مجازی سازی شبکه با VMware NSX؛ طراحی و راه اندازی

راهنمای مجازی‌سازی شبکه با VMware NSX

مجازی‌سازی شبکه با NSX برای دیتاسنتری مفید است که ماشین‌های مجازی زیادی دارد، هر سرویس جدیدش چند تغییر VLAN و فایروال روی دستگاه‌های مختلف می‌خواهد یا الزامات امنیتی آن جداسازی ترافیک بین ماشین‌ها را لازم کرده است. NSX روی میزبان‌های ESXi اجرا می‌شود، اما همه ترافیک آن از سوئیچ‌ها و روترهای فیزیکی هم عبور می‌کند. به همین دلیل بیشتر مشکلات NSX در مرز آن با شبکه فیزیکی پیدا می‌شود. نکته‌های زیر ترتیب کار و خطاهایی را توضیح می‌دهد که پیش از استقرار و در ماه‌های اول بهره‌برداری دیده می‌شوند.

آماده‌سازی شبکه فیزیکی پیش از نصب NSX

Overlay در NSX هر فریم ماشین مجازی را داخل تونل Geneve بین TEP میزبان‌ها می‌گذارد و هدر این تونل اندازه بسته را بزرگ‌تر می‌کند. MTU کل مسیر بین TEPها، یعنی کارت شبکه میزبان‌ها، Distributed Switch، سوئیچ‌های فیزیکی و Edgeها، باید دست‌کم 1600 باشد و بیشتر طراحی‌ها مقدار بزرگ‌تری انتخاب می‌کنند. اگر حتی یک سوئیچ در مسیر MTU کوچک‌تری داشته باشد، ping و درخواست‌های کوچک عبور می‌کنند اما انتقال فایل و اتصال‌هایی که بسته بزرگ دارند قطع می‌شوند. این مسیر را پیش از استقرار با ping با اندازه بزرگ و بیت Don’t Fragment بین TEPها آزمایش کنید.

VLAN و IP Pool برای TEP میزبان‌ها و Edgeها، VLANهای Uplink برای Edge و همسایگی BGP یا مسیر ثابت روی روتر هسته هم باید پیش از نصب آماده باشند. تنظیم سمت روتر و سوئیچ هسته در کانفیگ سیسکو انجام می‌شود. نسخه NSX، vCenter و ESXi را با جدول سازگاری بررسی کنید. کلاستر vSphere باید پیش از NSX پایدار باشد و ساخت یا ارتقای آن در راه‌اندازی VMware انجام می‌شود.

طراحی Edge، Tier-0 و Tier-1

Tier-1 Gateway معمولاً برای هر اپلیکیشن، واحد یا مشتری ساخته می‌شود و مسیریابی بین Segmentهای آن به‌صورت توزیع‌شده روی خود میزبان‌ها انجام می‌شود، پس ترافیک بین دو ماشین روی دو Segment به Edge نمی‌رود. Tier-0 مرز NSX با شبکه فیزیکی است و روی Edge Nodeها اجرا می‌شود. تصمیم اصلی در Tier-0 انتخاب بین Active-Active و Active-Standby است: Active-Active با ECMP و BFD چند مسیر خروج هم‌زمان دارد، ولی سرویس‌های Stateful مثل NAT، VPN و Gateway Firewall به Active-Standby نیاز دارند. اگر این سرویس‌ها روی Tier-1 قرار بگیرند، Tier-0 می‌تواند Active-Active بماند.

Edge Cluster را دست‌کم با دو Edge Node بسازید و قطع یکی از آن‌ها و قطع یک همسایه BGP را پیش از تحویل آزمایش کنید. BFD قطع مسیر را بسیار سریع‌تر از زمان‌سنج‌های پیش‌فرض BGP تشخیص می‌دهد. بدون آن، ترافیک خروجی پس از قطع یک مسیر تا پایان زمان‌سنج BGP به همان مسیر قطع‌شده فرستاده می‌شود.

Micro-segmentation بدون قطع سرویس

Distributed Firewall قاعده را جلوی کارت شبکه هر ماشین اعمال می‌کند و قواعد بر اساس Tag و گروه نوشته می‌شوند، پس با جابه‌جایی ماشین همراهش می‌روند. خطای رایج این است که قواعد از روی مستندات قدیمی اپلیکیشن نوشته شوند و یک وابستگی فراموش‌شده، مثل اتصال به DNS، Active Directory یا سرور بکاپ، سرویس را قطع کند. روش امن‌تر این است که نقشه ارتباط اپلیکیشن‌ها از ترافیک واقعی استخراج شود، ابتدا قاعده Allow همراه لاگ فعال شود و قواعد پس از چند چرخه کاری کامل بسته شوند.

قاعده پیش‌فرض Deny آخرین مرحله این کار است. Distributed Firewall جای فایروال لبه را نمی‌گیرد، چون ترافیک ورود و خروج اینترنت، VPN و فیلتر محتوا همچنان از لبه عبور می‌کند. سیاست همین فایروال لبه در مدیریت فایروال نگهداری می‌شود.

لایسنس، NSX-V و دسترسی از ایران

پیش از طراحی، وضعیت لایسنس را روشن کنید. برای خرید جدید، NSX همراه VMware Cloud Foundation عرضه می‌شود و vSphere Foundation شامل آن نیست؛ بخشی از قابلیت‌های فایروال به افزونه vDefend وابسته است و از VCF 9، Load Balancer عمومی به Avi Load Balancer منتقل شده است. دانلود از پرتال Broadcom مشمول کنترل صادرات آمریکاست و پشتیبانی رسمی برای سازمان‌های داخل ایران محدود است، پس برنامه ارتقا باید با همین فرض نوشته شود. پرسش‌های لایسنس را در لایسنس سازمانی بررسی می‌کنیم.

NSX-V از دی ۱۴۰۱ راهنمایی فنی هم نمی‌گیرد. مهاجرت از آن با فهرست کردن قواعد فایروال، Edgeها، VPNها و وابستگی‌ها شروع می‌شود و با Migration Coordinator یا انتقال مرحله‌ای ماشین‌ها به محیط NSX جدید انجام می‌شود. اگر لایسنس VCF توجیه ندارد و محیط کوچک است، طرح VLAN ساده، Proxmox SDN یا OpenStack Neutron با OVN را هم مقایسه کنید.

زمان و هزینه راه‌اندازی NSX به چه بستگی دارد؟

تعداد میزبان‌ها و کلاسترها، طرح Edge و BGP، حجم قواعد Micro-segmentation، VPN و مهاجرت از NSX-V پایه برآورد هستند. آماده‌سازی شبکه فیزیکی گاهی از خود نصب NSX طولانی‌تر است، به‌ویژه وقتی MTU و VLANها روی سوئیچ‌های چندبرندی باید تغییر کنند. Micro-segmentation هم به دوره مشاهده ترافیک نیاز دارد و در یک روز بسته نمی‌شود. هزینه لایسنس جداست. برای برآورد، تعداد میزبان‌ها، نسخه vSphere و NSX، مدل سوئیچ‌ها و روتر هسته و وضعیت لایسنس را بفرستید.

پیش از فعال کردن قاعده Deny پیش‌فرض در Distributed Firewall، مطمئن شوید دسترسی به vCenter، NSX Manager و شبکه مدیریت با قاعده Allow صریح یا فهرست استثنا باز مانده است. در غیر این صورت ممکن است مدیریت خود محیط قطع شود.