VMware虚拟交换机配置说明和建议

1、VMware 虚拟交换机配置说明和建议在ESX中实施的虚拟交换机，其运行方式与现代以太网交换机的方式大致相同。 与物理交换机类似，虚拟交换机也有一个 MAC:端口转发表。当该转发表到达并转 发至一个或多个传输端口时，它将查找每个帧的目标MAC地址。虚拟交换机提供标准的VLAN分段，且可以配置这些分段。但是，与物理交换机不同，ESX可为这些配置信息提供虚拟以太网适配器的直接通道，作为权威的MAC过滤器更新程序。因此，不必获得单播地址，也不必执行IGMP侦测即可获得多播组成员身份。此外，VMware Infrastructure强制采用单层网络拓扑，这种拓扑结构不支持多个虚 拟交换机互连。由于以太

2、网循环不是问题，因此不需要生成树协议。甲堆拟兖换机主机1端组物王里以太网适配器物理交换机主机？虚拟廟ii在虚拟网络配置中，深入复杂的配置包括“配置 VLAN二层安全性、通信量 调整和网卡捆绑负载平衡等网络策略， 以及故障切换策略”，其中涵盖了物理网卡跨 网段、虚拟网络经过防火墙、网络通道冗余连接等内容。VLAN，它允许虚拟网络加入物理 VLAN或支持QOS策略* 二层安全性选项，它可通过控制混杂模式、更改 MAC地址和伪传输来强制执 行虚拟网卡在虚拟机中可执行的操作。* 通信量调整可定义平均带宽、峰值带宽以及网络流量激增大小。可以对以上策 略进行设置，从而加强通信量管理。* 网卡捆绑，它可为单

3、个端口组或网络设置网卡捆绑策略，以便共享通信量负载 或在硬件出现故障时提供故障切换。要配置策略，从vSwitch Properties （虚拟交换机属性）对话框中，选择要应用策 略的虚拟交换机或端口组，然后单击Edit （编辑）。VI Clie nt为以上四种策略分别提供了一个选项卡。首先是VLAN的配置VLAN的优点：可灵活地进行网络分区和配置可提高性能可节约成本2. Vian设置VLAN可对站点或交换机端口进行逻辑分组，支持所有站点或端口都像在同一物理 LAN分段上那样进行通信。这包括实际上位于不同桥接LAN中的站点或端口VLAN 105VLAN 106A日GDEinw主机1虚拟物理要支持

4、VMware Infrastructure用户的VLAN,虚拟网络或物理网络上的某个元素必 须使用 标记来标记以太网帧。IEEE标记可在交换机之间、甚至 WAN之间扩展 VLANo要在交换机之间扩展 VLAN,中继链路必须与交换机互连。中继端口中的帧是采用IEEE格式封装的。除了在源MAC地址和目标 MAC地址 之后额外插入4个字节以外，这些帧与普通的以太网帧非常相似。在4字节的 标记中，前2个字节表示下面的帧是 帧，后2个字节表示 VLAN 标记（3位表示位的优先级、1位表示规范格式标识、最后 12位表示VLAN IDo 系统将保留VLAN ID 0日标諒惊记諒本地元素，以太M共田粪型VLA

5、N标记配青列啷女换机标记虐拟立換机标记虛拟唇户机标记VMware Infrastructure 支持配置 3 种 VLAN 标记:* 外部交换机标记* 虚拟交换机标记* 虚拟机客户机标记A：外部交换机标记 External Switch tagging （EST模式）:云部交换机标记（EST模式）云输理空换机标记和芾帧耒标逗的以孟園帧未标记的以忑网唬nwiffAaan ii rib his si ngnn WCcerrelVUAN 中Uffizi 0/1愷用 VLAN ID 10$ /LATJ 中地幄 口 08便用 VLAN ID 106 标 iF.&QliE外部交换机标记的运行方式与物理网络

