VMware论坛2015_NSX部署最佳实践研究报告.pptx

NSX部署最佳实践 Nov 27th,2015 | Shanghai, China 1 2 3 4 NSX部署架构概述 NSX在传统数据中心部署和迁移最佳实践 场景一:Micro-segmentation without Overlays 场景二:Micro-segmentation with Overlays NSX在新建数据中心部署和迁移最佳实践 总结 Agenda 2 3 WAN Internet vCenter 计算集群 管理集群 (Storage, vCenter and Cloud Management、 nsx manager Controllers) 边界集群 (Logical Router Control VMs and NSX Edges) Leaf NSX部署架构概述 Spine Edge Leaf (L3 to DC Fabric, L2 to External Networks) L3 L2 L3 L2 L3 L2 1 2 3 4 NSX部署架构概述 NSX在传统数据中心部署和迁移最佳实践 场景一:Micro-segmentation without Overlays 场景二:Micro-segmentation with Overlays NSX在新建数据中心部署和迁移最佳实践 总结 Agenda 4 NSX在传统数据中心的部署 5 场景一:Micro-segmentation without Overlays 6 迁移前的考虑 §?? 初始的所有防火墙安全策略都部署在物理防火 墙上 §?? 部署NSX的一个主要的需求是所有相关主机必 须迁移到VDS §?? ESXi主机需求： §?? 管理集群：假设负责管理集群的vCenter已经部 署完成，DFW的部署不需要部署控制器，仅需要 部署NSX Manager即可 §?? 计算集群：现有集群的VM可以保持不变，仅需 要NSX Manager把VIB推送给每台主机以支持 DFW功能，新增主机可以加入到现有集群或创建 新的计算集群并完成VIBs推送即可 7 迁移目标 §?? 采用NSX的微分段功能为东西流量提供精细防 火墙安全防护 §?? 如网关在物理防火墙上，把虚拟机网关迁移到 汇聚层交换机上，以提升东西向路由的扩展性 §?? 根据需要移除或保留南北向物理防火墙 场景一:Micro-segmentation without Overlays 8 场景一:Micro-segmentation without Overlays 具体迁移步骤 ?? a.确认相关主机的VM已经迁移到了VDS，如果没有，进行必要的虚拟机迁移（VSS to VDS或 N1KV to VDS) ?? b.在现有的管理集群上部署NSX Manager并完成NSX Manager到vCenter的注册 ?? c.计算集群的NSX准备（向计算集群主机推送Vibs) ?? d.部署相应的防火墙策略（注意提前把vCenter和AD、NTP等服务器加入exclusion 列表 ） ?? e.移除物理防火墙上的相关东西向防火墙安全策略 ?? f.在汇聚层交换机为各业务网段配置东西向路由 并保持这些SVI端口处于shutdown状态，因为此时 各业务网关的网关仍然在防火墙上 场景一:Micro-segmentation without Overlays 具体迁移步骤 ?? g.完成各业务网关从防火墙到汇聚层交换机的切换 根据情况可以保留或移除物理防火墙 场景一:Micro-segmentation without Overlays 具体迁移步骤 场景二:Micro-segmentation with Overlays 迁移前的考虑 迁移前的考虑 服务器需求： 管理集群：除了部署NSX Manager以外,管理集 群内还需要部署三个工作在集群模式的控制器， 控制器部署的最佳实践是每台物理主机一台，因 此管理集群建议采用最少三台物理主机 计算集群：计算集群保持不变可以根据需求增加 边界集群：最佳实践是另外部署一个边界集群来 提供边界网关服务和DLR的控制平面服务 管理集群如资源不足也可以把控制器部署在边界 集群 场景二:Micro-segmentation with Overlays 目标 §?? 把VM迁移到VXLAN网络以提供更多的软件定 义网络的好处（交换、路由、防火墙、负载均 衡等） §?? 把东西向路由和防火墙安全策略迁移到NSX §?? 根据需要保留VXLAN二层网络和传统VLAN上 物理机之间的二层通信 §?? 简化物理网络的配置：移除VM数据VLAN和相 应的网关 §?? 需要新增加一个VLAN用于汇聚层交换机和