Netwerkconcepten

Elke netwerkadapter van een virtuele machine hangt aan een netwerk. In Kyvernon is een netwerk een hostbridge-netwerk: een naam, een VLAN en een bridge die op de hosts bestaat. Met logische OVN-netwerken ingeschakeld is een gedistribueerde poortgroep ook een netwerk: een segment over meerdere hosts. Deze pagina legt de onderdelen uit en hoe een publiek adres uit een IP-pool op een virtuele machine terechtkomt.

Netwerken en hostbridges

Een hostbridge-netwerk heeft een naam van 1 tot 80 tekens, een VLAN-id, de naam van een bridge en de hosts die het aanbieden. Het hoort bij een datacenter. Zonder lijst met hosts wordt het netwerk op elke host van het datacenter aangeboden. In de console is het een object van de inventaris met een overzicht, een tabblad Configureren en een lijst met de virtuele machines die het gebruiken.

De hostbridge is een bridge die een beheerder op elke host bouwt voordat het netwerk wordt gebruikt, bijvoorbeeld br-vm. Standaard is het een Open vSwitch-bridge. Een Linux-bridge is mogelijk, maar ondersteunt geen VLAN's, poortbeveiliging of DHCP en kan geen publieke adressen uit IP-pools dragen. De console maakt Open vSwitch-netwerken; een Linux-bridge stelt u in via de API. Wanneer een virtuele machine start, sluit de hostagent het tap-apparaat van elke netwerkadapter aan op de bridge van het netwerk.

Netwerken van de soorten Gedistribueerd en Overlay zijn inventarisobjecten die uit de vSphere-API komen. Wijzigingen aan gedistribueerde switches en gedistribueerde poortgroepen worden bewaakt door de bevoegdheden DVSwitch.* en DVPortgroup.*. De console, de native API en de CLI maken en wijzigen hostbridge-netwerken, de soort Standaard, en daarvoor zijn de bevoegdheden Network.Config en Network.Delete nodig.

Een netwerk heeft één VLAN-id van 0 tot 4094. De waarde 0 betekent ongetagd. Elke poort van een virtuele machine is een toegangspoort van dat VLAN: de gast verstuurt en ontvangt ongetagde frames, en een frame dat de gast zelf tagt, verlaat de poort niet. De uplink van de bridge moet het VLAN naar het netwerk van de provider transporteren.

Poortbeveiliging en beleid van een poortgroep

Poortbeveiliging staat standaard aan en is het selectievakje Poortbeveiliging (MAC en toegewezen adres) van een netwerk. Een netwerkadapter mag alleen verzenden vanaf zijn eigen MAC-adres en vanaf de adressen die Kyvernon hem in lease heeft gegeven of heeft toegewezen. Een gast kan geen DHCP-verzoeken van andere gasten beantwoorden en geen adres opeisen dat bij een andere poort hoort. Zonder IPv4-instellingen op het netwerk wordt het MAC-adres nog steeds afgedwongen. Voor netwerkadapters met adressen uit een IP-pool staat poortbeveiliging altijd aan, wat de instelling van het netwerk ook is: anti-spoofing is voor hen verplicht.

Een netwerk kan ook een beleid voor de poortgroep hebben met drie delen: beveiliging (MAC-adreswijzigingen en Vervalste verzendingen), verkeersbeperking en NIC-teaming. Het venster achter Beleid bewerken stelt ze in, en hulpmiddelen die de vSphere-API gebruiken kunnen hetzelfde beleid opslaan. De hostagent voert de instellingen uit: gemiddelde en piekbandbreedte via verkeerslimieten op de poorten van de virtuele machines, en twee of meer uplinks in het teamingbeleid als bond op de Open vSwitch-bridge. Promiscuous modus kan niet worden geaccepteerd; observeer verkeer met een mirrorsessie. Als u het netwerk bewerkt, blijft het beleid behouden.

DHCP, leases en quarantainenetwerken

Een netwerk kan zelf DHCP beantwoorden. U geeft het een prefix, een gateway, een adresbereik en optioneel DNS-servers, een domeinnaam, een MTU en een leasetijd (standaard 86.400 seconden). Kyvernon wijst per MAC-adres één vaste lease uit het bereik toe, maximaal 1.024 per netwerk, voordat een virtuele machine naar een host wordt gestuurd. Het adres is dus na een herstart hetzelfde. Dit bereik is voor interne adressen; publieke adressen komen uit IP-pools. De console stelt de gateway, het bereik, de prefixlengte en de DNS-servers in; de andere waarden stelt u in via de API.

Een quarantainenetwerk heeft een eigen bridge die de hostagent maakt. Het heeft geen uplink, geen gateway en geen DNS. Virtuele machines erop bereiken alleen elkaar en de DHCP-server. Het vereist IPv4-instellingen met een DHCP-serveridentificatie en zonder gateway. Herstelverificatie start herstelde virtuele machines op een netwerk van dit soort.

