VMware ESXi -virtuaaliverkon suunnittelu käytännössä
Virtuaaliverkko näyttää käyttöliittymässä yksinkertaiselta: virtuaalikone valitaan, verkkosovitin liitetään porttiryhmään ja yhteyden odotetaan toimivan. Taustalla VMware ESXi yhdistää kuitenkin virtuaaliset verkkokortit, ohjelmallisen kytkimen ja palvelimen fyysiset verkkoliitännät yhdeksi liikennepoluksi. Hyvä suunnitelma tekee tästä polusta ymmärrettävän myös vikatilanteessa.
Tavoitteena ei ole luoda mahdollisimman monta kytkintä ja VLANia, vaan erottaa erilaiset liikennelajit tarkoituksenmukaisesti. Hallinta, virtuaalikoneiden tuotantoliikenne, tallennus, vMotion ja mahdollinen klusteriliikenne tarvitsevat eri suojaus- ja kapasiteettipäätökset. Pienessä laboratoriossa osa niistä voi jakaa fyysisen linkin, mutta looginen erottelu on silti dokumentoitava.
VMware ESXi -verkon perusrakenne
Standard vSwitch on yksittäisen ESXi-isännän ohjelmallinen kytkin. Sen portteihin liitetään virtuaalikoneiden porttiryhmiä ja VMkernel-portteja. Fyysinen verkkokortti, jonka nimi näkyy yleensä muodossa vmnic0 tai vmnic1, toimii uplinkinä fyysiseen kytkimeen. Jos vSwitchillä ei ole uplinkiä, siihen liitetyt virtuaalikoneet voivat keskustella keskenään samalla isännällä, mutta liikenne ei poistu palvelimesta.
Porttiryhmä kokoaa joukon yhteisiä asetuksia. Virtuaalikoneelle valitaan nimetty porttiryhmä, kuten Tuotanto, Testi tai Varmuuskopiointi. Selkeä nimi kertoo tarkoituksen, ei vain VLAN-numeroa. VMkernel-portti puolestaan antaa itse ESXi-isännälle IP-yhteyden esimerkiksi hallintaan, vMotioniin, iSCSIin tai NFS:ään. Virtuaalikoneen porttiryhmä ja VMkernel-portti eivät siis ole sama asia.
VMware ESXi, porttiryhmät ja VLAN-tunnisteet
VLAN erottaa liikennettä samassa fyysisessä kytkinverkossa. Tavallisessa Virtual Switch Tagging -mallissa VLAN-tunniste määritetään ESXi-porttiryhmälle, ja fyysisen kytkimen portti kuljettaa vastaavat VLANit trunk-yhteytenä. Virtuaalikone ei yleensä lisää tunnistetta itse, vaan lähettää tavallisen Ethernet-kehyksen porttiryhmälle.
Määritä sekä fyysisen että virtuaalisen kytkimen puolet samalla muutossuunnitelmalla. Jos ESXi-porttiryhmä käyttää VLANia 120 mutta fyysisen kytkimen trunk ei salli sitä, yhteys katkeaa ilman näkyvää virhettä virtuaalikoneessa. Jos hallintaverkon VLAN vaihdetaan etänä ja kytkinpuoli on väärin, ylläpitäjä voi samalla menettää pääsyn isäntään. Siksi hallinnan muutos testataan huoltoikkunassa ja konsoliyhteys pidetään saatavilla.
VMware ESXi -hallintaverkon suojaaminen
ESXi Host Client, API-liikenne ja muut hallintapalvelut eivät kuulu avoimeen käyttäjäverkkoon. Hallinta sijoitetaan rajattuun verkkoon, johon pääsevät vain ylläpitäjien työasemat, hyppypalvelin tai valvotut automaatiopalvelut. Palomuurisäännöt määritetään vähimmän tarpeen mukaan, ja DNS sekä NTP sallitaan luotettuihin palveluihin.
