Commutateurs et réseaux virtuels

Lorsque plusieurs VM résident sur un même serveur physique, elles doivent tout de même communiquer entre elles et avec le monde extérieur. Un commutateur virtuel (vSwitch) est un logiciel intégré à l’hyperviseur qui joue le rôle d’un commutateur physique, mais pour les machines virtuelles.

Il transfère les trames Ethernet entre les VM et vers l’extérieur par les cartes réseau physiques de l’hôte. Le réseau s’étend ainsi jusque dans le serveur lui-même.

Chaque VM reçoit une ou plusieurs NIC virtuelles (cartes d’interface réseau virtuelles). Pour le système d’exploitation invité, une vNIC ressemble exactement à un adaptateur Ethernet réel doté de sa propre adresse MAC (adresse matérielle de contrôle d’accès au support).

La vNIC se connecte à un port du commutateur virtuel. L’hyperviseur détermine ensuite si le trafic reste à l’intérieur de l’hôte ou sort vers le LAN physique.

Un commutateur virtuel fonctionne comme son équivalent physique : il apprend quelle adresse MAC se trouve sur quel port virtuel et ne transfère les trames que vers leur destination. Le trafic entre deux VM sur le même hôte ne passe jamais par un câble physique, ce qui le rend extrêmement rapide.

Lorsqu’une VM doit atteindre un autre hôte ou Internet, le vSwitch envoie la trame par une liaison montante, c’est-à-dire l’adaptateur réseau réel de l’hôte.

Une liaison montante est la NIC physique de l’hôte qui connecte le commutateur virtuel au réseau réel. Vous pouvez associer plusieurs NIC physiques à un même vSwitch pour augmenter la bande passante et assurer la redondance. Cette technique est appelée regroupement de NIC ou agrégation de liaisons.

Si le câble d’une liaison montante tombe en panne, les autres maintiennent les VM en ligne. Sans liaison montante, un vSwitch est isolé et les VM ne peuvent communiquer qu’entre elles.

Les commutateurs virtuels prennent en charge les VLAN (réseaux locaux virtuels), tout comme les commutateurs matériels. Vous pouvez placer les VM dans des VLAN distincts afin que, par exemple, les serveurs web et les serveurs de bases de données soient isolés, même sur le même hôte.

Le vSwitch balise les trames avec des identifiants de VLAN et les transmet sur une liaison montante en mode trunk vers le réseau physique, afin de maintenir une segmentation cohérente du monde virtuel au monde physique.

Les hyperviseurs proposent plusieurs modes de connexion des vSwitch :

• Externe : associé à une NIC physique, il permet aux VM d’atteindre le LAN et Internet.
• Interne : les VM peuvent communiquer entre elles et avec l’hôte, mais pas avec le réseau extérieur.
• Privé : les VM ne communiquent qu’entre elles et sont totalement isolées, même de l’hôte.

Le choix du mode approprié détermine précisément jusqu’où le trafic d’une VM peut circuler.

De nombreux hyperviseurs de bureau proposent un mode NAT (traduction d’adresses réseau). Les VM résident sur un réseau virtuel privé et partagent l’adresse IP unique de l’hôte pour accéder à Internet, comme les appareils domestiques qui partagent une même adresse publique.

Le NAT est pratique pour les environnements de laboratoire, car les VM accèdent à Internet sans avoir besoin de leur propre adresse sur le LAN réel. En revanche, les connexions entrantes nécessitent une redirection de ports.

Dans les grands centres de données, un commutateur virtuel distribué s’étend sur plusieurs hôtes physiques et est géré comme un commutateur logique unique. VMware vDS et les outils similaires permettent aux administrateurs de configurer une stratégie réseau une seule fois et de l’appliquer partout.

Les paramètres restent ainsi cohérents lorsqu’une VM est migrée à chaud entre des hôtes, car la configuration réseau suit automatiquement la VM au lieu d’être définie pour chaque hôte.

SDN (réseau défini par logiciel) sépare le plan de contrôle (les décisions concernant le chemin du trafic) du plan de données (le transfert réel). Un contrôleur central programme le réseau au moyen de logiciels, ce qui le rend flexible et automatisé.

Les commutateurs virtuels conviennent naturellement au SDN : l’ensemble du réseau peut être défini, modifié et dimensionné dans du code plutôt qu’en branchant des câbles, ce qui est essentiel à l’échelle des nuages.

Les dépannages modernes se terminent souvent à l’intérieur d’un hôte. Une VM sans connectivité peut avoir sa vNIC reliée au mauvais vSwitch, au mauvais VLAN ou à une liaison montante hors service. Comprendre la couche virtuelle vous évite de passer des heures à rechercher des câbles physiques qui fonctionnent parfaitement.

Les mêmes concepts (commutateurs, VLAN, adresses MAC) s’appliquent, mais ils sont implémentés dans des logiciels au sein de l’hyperviseur.

La vNIC d’une VM se branche sur un port de vSwitch ; le vSwitch transfère instantanément le trafic local et envoie le trafic externe par une liaison montante vers le LAN physique, éventuellement avec une balise VLAN. Le choix des modes externe, interne, privé ou NAT contrôle la portée, tandis que les commutateurs distribués et le SDN permettent de dimensionner cette architecture pour des centres de données entiers.

Évaluez votre compréhension des modes de réseau virtuel.

Un commutateur virtuel transfère les trames entre les VM au moyen de leurs NIC virtuelles et se connecte au réseau physique par une liaison montante. Les vSwitch prennent en charge les VLAN et proposent les modes externe, interne, privé et NAT pour contrôler la portée. Les commutateurs distribués et le SDN permettent de dimensionner cette architecture pour les centres de données, si bien que le dépannage réseau s’étend désormais à l’intérieur de l’hôte.