Virtuelle Switches und Netzwerke

Wenn sich viele VMs auf einem physischen Server befinden, müssen sie weiterhin miteinander und mit der Außenwelt kommunizieren können. Ein virtueller Switch (vSwitch) ist eine Software innerhalb des Hypervisors, die die Aufgabe eines physischen Switches übernimmt – allerdings für virtuelle Maschinen.

Er leitet Ethernet-Frames zwischen VMs und über die physischen Netzwerkkarten des Hosts nach außen weiter. Dadurch reicht das Netzwerk nun bis in den Server selbst hinein.

Jede VM erhält eine oder mehrere virtuelle NICs (virtuelle Netzwerkschnittstellenkarten). Für das Gastbetriebssystem sieht eine vNIC genau wie ein echter Ethernet-Adapter mit einer eigenen MAC-Adresse (Hardwareadresse für Media Access Control) aus.

Die vNIC ist mit einem Port des virtuellen Switches verbunden. Von dort aus entscheidet der Hypervisor, ob der Datenverkehr innerhalb des Hosts bleibt oder in das physische LAN weitergeleitet wird.

Ein virtueller Switch funktioniert wie sein physisches Gegenstück: Er lernt, welche MAC-Adresse zu welchem virtuellen Port gehört, und leitet Frames nur dorthin weiter, wo sie hingehören. Datenverkehr zwischen zwei VMs auf demselben Host berührt kein physisches Kabel und ist daher extrem schnell.

Wenn eine VM einen anderen Host oder das Internet erreichen muss, sendet der vSwitch den Frame über einen Uplink nach außen, also über den echten Netzwerkadapter des Hosts.

Ein Uplink ist die physische NIC des Hosts, die den virtuellen Switch mit dem realen Netzwerk verbindet. Sie können mehrere physische NICs an einen vSwitch binden, um mehr Bandbreite und Redundanz zu erhalten. Diese Technik wird als NIC-Teaming oder Link Aggregation bezeichnet.

Wenn ein Uplink-Kabel ausfällt, halten die anderen die VMs online. Ohne Uplink ist ein vSwitch isoliert, und VMs können nur untereinander kommunizieren.

Virtuelle Switches unterstützen VLANs (Virtual Local Area Networks) ebenso wie Hardware-Switches. Sie können VMs in separate VLANs einordnen, sodass beispielsweise Webserver und Datenbankserver selbst auf demselben Host voneinander isoliert sind.

Der vSwitch versieht Frames mit VLAN-IDs und überträgt sie über einen Trunk-Uplink an das physische Netzwerk. So bleibt die Segmentierung von der virtuellen bis zur physischen Welt konsistent.

Hypervisoren bieten mehrere Verbindungsmodi für vSwitches:

• Extern: an eine physische NIC gebunden, sodass VMs das LAN und das Internet erreichen.
• Intern: VMs können miteinander und mit dem Host kommunizieren, aber nicht mit dem Netzwerk außerhalb des Hosts.
• Privat: VMs können nur miteinander kommunizieren und sind auch vom Host vollständig isoliert.

Mit dem richtigen Modus legen Sie genau fest, wie weit der Datenverkehr einer VM gelangen kann.

Viele Desktop-Hypervisoren bieten einen NAT-Modus (Network Address Translation). Die VMs befinden sich in einem privaten virtuellen Netzwerk und verwenden gemeinsam die einzelne IP-Adresse des Hosts, um das Internet zu erreichen – so wie Geräte zu Hause eine öffentliche Adresse gemeinsam nutzen.

NAT ist für Labs praktisch, weil VMs Internetzugriff erhalten, ohne eine eigene Adresse im realen LAN zu benötigen. Eingehende Verbindungen erfordern jedoch eine Portweiterleitung.

In großen Rechenzentren erstreckt sich ein verteilter virtueller Switch über viele physische Hosts und wird als ein logischer Switch verwaltet. VMware vDS und ähnliche Tools ermöglichen es Administratoren, Netzwerkrichtlinien einmal zu konfigurieren und überall anzuwenden.

Dadurch bleiben die Einstellungen konsistent, wenn eine VM zwischen Hosts live migriert wird, da die Netzwerkkonfiguration automatisch der VM folgt, anstatt für jeden Host separat festgelegt zu werden.

SDN (Software-Defined Networking) trennt die Control Plane, die entscheidet, wohin der Datenverkehr geleitet wird, von der Data Plane, die ihn tatsächlich weiterleitet. Ein zentraler Controller programmiert das Netzwerk per Software und macht es dadurch flexibel und automatisiert.

Virtuelle Switches eignen sich besonders gut für SDN: Das gesamte Netzwerk kann im Code definiert, geändert und skaliert werden, anstatt Kabel umzustecken. Das ist im Cloud-Maßstab unverzichtbar.

Bei der modernen Fehlersuche landet man oft innerhalb eines Hosts. Eine VM ohne Verbindung kann mit dem falschen vSwitch oder VLAN verbunden sein, oder ihr Uplink ist ausgefallen. Wenn Sie die virtuelle Ebene verstehen, sparen Sie sich stundenlanges Suchen nach physischen Kabeln, die vollkommen in Ordnung sind.

Es gelten dieselben Konzepte – Switches, VLANs und MAC-Adressen –, sie sind lediglich als Software innerhalb des Hypervisors umgesetzt.

Die vNIC einer VM wird mit einem vSwitch-Port verbunden. Der vSwitch leitet lokalen Datenverkehr sofort weiter und sendet externen Datenverkehr über einen Uplink an das physische LAN, optional mit einem VLAN-Tag versehen. Durch die Auswahl des externen, internen, privaten oder NAT-Modus wird die Reichweite gesteuert. Verteilte Switches und SDN skalieren dieses Konzept über ganze Rechenzentren hinweg.

Testen Sie Ihr Verständnis der virtuellen Netzwerkmodi.

Ein virtueller Switch leitet Frames mithilfe der virtuellen NICs zwischen VMs weiter und verbindet sich über einen Uplink mit dem physischen Netzwerk. vSwitches unterstützen VLANs und bieten externe, interne, private sowie NAT-Modi, um die Reichweite zu steuern. Verteilte Switches und SDN skalieren dieses Konzept über Rechenzentren hinweg. Dadurch erstreckt sich die Netzwerkfehlersuche nun bis in den Host hinein.