6、类似。 数据包到达交换机端口时被附上标记， 离开交换机端口并传输至服务器时清除标记。通常， VLAN配置对每台物理服务器 来说都是透明的。这种方法有一个缺点，即：如果使用基于端口的VLAN标记（这在企业 VLAN部署中十分常见），那么它所支持的虚拟 LAN总数将受指定ESX系统中安装的网卡 数量的限制。外部交换机标记要求像设置任何物理服务器一样设置VLAN配置。无需在ESX主机中进行任何配置，即可使用外部交换机标记。当端口组的VLAN ID 设置为0或未设置任何值时，将启用外部交换机标记。（如下图）B：虚拟交换机标记 Virtual Switch taggi ng （VST 模式）:虚拟交换机

7、标记（VST）虔拟交换机际记和苇帧Vfeb来标记的VLAM 申雌懦口 时 一 S/LAM 申址端口加皋标记的 限丈网帧打和HA3A#使用 VLAN ID 106帧使用 VLAN ID 105 标卫囱赋BC/106QiHnnn99BHIHIH H B HIL |虚拟交换机标记是最常见的配置。在此模式中，可以在虚拟交换机上为每个VLAN置备一个端口组，然后将虚拟机的虚拟适配器连接到端口组，而不是直接连接到虚 拟交换机。虚拟交换机的端口组可标记所有的出站帧并删除所有入站帧的标记。此 外，它还可以确保VLAN之间不会相互泄露帧。ESX的虚拟交换机标记具有以下优点：不同的VLAN帧可以复合至一个物理网卡

8、中，因此可以将任何VLAN的所有通信量都整合到一个物理网卡中。无需为多个VLAN配备多个网卡。由于所有的高速网卡都支持 VLAN加速，因此在虚拟交换机中支持 VLAN标记几 乎不会影响性能。并且，设置适当的虚拟中继模式之后，再置备其他VLAN时无需配置其他交换机外部交换机配置变得非常容易。要使用虚拟交换机标记，必须创建适当的端口组，并将端口组的 VLAN ID设置为1 至4094之间的任何数字（包括 1和4094）。端口组的值，在虚拟机中必须具有 唯一性。如下图：C:虚拟客户机标记 Virtual Machi ne Guest taggi ng （VGT 模式）:我们还可以选择在虚拟机内安装V

9、LAN中继驱动程序。当帧传出或传入虚拟交换机时，会在虚拟机网络堆栈与外部交换机之间保留标记。便用 VLAN ID IOS粘乙和帧wb iitnKJS3便用 VLAN ID 106上记的幀VLAN Pit! NllVini*uMwa垢匚aiVUSN中泄端口 0用虚拟客户机标i己（VGT模式）客户操什系统标记和苇帧中 的802 1Q中绘駆动程序ABHflB回回 /Mkerrel虚拟客户机标记的优点如下：每个虚拟机的 VLAN数量不受虚拟适配器数量的限制， 这意味着虚拟机可以位于网 络中任何数量的 VLAN上。因此，如果单个虚拟机必须位于网络中 5个或更多不 同的VLAN上，则必须使用此标记方法。并

10、且，如果物理服务器已在运行VLAN驱动程序，则可以轻松使用VMwareCon verter或引导式整合功能来转换服务器，而无需重新配置现有 VLAN标记。新 虚拟机将自动继承物理机的所有 VLAN设置。虚拟客户机标记的缺点如下:并非始终可能、或始终可以轻松找到并配置客户操作系统的驱动程序。并且，如果没有 VLAN硬件加速，则将占用额外的 CPU循环来标记出站帧，并删 除入站帧标记。要配置虚拟客户机标记，请输入 4095作为端口组的VLAN ID。然后，可以在虚拟 机内运行 VLAN中继驱动程序。 VMware没有附带vmxnet驱动程序。对于Windows客户机，该驱动程序仅可与 E1000虚

11、拟网卡一起使用。Linux客户机使 用dot1q模块。配置如下：D:对于虚拟交换机标记和虚拟客户机标记，必须将外部虚拟交换机端口配置为 VLAN中继端口，并将封装中继端口设置为。ESX不支持动态中继协议，因此请将中继端口配置为静态且无条件。fits VST和VGT物理交换机中堆配盖VLAN中维 饶口 n/8特物班交按机端口配章为中泄端口-302 lq精中细端匚配音為静想且无無件 手埶拒崖所有安中绻的VLAN曜制平必楚的/LANlD吻理玄揀机本地VLAN-用于交挾机控制和管理祈仪 VLAN 1 或遡免对常规通信便用本范VLAN 工如果地必硕.更戏特理丈按扔丄的水甩VLAM强制标记丼摊VLAN巾贞

