Przełączniki i sieci wirtualne

Gdy na jednym serwerze fizycznym działa wiele maszyn wirtualnych, nadal muszą komunikować się między sobą i ze światem zewnętrznym. Przełącznik wirtualny (vSwitch) to oprogramowanie wewnątrz hypervisora, które pełni funkcję przełącznika fizycznego, ale na potrzeby maszyn wirtualnych.

Przekazuje ramki Ethernet między maszynami wirtualnymi oraz na zewnątrz, przez fizyczne karty sieciowe hosta, dzięki czemu sieć sięga teraz do wnętrza samego serwera.

Każda maszyna wirtualna otrzymuje jedną lub więcej wirtualnych kart sieciowych (virtual network interface cards). Dla systemu gościa vNIC wygląda dokładnie jak prawdziwy adapter Ethernet i ma własny adres MAC (sprzętowy adres Media Access Control).

vNIC łączy się z portem przełącznika wirtualnego. Następnie hypervisor decyduje, czy ruch pozostanie wewnątrz hosta, czy wyjdzie do fizycznej sieci LAN.

Przełącznik wirtualny działa podobnie jak jego fizyczny odpowiednik: uczy się, pod którym portem wirtualnym znajduje się dany adres MAC, i przekazuje ramki tylko tam, gdzie powinny trafić. Ruch między dwiema maszynami wirtualnymi na tym samym hoście nigdy nie przechodzi przez fizyczny kabel, dlatego jest niezwykle szybki.

Gdy maszyna wirtualna musi połączyć się z innym hostem lub z internetem, vSwitch wysyła ramkę przez uplink, czyli rzeczywisty adapter sieciowy hosta.

Uplink to fizyczna karta sieciowa hosta, która łączy przełącznik wirtualny z rzeczywistą siecią. Do jednego vSwitch można przypisać kilka fizycznych kart sieciowych, aby zwiększyć przepustowość i zapewnić nadmiarowość — technika ta nosi nazwę łączenia kart sieciowych (NIC teaming) lub agregacji łączy.

Jeśli kabel jednego uplinku ulegnie awarii, pozostałe utrzymają maszyny wirtualne online. Bez uplinku vSwitch zostaje odizolowany, a maszyny wirtualne mogą komunikować się tylko między sobą.

Przełączniki wirtualne obsługują sieci VLAN (Virtual Local Area Networks), podobnie jak przełączniki sprzętowe. Można umieścić maszyny wirtualne w oddzielnych sieciach VLAN, aby na przykład odizolować serwery WWW od serwerów baz danych, nawet jeśli działają na tym samym hoście.

vSwitch oznacza ramki identyfikatorami VLAN i przesyła je przez uplink trunk do sieci fizycznej, zachowując spójną segmentację od świata wirtualnego po fizyczny.

Hypervisory oferują kilka trybów połączenia vSwitch:

• Zewnętrzny: powiązany z fizyczną kartą sieciową, dzięki czemu maszyny wirtualne mogą łączyć się z siecią LAN i internetem.
• Wewnętrzny: maszyny wirtualne mogą komunikować się ze sobą i z hostem, ale nie z siecią zewnętrzną.
• Prywatny: maszyny wirtualne mogą komunikować się wyłącznie między sobą i są całkowicie odizolowane, także od hosta.

Wybór właściwego trybu dokładnie określa, jak daleko może dotrzeć ruch maszyny wirtualnej.

Wiele hypervisorów desktopowych oferuje tryb NAT (Network Address Translation). Maszyny wirtualne znajdują się w prywatnej sieci wirtualnej i współdzielą pojedynczy adres IP hosta, aby uzyskać dostęp do internetu — podobnie jak urządzenia domowe współdzielą jeden publiczny adres.

NAT jest wygodny w laboratoriach, ponieważ maszyny wirtualne uzyskują dostęp do internetu bez potrzeby posiadania własnego adresu w rzeczywistej sieci LAN, ale połączenia przychodzące wymagają przekierowania portów.

W dużych centrach danych rozproszony przełącznik wirtualny obejmuje wiele hostów fizycznych i jest zarządzany jako jeden przełącznik logiczny. VMware vDS i podobne narzędzia pozwalają administratorom skonfigurować zasady sieciowe raz i zastosować je wszędzie.

Dzięki temu ustawienia pozostają spójne podczas migracji maszyny wirtualnej na żywo między hostami, ponieważ konfiguracja sieci automatycznie podąża za maszyną, zamiast być ustawiana osobno na każdym hoście.

SDN (Software-Defined Networking) oddziela płaszczyznę sterowania (decyzje dotyczące kierowania ruchu) od płaszczyzny danych (faktyczne przekazywanie ruchu). Centralny kontroler programuje sieć za pomocą oprogramowania, dzięki czemu staje się ona elastyczna i zautomatyzowana.

Przełączniki wirtualne naturalnie pasują do SDN: całą sieć można definiować, zmieniać i skalować w kodzie, zamiast podłączać kable, co ma kluczowe znaczenie w skali chmury.

Współczesne diagnozowanie problemów często kończy się wewnątrz hosta. Maszyna wirtualna bez łączności może mieć vNIC podłączony do niewłaściwego vSwitch, niewłaściwej sieci VLAN albo do nieaktywnego uplinku. Zrozumienie warstwy wirtualnej pozwala oszczędzić wiele godzin na szukaniu fizycznych kabli, które są sprawne.

Obowiązują te same pojęcia (przełączniki, sieci VLAN, adresy MAC), ale są one implementowane programowo wewnątrz hypervisora.

vNIC maszyny wirtualnej łączy się z portem vSwitch; vSwitch natychmiast przekazuje ruch lokalny, a ruch zewnętrzny wysyła przez uplink do fizycznej sieci LAN, opcjonalnie z oznaczeniem VLAN. Wybór trybu zewnętrznego, wewnętrznego, prywatnego lub NAT określa zasięg, a rozproszone przełączniki i SDN pozwalają skalować ten projekt na całe centra danych.

Sprawdź swoją wiedzę na temat trybów sieci wirtualnych.

Przełącznik wirtualny przekazuje ramki między maszynami wirtualnymi za pomocą ich wirtualnych kart sieciowych i łączy się z siecią fizyczną przez uplink. vSwitch obsługuje sieci VLAN oraz tryby zewnętrzny, wewnętrzny, prywatny i NAT, które pozwalają kontrolować zasięg połączeń. Rozproszone przełączniki i SDN umożliwiają skalowanie tego rozwiązania na całe centra danych, dlatego diagnozowanie problemów z siecią obejmuje teraz także wnętrze hosta.