Concepts du réseau

Chaque carte réseau d'une machine virtuelle est branchée sur un réseau. Dans Kyvernon, un réseau est un réseau sur pont d'hôte : un nom, un VLAN et un pont qui existe sur les hôtes. Avec les réseaux logiques OVN activés, un groupe de ports distribué est aussi un réseau : un segment qui s'étend sur plusieurs hôtes. Cette page explique les éléments et le chemin d'une adresse publique d'un pool d'adresses IP jusqu'à une machine virtuelle.

Réseaux et ponts d'hôte

Un réseau sur pont d'hôte a un nom de 1 à 80 caractères, un identifiant de VLAN, le nom d'un pont et les hôtes qui l'offrent. Il appartient à un datacenter. Sans liste d'hôtes, le réseau est offert sur tous les hôtes du datacenter. Dans la console, c'est un objet de l'inventaire avec un résumé, un onglet Configuration et la liste des machines virtuelles qui l'utilisent.

Le pont d'hôte est un pont qu'un administrateur construit sur chaque hôte avant d'utiliser le réseau, par exemple br-vm. C'est un pont Open vSwitch par défaut. Un pont Linux est possible, mais il ne prend en charge ni les VLAN, ni la sécurité des ports, ni le DHCP, et il ne peut pas porter d'adresses publiques issues de pools d'adresses IP. La console crée des réseaux Open vSwitch ; un pont Linux se définit par l'API. Au démarrage d'une machine virtuelle, l'agent d'hôte branche le périphérique tap de chaque carte réseau sur le pont du réseau.

Les réseaux des types Distribué et Overlay sont des objets d'inventaire qui viennent de l'API vSphere. Les modifications des commutateurs distribués et des groupes de ports distribués sont protégées par les privilèges DVSwitch.* et DVPortgroup.*. La console, l'API native et la CLI créent et modifient des réseaux sur pont d'hôte, le type Standard, et ceux-ci demandent les privilèges Network.Config et Network.Delete.

Un réseau a un identifiant de VLAN de 0 à 4094. La valeur 0 signifie sans étiquette. Chaque port d'une machine virtuelle est un port d'accès de ce VLAN : l'invité envoie et reçoit des trames sans étiquette, et une trame que l'invité étiquette lui-même ne quitte pas le port. La liaison montante du pont doit transporter le VLAN jusqu'au réseau du fournisseur.

Sécurité des ports et stratégie de groupe de ports

La sécurité des ports est activée par défaut et correspond à la case Sécurité des ports (MAC et adresse attribuée) d'un réseau. Une carte réseau ne peut émettre que depuis sa propre adresse MAC et depuis les adresses que Kyvernon lui a données en bail ou allouées. Un invité ne peut pas répondre aux requêtes DHCP des autres invités ni s'approprier une adresse qui appartient à un autre port. Sans paramètres IPv4 sur le réseau, l'adresse MAC reste imposée. Pour les cartes réseau qui ont des adresses d'un pool d'adresses IP, la sécurité des ports est toujours active, quel que soit le paramètre du réseau : la protection contre l'usurpation est obligatoire pour elles.

Un réseau peut aussi porter une stratégie de groupe de ports en trois parties : la sécurité (Changements d’adresse MAC et Émissions falsifiées), la limitation du trafic et le regroupement de cartes réseau. La boîte de dialogue de Modifier la politique les définit, et les outils qui utilisent l'API vSphere peuvent enregistrer la même stratégie. L'agent d'hôte applique les réglages : bande passante moyenne et en rafale par des limites de trafic sur les ports des machines virtuelles, et deux liaisons montantes ou plus dans la stratégie de regroupement sous forme d'agrégat sur le pont Open vSwitch. Mode promiscuité ne peut pas être accepté ; observez le trafic avec une session de miroir. La modification du réseau conserve la stratégie.

DHCP, baux et réseaux de quarantaine

Un réseau peut répondre lui-même au DHCP. Vous lui donnez un préfixe, une passerelle, une plage d'adresses et, en option, des serveurs DNS, un nom de domaine, une MTU et une durée de bail (86 400 secondes par défaut). Kyvernon alloue un bail fixe par adresse MAC dans la plage, 1 024 au plus par réseau, avant qu'une machine virtuelle soit envoyée sur un hôte. L'adresse est donc la même après un redémarrage. Cette plage est réservée aux adresses internes ; les adresses publiques viennent des pools d'adresses IP. La console définit la passerelle, la plage, la longueur du préfixe et les serveurs DNS ; les autres valeurs se définissent par l'API.

Un réseau de quarantaine a son propre pont, que l'agent d'hôte crée. Il n'a ni liaison montante, ni passerelle, ni DNS. Les machines virtuelles qui s'y trouvent n'atteignent que les autres et le serveur DHCP. Il exige des paramètres IPv4 avec un identifiant de serveur DHCP et sans passerelle. La vérification de restauration démarre les machines virtuelles restaurées sur un réseau de ce type.