12、则可捱还需蕩嘗改桐邻的交换机将端口设置为中继模式时，确保在ESX系统中配置的 VLAN已定义，并确保虚拟中继端口支持该 VLAN。默认行为因交换机和供应商的不同而有所不同。可能需要 在物理交换机中明确定义所有与 ESX 一起使用的VLANo对于每个VLAN的定义， 可以指定VLAN ID、名称、类型、MTU、安全性关联标识符、状态、环号码和桥接 标识号等。对于默认支持所有端口的交换机（例如，Cisco某些交换机的VLAN 1至 VLAN 1005均支持所有端口），可能无需任何操作。然而，要实现最佳安全实践并 显著减少处理多余数据包的时间， VMware建议根据需要限制 VLAN的数量。本地VL

13、AN用于交换机控制和管理协议。在许多类型的交换机中，本地VLAN帧未采用任何 VLAN ID进行标记。在这种情况下，中继端口自动将所有未标记的帧视 为本地 VLAN 帧。对于大多数 Cisco 交换机而言， VLAN 1 是其默认的本地 VLAN ID。然而，在许多企业网络中，本地 VLAN可能是VLAN 1或100。根据交换机类 型和运行的配置，它可以为任何数字。一种常见的最佳做法是，避免将本地 VLAN（通常是VLAN 1用于任何常规数据通 信。 VMware 建议不要将任何 ESX 虚拟交换机端口组的 VLAN ID 与本地 VLAN 关 联。另外，只要避免使用 VLAN端口组的本地 V

14、LAN,就无需在ESX系统中进行 本地 VLAN 的相关配置。如果必须将 VLAN 1 与端口组关联，并需要它传输虚拟机网络通信量，则必须完成 以下两项操作中的一项：确保VLAN 1不是物理交换机的本地 VLAN。可以将默认的本地 VLAN更改为另一 个 VLAN ID。或者，需要启用本地 VLAN 标记功能。有些交换机不支持该选项，而对于有些交 换机来说， 由于在默认情况下已启用本地 VLAN 中的标记， 因此根本无需启用该选 项。当采取上述任一步骤在某一外部交换机上更改本地 VLAN 行为时，还可能需要更改 所有相邻的交换机，使它们仍可以在本地 VLAN 中正常通信。2. 二层安全性控制

15、：在向虚拟交换机添加端口或端口组时， VI Client 需要为该端口配置安全配置文件。 使用此安全配置文件， 可以确保 ESX 阻止虚拟机的客户操作系统模拟网络中的其他计算机。ESX已实施此安全功能，这样负责模拟的客户操作系统将不会检测到已阻 止该模拟操作。正如我们刚才在此课程中提到的那样，创建适配器时，每个虚拟网络适配器都已分 配自己的 MAC 地址。这一地址称为 初始 MAC 地址。尽管可以从客户操作系统外 部重新配置初始 MAC 地址，但客户操作系统无法更改它。除了初始 MAC 地址以外，每个适配器还有一个 有效 MAC 地址，用于过滤掉那些MAC目标地址与有效MAC地址不符的传入数据

16、包。客户操作系统负责设置有效 MAC 地址，并通常使有效 MAC 地址与初始 MAC 地址相匹配。发送数据包时，操作系统通常将其自有网络适配器的有效 MAC 地址放在以太网帧 的源 MAC 地址字段中。 此外，它还将接收网络适配器的 MAC 地址放在目标 MAC 地址字段中。仅当数据包中的目标 MAC 地址与其自有有效 MAC 地址相匹配时， 接收适配器才会接受数据包。虚拟机的操作系统可随时更改有效 MAC 地址。如果操作系统已更改有效 MAC 地 址，则其网络适配器可接收发往新 MAC地址的网络通信量。另外，操作系统可随 时使用模拟的源 MAC地址来发送帧。这样，操作系统可通过模拟接收网络所