Hoe een publiek adres een virtuele machine bereikt

Een beheerder maakt een IP-pool op een netwerk. De pool bevat publieke bereiken, een gateway en optioneel een IPv6-prefix. Een adres uit de pool wordt aan een netwerkadapter toegewezen, op basis van zijn MAC-adres. Het eerste adres is het primaire IPv4-adres en, als de pool een IPv6-prefix heeft, een blok daarvan. Verdere adressen zijn extra adressen.

Poortbeveiliging laat de adapter vanaf deze adressen verzenden. Het primaire IPv4-adres is de DHCP-lease van de adapter. Extra adressen en het IPv6-blok configureert u in de gast, bijvoorbeeld met cloud-init.

De uplink van het netwerk bepaalt hoe de router van de provider het adres bereikt. In brugmodus zit de uplinkinterface in de bridge en moet de provider de MAC-adressen van de gasten accepteren. In proxymodus routeert de host elk publiek adres naar de bridge en beantwoordt hij de router van de provider met proxy-ARP en proxy-NDP; de operator schakelt routering en proxy-ARP en -NDP eenmalig in op de uplink. De console toont de uplink van een pool, en de modus stelt u in via de API.

Een vrijgegeven adres blijft 14 dagen in quarantaine voordat het opnieuw wordt uitgegeven. Uitgaande mail op poort 25 wordt per pool geblokkeerd en kan per server worden toegestaan.

Gedistribueerde poortgroepen als segmenten

Wanneer de controller logische OVN-netwerken heeft ingeschakeld (instelling van de operator van de controller), is elke gedistribueerde poortgroep een segment: één logische switch over de hosts van zijn gedistribueerde switch. Een poortgroep met een VNI, of met VLAN 0, is een overlaysegment. Het verkeer tussen hosts gaat door Geneve-tunnels tussen de tunneladressen van de hosts, zodat het netwerk van de provider het VLAN niet hoeft te kennen. Een poortgroep met een VLAN-id is een segment op een VLAN. Het verkeer verlaat elke host via de uplink van de gedistribueerde switch, getagd met dat VLAN.

Elke netwerkadapter op zo'n poortgroep is een logische poort van het segment, genoemd naar de virtuele machine en de apparaatsleutel van de adapter. Poortbeveiliging staat aan: de adapter mag alleen verzenden vanaf het eigen MAC-adres. Tijdens een livemigratie is de poort op beide hosts gebonden tot de virtuele machine op de bestemming draait. De controller schrijft de segmenten en poorten opnieuw in de OVN-Northbound-database na elke wijziging, na een verbroken verbinding en elke vijf minuten, zodat een wijziging buiten de controller om niet blijft bestaan.

De gedistribueerde firewall geldt voor deze adapters op dezelfde manier als voor adapters op hostbridge-netwerken: dezelfde groepen, beleidsregels, modi en profielen. Elke host meldt de regeltellers, de logrecords en de would-drops van modus monitor van zijn eigen adapters. Wanneer een adapter van modus monitor naar enforce gaat, vergeet de host de verbindingen die de adapter had, zodat de afgedwongen regels er opnieuw over beslissen.

Een poortgroep kan adressen hebben: een subnet met gateway, DNS-servers en een bereik, en een IPv6-prefix. Elke adapter erop krijgt dan een vast IPv4-adres uit het bereik, of het adres dat een beheerder voor zijn MAC heeft vastgelegd, en het IPv6-adres dat van zijn MAC is afgeleid; OVN deelt ze uit via DHCP, en poortbeveiliging laat de adapter alleen vanaf die adressen verzenden. De gedistribueerde firewall kent deze adressen, zodat een groep virtuele machines hun verkeer ook op adres herkent. Een gedistribueerde switch legt per lidhost de fysieke nic achter elke uplink vast; poortgroepen op een VLAN verlaten de host via die nic. Zonder uplinks bereiken virtuele machines op een segment op een VLAN elkaar alleen op dezelfde host; overlaysegmenten werken tussen hosts. Zonder logische OVN-netwerken heeft een adapter op een gedistribueerde poortgroep geen verbinding. Gedistribueerde switches en poortgroepen toont de stappen.

Namen en verkeer van publieke adressen

Elk publiek adres kan een reverse-DNS-naam hebben, die Kyvernon naar een DNS-server schrijft of als verzoek aan een operator doorgeeft. Het verkeer van een server wordt per periode geteld, met een factureerbare richting en een optionele limiet. Beide staan op het tabblad Netwerken van de server.

Verwante taken

• Hostbridge-netwerken maakt, bewerkt en verwijdert netwerken.
• IP-pools toont de pools en hun adressen.
• Publieke adressen wijst adressen aan servers toe.
• Reverse DNS stelt de naam van een adres in.
• Verkeer toont het verkeer en de limiet van een server.
• Firewallconcepten legt de gedistribueerde firewall uit.
• Netwerkproblemen oplossen somt symptomen en oplossingen op.