虚拟网1.docx

虚拟网络:高级主题 专用 VLAN 是分布式虚拟交换机的一项功能。在本节中，我们将对专用 VLAN 进行概括性的探讨，并讨论专用 VLAN 的设置和配置。 通过支持专用 VLAN，可以在更多方面与采用专用 VLAN 技术的现有网络连接环境兼容。借助专用 VLAN，用户可以限制同一 VLAN 或网段中不同虚拟机之间的通信，从而大大减少了某些网络配置所需的子网数。 PVLAN 在 DMZ 中十分有用。在 DMZ 中，服务器需要供外部连接访问，可能还需要供内部连接访问，但一般不需要与 DMZ 中的其他服务器进行通信。PVLAN 可以配置为允许服务器仅与 DMZ 中默认的网关通信，并拒绝服务器间通信。如果其中一个服务器被黑客破坏或感染了病毒，DMZ 中的其他服务器仍将处于安全状态。 ? 专用 VLAN 的基本设计理念是将现有 VLAN 划分成一个或多个隔离的 VLAN，现有的 VLAN 称为主 VLAN，划分后隔离的 VLAN 则称为辅助 VLAN。 ? 存在三种类型的辅助 VLAN：混杂、隔离和团体。 混杂型专用 VLAN 中的虚拟机可以与同一主 VLAN 中的任意虚拟机相互通信。在此例中，虚拟机 E 和 F 位于混杂型专用 VLAN 5 中，因此，专用 VLAN 5 中的所有虚拟机都可以与它们通信。在配置专用 VLAN 时，vSphere Client 会自动创建一个 ID 与主专用 VLAN ID 相同的混杂型辅助专用 VLAN。 ? 隔离型专用 VLAN 中的虚拟机除了可以与混杂型专用 VLAN 中的虚拟机通信外，不能与任何其他虚拟机通信。在此例中，虚拟机 C 和 D 位于隔离型专用 VLAN 155 中，因此它们只能与虚拟机 E 和 F 进行通信。 ? 团体型专用 VLAN 中的虚拟机可以互相通信，也可以与混杂型专用 VLAN 中的虚拟机通信，但不能与任何其他虚拟机通信。在此例中，虚拟机 A 和 B 可以互相通信，也可以与虚拟机 E 和 F 通信，因为 E 和 F 位于混杂型 VLAN 中。但是，它们不能与 C 或 D 通信，因为 C 和 D 不在团体型 VLAN 中。 ? 在团体型和隔离型 VLAN 中传输的流量均标记为关联的辅助专用 VLAN 流量。 ? 有关虚拟网络如何实施专用 VLAN 的问题，您需要注意以下两点： ? 首先，虚拟网络不对专用 VLAN 内的流量进行封装。换言之，主专用 VLAN 数据包内不存在封装的辅助专用 VLAN。 ? 另外，同一专用 VLAN 中不同 ESX 或 ESXi 主机上的虚拟机之间的流量由物理交换机传输。因此，物理交换机必须支持专用 VLAN 且正确配置，辅助专用 VLAN 内的流量才能抵达其目的地。 在此操作指南中，您将创建一个专用 VLAN 并将它分配给分布式端口组。当您准备好开始观看此演示时，请单击“播放”按钮。 HYPERLINK /vNetwork_CN_03_Slide8 /vNetwork_CN_03_Slide8 在采用 1 Gb 以太网物理上行链路的环境中，多个物理适配器专门用于某些流量类型的情况很常见。在这张幻灯片所显示的示例中，有多个不同的物理网卡专门供虚拟机使用，还有一些网卡专门供 VMkernel 用于存储、容错和 vMotion 流量。 ? 随着 10 Gb 以太网的出现，流量通常汇聚到 10 Gb 以太网链路中。在这种环境中，有些类型的流量相对其他流量而言可能往往要占上风。这种问题即所谓的“过度使用”。 NetIORM 使用网络资源组来动态地控制网络流量。NetIORM 预定义了六个可用来动态控制网络流量的资源组。这些组基于分布式虚拟交换机端口，而非 TCP 或 UDP 端口。 ? NetIORM 的六个预定义端口为：vMotion、NFS、ISCSI、容错、管理和虚拟机。不可以定义其他资源组。 NetIORM 的两个主要目标是实现隔离和灵活分区。 ? 对于隔离：不应允许一种流量在所有流量中占主导地位。 ? 对于灵活分区，目标是允许隔离和过度使用，并保证出现流量竞争时的服务级别。 NetIORM 使用份额来指定流量的相对重要性。 ? 此处的份额类似于虚拟机 CPU 和内存的占用份额。NetIORM 将合计所有份额，并设置相对于总和的份额。 ? 因此，在这张幻灯片所显示的示例中，NFS 的份额值为 50 不一定意味着 NFS 组有资格占用 50% 的带宽。真实情况是，经过对所有份额的计算，能保证 NFS 占用不低于 15% 的可用带宽。 限制用于指定流量的绝对带宽。决不允许指定数据流的流量超出其限制。限制以 Mb/s 为单位进行指定。如果不希望其他网络事件对其他流量产生太大影响，就可以使用限制来实现此目的。