Chemin d'une adresse publique jusqu'à une machine virtuelle

Un administrateur crée un pool d'adresses IP sur un réseau. Le pool contient des plages publiques, une passerelle et, en option, un préfixe IPv6. Une adresse du pool est allouée à une carte réseau, selon son adresse MAC. La première adresse est l'adresse IPv4 principale et, quand le pool a un préfixe IPv6, un bloc de ce préfixe. Les adresses suivantes sont des adresses supplémentaires.

La sécurité des ports laisse la carte émettre depuis ces adresses. L'adresse IPv4 principale est le bail DHCP de la carte. Les adresses supplémentaires et le bloc IPv6 se configurent dans l'invité, par exemple avec cloud-init.

La liaison montante du réseau décide comment le routeur du fournisseur atteint l'adresse. En mode pont, l'interface de liaison montante est dans le pont, et le fournisseur doit accepter les adresses MAC des invités. En mode proxy, l'hôte route chaque adresse publique vers le pont et répond au routeur du fournisseur avec ARP proxy et NDP proxy ; l'opérateur active une fois le routage et l'ARP et le NDP proxy sur la liaison montante. La console affiche la liaison montante d'un pool, et le mode se définit par l'API.

Une adresse libérée reste en quarantaine 14 jours avant d'être attribuée de nouveau. Le courrier sortant sur le port 25 est bloqué par pool et peut être autorisé par serveur.

Groupes de ports distribués comme segments

Quand le contrôleur a activé les réseaux logiques OVN (réglage de l'opérateur du contrôleur), chaque groupe de ports distribué est un segment : un commutateur logique qui s'étend sur les hôtes de son commutateur distribué. Un groupe de ports avec un VNI, ou avec le VLAN 0, est un segment overlay. Son trafic entre hôtes passe par des tunnels Geneve entre les adresses de tunnel des hôtes, si bien que le réseau du fournisseur n'a pas besoin de connaître le VLAN. Un groupe de ports avec un identifiant de VLAN est un segment sur VLAN. Son trafic quitte chaque hôte par la liaison montante du commutateur distribué, étiqueté avec ce VLAN.

Chaque carte réseau d'un tel groupe de ports est un port logique du segment, nommé d'après la machine virtuelle et la clé de périphérique de la carte. La sécurité des ports est active : la carte ne peut émettre que depuis sa propre adresse MAC. Pendant une migration à chaud, le port est lié sur les deux hôtes jusqu'à ce que la machine virtuelle tourne sur la destination. Le contrôleur réécrit les segments et les ports dans la base OVN Northbound après chaque modification, après une connexion perdue et toutes les cinq minutes, si bien qu'une modification faite en dehors du contrôleur ne dure pas.

Le pare-feu distribué s'applique à ces cartes comme aux cartes des réseaux sur pont d'hôte : mêmes groupes, stratégies, modes et profils. Chaque hôte remonte les compteurs des règles, les enregistrements de journal et les rejets potentiels du mode monitor de ses propres cartes. Quand une carte passe du mode monitor au mode enforce, l'hôte oublie les connexions de la carte, et les règles appliquées en décident de nouveau.

Un groupe de ports peut avoir des adresses : un sous-réseau avec passerelle, serveurs DNS et plage, et un préfixe IPv6. Chaque carte du groupe reçoit alors une adresse IPv4 fixe de la plage, ou l'adresse qu'un administrateur a fixée pour sa MAC, et l'adresse IPv6 dérivée de sa MAC ; OVN les distribue par DHCP, et la sécurité des ports ne laisse la carte émettre que depuis ces adresses. Le pare-feu distribué connaît ces adresses, si bien qu'un groupe de machines virtuelles reconnaît aussi leur trafic par adresse. Un commutateur distribué indique, pour chaque hôte membre, la carte physique derrière chaque liaison montante ; les groupes de ports sur VLAN quittent l'hôte par cette carte. Sans liaisons montantes, les machines virtuelles d'un segment sur VLAN ne se joignent que sur le même hôte ; les segments overlay fonctionnent entre hôtes. Sans réseaux logiques OVN, une carte sur un groupe de ports distribué n'a pas de lien. Commutateurs distribués et groupes de ports montre les étapes.

Noms et trafic des adresses publiques

Chaque adresse publique peut avoir un nom DNS inverse, que Kyvernon écrit sur un serveur DNS ou transmet à un opérateur sous forme de demande. Le trafic d'un serveur est compté par période, avec un sens facturable et une limite facultative. Les deux s'affichent dans l'onglet Réseaux du serveur.

Tâches liées

• Réseaux sur pont d'hôte crée, modifie et supprime des réseaux.
• Pools d'adresses IP affiche les pools et leurs adresses.
• Adresses publiques attribue des adresses aux serveurs.
• DNS inverse définit le nom d'une adresse.
• Trafic affiche le trafic et la limite d'un serveur.
• Concepts du pare-feu explique le pare-feu distribué.
• Dépannage du réseau liste les symptômes et les solutions.