Fyysinen erottelu on vahva vaihtoehto, mutta kahden verkkokortin palvelimessa kaikkea ei aina voida jakaa omiin liitäntöihin. Silloin VLANit, kytkimen pääsylistat ja harkittu NIC teaming pienentävät riskiä. VMware ESXi:n oman palomuurin asetuksia ei pidä avata yleisesti vianrajausta varten. Avaa vain tarvittava palvelu ja sulje tilapäinen käyttö heti työn jälkeen.
VMware ESXi -uplinkit ja NIC teaming
Kaksi uplinkiä voi tarjota vikasietoisuutta ja jakaa liikennettä, mutta ne eivät automaattisesti kaksinkertaista yhden virtuaalikoneen nopeutta. Standard vSwitch valitsee uplinkin määritetyn kuormanjakokäytännön perusteella. Yleinen lähtökohta on lähtevän virtuaaliportin tunnukseen perustuva valinta, joka ei vaadi fyysiseltä kytkimeltä linkkiaggregaatiota.
Active- ja standby-järjestys voidaan määrittää porttiryhmäkohtaisesti. Tallennusliikenne voi suosia yhtä fyysistä liitäntää ja hallinta toista, vaikka molemmat käyttävät samaa vSwitchiä. Vikatilanteessa standby-uplink ottaa liikenteen vastaan. Tarkista, että molempien fyysisten kytkinporttien VLAN-asetukset vastaavat toisiaan; muuten varalinkki näyttää terveeltä mutta liikenne katoaa failoverissa.
VMware ESXi -verkon kapasiteetti ja valvonta
Verkon suunnittelussa huomioidaan normaalin kuorman lisäksi varmistukset, virtuaalikoneiden siirrot ja palautukset. Suuri vMotion tai varmuuskopio voi täyttää linkin, vaikka tuotantoliikenne on tavallisesti vähäistä. Erota raskas taustaliikenne omaan VMkernel-porttiin ja tarvittaessa omiin uplinkeihin. Jumbokehykset voivat auttaa tietyissä tallennusverkoissa, mutta MTU:n on oltava yhtenäinen koko polulla.
Seuraa fyysisten verkkokorttien käyttöastetta, pudotettuja paketteja, virheitä ja linkin tilan vaihteluita. Virtuaalikoneen heikko suorituskyky ei aina tarkoita verkko-ongelmaa: syy voi olla levyviiveessä, CPU ready -ajassa tai vieraskäyttöjärjestelmässä. Kerää havainto samalta ajanjaksolta useasta kerroksesta ennen kuin vaihdat asetuksia.
VMware ESXi -verkon dokumentointi ja testaus
Dokumentoi vSwitch, porttiryhmä, VLAN, VMkernel-palvelu, uplink ja fyysinen kytkinportti samaan taulukkoon. Merkitse myös IP-aliverkko, oletusyhdyskäytävä, MTU ja vastuuhenkilö. Ajantasainen kartta nopeuttaa sekä ylläpitoa että palautumista tilanteessa, jossa isäntä joudutaan rakentamaan uudelleen.
Testaa suunnitelma vaiheittain: varmista ensin hallinta, sitten nimipalvelu ja aikapalvelu, lopuksi virtuaalikoneiden sekä tallennuksen liikenne. Kokeile hallitusti myös yhden uplinkin irtoamista. Jos vasta tutustut alustan versioihin, VMware ESXi 8 -yleiskatsaus etusivulla auttaa sijoittamaan verkkosuunnittelun osaksi koko isännän valmistelua.
Yhteenveto VMware ESXi -virtuaaliverkosta
Toimiva ESXi-verkko on nimetty, eroteltu, valvottu ja testattu. vSwitch yhdistää virtuaaliset portit, porttiryhmä määrittää yhteiset asetukset, VMkernel palvelee isäntää ja uplink vie liikenteen fyysiseen verkkoon. Kun molemmat kytkinpuolet dokumentoidaan yhdessä, vianrajaus muuttuu arvailusta hallituksi prosessiksi.