют использования одного виртуального IP-адреса (VIP) между ВМ, такие как, HSRP, VRRP, GLBP и подобные не поддерживаются. ## Примеры использования {#examples} * [Архитектура и защита базового интернет-сервиса](../../vpc/tutorials/web-service.md) * [Маршрутизация через NAT-инстанс](../../vpc/tutorials/nat-instance/index.md) * [Настройки DHCP для работы с корпоративным DNS-сервером](../../vpc/tutorials/dhcp-options.md) * [Организация доступа через Cloud Interconnect к облачным сетям, размещенным за NGFW](../../vpc/tutorials/cic-with-ngfw.md)