17、授权 的网络适配器，向网络中的设备发起恶意攻击。可以使用ESX主机上的虚拟交换机安全配置文件，来防止操作系统更改有效 MAC 地址所引发的问题。如下图：1 Praduction PrapertiesGeneralSecurityTraffic Shoping MIC TearningPolicy ExceptionsPromiscuous Mede:R ejectzlMA 匚 Addiess Dianges：AcceptForged Transmits:0AcceptzlPromiscuous Mode：混杂模式控制虚拟机是否可以查看ESX主机上其他节点的单播通信量。默认情况下，此选项设置为R

18、eject （拒绝）,这意味着虚拟网络适配器在混杂模式下无法 运行。在混杂模式中，虚拟网络适配器无需执行任何接收过滤，因此客户操作系统 可接收线路上观察到的所有通信量。尽管混杂模式可以有效跟踪网络活动，但这种 运行模式极不安全，因为无论某些数据包是否只能由特定的网络适配器接收，在混 杂模式中所有适配器都可访问这类数据包。这意味着虚拟机中的管理员或Root用户可以查看传输至其他客户机或主机操作系统的通信量。尽管最常用的混杂模式应当处于关闭状态，但如果正在运行网络入侵检测软件或数 据包端口扫描器，那么也可将虚拟交换机配置为在混杂模式中运行。MAC Address Cha nges更改MAC地址会影

19、响入站通信量。默认情况下，MAC地址更改已设置为Accept（接受）,这意味着ESX主机允许将有效 MAC更改为除初始 MAC地址以外的 其他地址。如果将此选项设置为 Reject（拒绝）,则ESX不允许将有效 MAC地 址更改为除初始 MAC地址以外的其他地址。相反，它将禁用虚拟适配器用来发送 请求的端口。因此，如果客户操作系统将有效MAC地址更改为与初始 MAC地址不匹配的地址，虚拟适配器不会接收任何帧。客户操作系统无法检测到MAC地址的更改尚未经过授权。Forged Tran smits伪传输将影响出站通信量。默认情况下，此选项设置为Accept （接受）,这意味着ESX主机不会将源 M

20、AC地址与有效 MAC地址进行比较。如果将此选项设置为 Reject （拒绝），ESX主机会将操作系统正在传输的源 MAC地址与其适配器的有 效MAC地址进行比较，查看它们是否匹配。如果地址不匹配，ESX会丢弃此数据包。客户操作系统不会检测到其虚拟网络适配器无法使用模拟的MAC地址发送数据包。ESX主机将在任何使用模拟地址传递数据包传输之前将其截获，因此，客户 操作系统可能会假设数据包已被丢弃。3. 通信量调整Proidu ction PropertiesGeneral| Secuiity Traffic Shaping | NIC Teaming _ Policy Ewe ept ionsT

21、o uvEsnde a policy defined by the virtual switch, check the lbo belwy.ESX通过为3个出站通信量的特征建立参数的方式来调整通信量：平均带宽、网 络流量激增大小和峰值带宽。* 平均带宽可确定平均每秒允许通过虚拟交换机的比特数。它是允许的平均负载。* 网络流量激增大小可确定网络流量激增允许的最大字节数。如果某一网络流量 激增超过网络流量激增大小参数，则超出的数据包将排成队列，等待稍后传输。如 果队列已满，则数据包将被丢弃。指定平均带宽和网络流量激增大小的值时，应指 出需要虚拟交换机在正常运行中处理哪些事项。* 峰值带宽是指虚拟交

22、换机端口在不丢弃数据包的情况下的最大带宽。如果通信 量超出指定的峰值带宽，则超出部分的数据包将排成队列，等到稍后连接中的通信 量恢复至平均值、且系统可以提供足够的空闲循环来处理队列的数据包，然后才可 进行传输。如果队列已满，则数据包将被丢弃。即使因连接闲置而拥有备用带宽， 峰值带宽参数也会限制传输量不得超过峰值，直到通信量恢复到允许的平均负载水 平为止。可以通过VI Client设置这些参数的值，为每个端口组制定通信量调整策略。 默认情 况下，网络通信量调整处于关闭状态。即：每个虚拟机最多可传输其客户操作系统（遵循虚拟交换机连接的物理接口限制）能生成的所有出站通信量。受这些控制限 制的虚拟机可

23、能会超出其平均带宽，并接近峰值带宽，但只能传输由其网络流量激 增大小定义的数据量。可在虚拟交换机级别或端口组级别中定义通信量调整， 但ESX将根据每个虚拟网卡 应用通信量调整。例如，如果将某个端口组的平均带宽设置为 1000 KB秒，则任何 与该端口组相连的虚拟网卡可使用的平均带宽为 1000 KB秒。ESX也可以将通信量调整策略应用于虚拟交换机上的每个虚拟网卡。例如，如果将 某个端口组中的峰值带宽定义为 10,240 KB/秒，意味着每个虚拟网卡的峰值带宽将 以每秒10,240 KB的速度映射到该端口组。如果有4个虚拟网卡映射到该端口组, 则端口组的总峰值带宽为 40,960 KB秒。通信量

24、调整策略仅调整出站网络通信量。要控制入站通信量，请打开路由器中的 速率限制功能，或使用网卡捆绑策略中定义的负载平衡系统。通信量调整4. Network Teaming使用网卡捆绑，可以将单个虚拟交换机与多个物理以太网适配器相连 通过捆绑，可在部分或所有成员中共享物理网络和虚拟网络之间的通信量负载，并 在出现硬件故障或网络停用的情况下提供被动故障切换功能。网卡捆绑要求同一组中的所有物理交换机端口都位于同一个二层广播域中使用Load Balancing负载平衡，可以将虚拟交换机中虚拟机的网络通信量分配至一个或多个物理以太网适配器，并提供比单个物理适配器更高的吞吐量。 当每个IP数 据包离开其虚拟网

25、卡时，VMkernel必须决定哪个 上行端口（即物理网卡） 将该数 据包运载到外部环境中。使用VI Client设置网卡捆绑策略时，可以从 4种路由方式中任选一种：? 当选择Route based on the orig in at ing virtual port ID （基于起始虚拟端口 ID 的路由）时，VMkernel将根据通信量进入虚拟机时所使用的虚拟端口来选 择上行端口。? 当选择Route based on source MAC host（基于源 MAC主机的路由）时， VMkernel将根据源以太网的哈希选择上行端口。在上述两种情况下，负载平衡都是以每个虚拟网卡为基础。即:除非

26、在网卡捆绑中发生向其他适配器转移故障的情况，否则给定的虚拟以太网适配器的通信量将持续 发送到同一物理适配器中。同样，由于物理交换机获得了端口关联，因此答复将由 同一物理适配器接收。如果虚拟以太网适配器的数量超过物理适配器的数量，这两 个选项将平均分配通信量。如下图示：基于起蛤曲拟站口 ID的路菽于源MAC哈希的路由当选择Route based on IP has（基于IP哈希的路由）时，VMkernel将通过分析 每个数据包的源IP地址和目标IP地址的哈希来分配负载。对于非IP数据包，无 论何种偏移量，都用来计算哈希。 这种方法可以在物理网卡中更好地分配通信量 ， 但也有一些不足之处：?由于V

27、Mkernel必须检查路由信息的帧，因此CPU开销可能会略有增加。?它需要链路聚合功能的支持。?由于系统不支持 PAgP或LACP协商，因此必须将物理交换机的链路聚合配 置为静态且无条件。由于许多交换机不允许将端口的链路聚合分配至多个物理交换机，因此，不可选择在多个物理交换机上进行网卡捆绑。如下图示：员载平衡墓于ip呛廉的踣由乂更802 3ad饰接躍含支持最后一个选项是Use explicit failover order （使用显示故障切换顺序），实际上就是 不指定负载平衡。在此情况下，VMkernel总是从传输故障切换检测标准的活动适配器列表中选择最高顺序的上行端口Ci4f V4&II |

28、 片.”4 如1 IJftr Fhfefiirid 曲 E 13町 | P-diCE4pKW-|CFjriQWOilgf|54iirHevAdvdLhwiKH Jftfig F-aloafiEJTlW式故障5OK Cmcrii I llHpNetwork Failover Detection：故障切换配置指定在适配器发生故障的情况下如何检测并重新路由通信量故障切换配萱网络故障切换检测可确定 VMkernel如何检测网络故障切换。它提供了两种选项:* Link Status only（仅链路状态）， 该选项完全依赖于网络适配器提供 的链路状态。此方法可检测各种故障（例如，电缆线和物理交换机电源故

29、 障），但无法检测配置错误（例如， 物理交换机端口被生成树冻结，或者 被错误配置到错误的 VLAN或物理 交换机另一端的电缆线中）。* Beacon Probing （信标探查）， 它可发出和侦听物理适配器发送的以太网广播帧，从而检测上游网络连 接故障。除了使用链路状态信息以 外，VMkernel还可使用此信息来确 定链路故障。此方法可检测许多链路 状态单独无法检测到的故障，但信标故障切换配总 Network Failover Detection (MtS 舷障训棲检徘：逬总 F- - in ；*6 期僅探查不能替代功能强大的冗余二层网络设计信标探查最适合检测距离 ESX主机最近的交换机中的故

30、障，其中的故障不会导致主机发生链路关闭事件故障切换配置Network Failover Detecton（网绪 故障切换检测）远项 Link Status only l侧S援状忘）检测 适配野凤西已薩接巳己肚初FTcibinq 信标探査、卷测链 疫状态和配査错谣 Notify Switches （通知交扌奂机玄劣敷怙况下玄貂默认为（Ves （是） Rolling FailO/er i济动故陣tU换）否二返旦到活动状态是二在另一牛适配器出现故障之 前保持不活动状态宜J ftodiKtlvn PvopeftiHIMII 鼻勺I 1吟应$2忖 Z *卑IiSferf皿liinRP |RWt勺醐*的

31、伽榊甸r冲wkH per ID工|Notff 5wcheiP hiHishroF flfcw.P3FdJtMf rdvR IQ刑W*和云和口詁L.kIm mdbAhidhDix artnpi i sch*rBri!-命e iwb 尊:皿论亡 亦抽nivMomtUp 1| 祜HtHWRoknjMTnrF-Mflrfrnifll -mncJICDDFul咤哄砂-咤*M # (Mi i mrtr Cowvi i |AaM|iIh bm idi恤 Mfar eilWnwLmmCK I IM使用Notify Switches （通知交换机）策略设置，可确定ESX如何在发生故障的情 况下与物理交换机通信。

32、如果选择 Yes（是），则无论何时，只要虚拟以太网适配 器连接到虚拟交换机、或者只要该虚拟以太网适配器的通信量因故障切换事件而通 过分组中另一不同的物理以太网适配器进行路由，系统就会通过网络发出通知，要 求更新物理交换机中的查找表。几乎在所有情况下，这一选项可以将出现故障切换 时产生的延迟减少到最低程度。注意：如果在单播 模式中使用 Microsoft网络负载平衡，请勿将 Notify Switches （通知交换机）设置为Yes（是）。但是，如果在VMware强烈推荐的多播 模 式中使用网络负载平衡，则可将此选项设置为Yes（是）。Rolling Failover（滚动故障切换）可确定从故障中恢复后如何将物理适配器返回至 活动任务中。如果滚动设置为 No （否）,贝旦恢复，系统立即将适配器返回至 活动任务中，并替换接管其插槽的备用适配器。如果滚动设置为Yes（是）,则即使在恢复之后，发生故障的适配器仍处于不活动状态，直到当前活动的适配器发生 故障并请求其替换为止。故障切换顺序可确定 VMkemel如何分配适配器的工作负载。故障切换顺序如果需要使用部分适配器，并保留其他适配器，以便应对正在运行的适配器发生故 障等紧急事件，则可使用下拉菜单设置此条件，以