Virtuelle Netzwerkfunktionen des VMware vsphere Distributed Switch und der Cisco Nexus Switches der Serie 1000V

Transkript

1 Virtuelle Netzwerkfunktionen des VMware vsphere Distributed Switch und der Cisco Nexus Switches der Serie 1000V Dieser Lösungsüberblick wurde von Cisco und VMware in Zusammenarbeit erstellt. Inhalte: Seit der Einführung von VMware ESX verwalten viele Virtualisierungsadministratoren virtuelle Switches im Hypervisor. Dieses Dokument soll Virtualisierungs- und Netzwerkadministratoren dabei unterstützen, die verfügbaren Netzwerkfunktionen zu verstehen. Es enthält zudem Verbesserungen, die aus dem Update auf VMware vsphere 5 und Cisco Nexus Switches der Serie 1000V Version 1.4a entstanden sind. Alternativen für virtuelle Netzwerke Die virtuellen VMware Netzwerke bieten sich als Alternativen für virtuelle Netzwerke in vsphere 5 an. In Tabelle 1 finden wir eine Zusammenfassung der Funktionen dieser Alternativen sowie einen Vergleich. VMware vsphere Standard Switch Der VMware vsphere Standard Switch (VSS) ist die grundlegende virtuelle Netzwerkalternative. Er stellt eine Erweiterung der vertrauten Ansicht, Konfiguration und Funktionen des virtuellen Standard Switch (vswitch) in VMware vsphere 5 dar. VMware vsphere Distributed Switch Der VMware vsphere Distributed Switch (VDS) verfügt über ein größeres Funktionsspektrum als der VMware Standard Switch. Gleichzeitig ermöglicht er eine Vereinfachung der Netzwerkbereitstellung, -überwachung und -verwaltung durch die abstrakte Darstellung eines einzelnen verteilten Switches mehrerer VMware ESX- und VMware ESXi -Server in einem VMware Rechenzentrum. VMware vsphere 5 weist deutliche Verbesserungen der virtuellen Switches auf, da diverse Überwachungs-, Fehlerbehebungs- und erweiterte NIOC-Funktionen bereitgestellt werden. Die hohe Flexibilität des VMware vsphere Distributed Switch bei der E/A-Ressourcenzuweisung ergibt sich durch die Einführung benutzerdefinierter Netzwerkressourcenpools. Dank dieser neuen Funktionen können Netzwerkadministratoren die virtuelle Infrastruktur mit vertrauten Tools verwalten und etwaige Fehler beheben. Darüber hinaus bieten sie die Möglichkeit einer präzisen Verwaltung des gesamten Datenverkehrs. Cisco Nexus Switches der Serie 1000V Die Cisco Nexus Switches der Serie 1000V sind das Ergebnis der Zusammenarbeit zwischen Cisco und VMware. Sie basieren auf der VMware vnetwork-vswitch-api von VMware VDS und der branchenweit führenden Switching-Technologie der Cisco Nexus Produktfamilie. Die Cisco Nexus 1000V Serie basiert auf dem Cisco NX-OS Betriebssystem. Damit entsprechen die virtuellen Netzwerkfunktionen denen eines physikalischen Cisco Switches, und die VMware vsphere-umgebung verfügt über erweiterte Netzwerk-, Sicherheits- und betriebliche Funktionen. Die physikalische und virtuelle End-to-End-Netzwerkbereitstellung, -überwachung und -verwaltung erfolgt mit der Präzision virtueller Systeme und unter Verwendung geläufiger und vorhandener Tools und Schnittstellen. Die Cisco Nexus 1000V-Serie wird transparent und nahtlos in die VMware vcenter Server und den VMware vcloud Director integriert. So erhalten wir einen konsistenten Bereitstellungsworkflow im virtuellen System und Funktionen, die sich bestens für Anwendungen der Rechenzentrumsklasse, VMware View und andere geschäftskritische Bereitstellungen im virtuellen System eignen Cisco VMware. Alle Rechte vorbehalten. Seite 1

2 Tabelle 1: Vergleich virtueller Netzwerkfunktionen Switching-Funktionen CISCO NEXUS 1000V DISTRIBUTED STANDARD SWITCH SERIE 1.4a SWITCH (ENTERPRISE) (ENTERPRISE PLUS) Layer 2-Weiterleitung Ja Ja Ja IEEE 802.1Q VLAN-Tagging Ja Ja Ja Multicast-Unterstützung (Internet Group Management Protocol [IGMP] Version 2 und Version 3) Ja Ja Ja IGMPv3 Snooping VMware vsphere vmotion -Unterstützung Ja Ja Ja VMware vsphere Network vmotion Nein Ja Ja Physische Switch-Konnektivität Virtuelles MAC-Pinning Ja Ja Ja EtherChannel Ja Ja Ja Virtuelle Port-Kanäle Link Aggregation Control Protocol (LACP) Load-Balancing-Algorithmen Lastenbasiertes Teaming Nein Ja Nein Virtuelle Port-Quell-ID Ja Ja Ja MAC-Quelladresse Ja Ja Ja Erweiterte Load-Balancing-Optionen* Funktionen zum Datenverkehr-Management Small Computer System Interface over IP (iscsi)-multipathing Ja Ja Ja Unbekannte Unicast Flooding Control Quality-of-Service (QoS) Beschränkung der Rate für ausgehenden Datenverkehr (vom virtuellen System) Beschränkung der Rate für eingehenden Datenverkehr (zum virtuellen System) Ja Ja Ja Nein Ja Ja IEEE 802.1p-Tagging Nein Ja Ja Differentiated Services Code Point (DSCP) Type of Service Klassifizierung mit Zugriffskontrollliste 2011 Cisco VMware. Alle Rechte vorbehalten. Seite 2

3 (Erweiterte Klassifizierung)** CISCO NEXUS 1000V DISTRIBUTED STANDARD SWITCH SERIE 1.4a SWITCH (ENTERPRISE) (ENTERPRISE PLUS) Class-Based Weighted Fair Queuing Sicherheitsfunktionen Port-Sicherheit Ja Ja Ja Private VLANs (PVLANs) Nein Ja Ja Privates VLAN mit Promiscuous Trunks Hostübergreifende PVLAN-Isolation Nein Ja*** Ja Zugriffskontrolllisten (ACLs) DHCP Snooping für virtuelle Desktops IP Source Guard für virtuelle Desktops Dynamische ARP Inspection (Address Resolution Protocol) für virtuelle Desktops Funktionen für Standard-Verwaltungsaufgaben VMware vcenter -Unterstützung Ja Ja Ja APIs mit Drittanbieterzugriff Ja Ja Ja Cisco Discovery Protocol v1 und v2 Ja Ja Ja Link Layer Discovery Protocol (LLDP) Nein Ja Nein Netzwerkrichtliniengruppen Ja Ja Ja Multi-Tier-Richtliniengruppen Konsistenz physikalischer und virtueller Netzwerke RADIUS und TACACS+ IPv6 für Verwaltung Ja Ja Ja Konsole und Schnittstelle Überwachungsfunktionen VMware vsphere-client VMware vsphere-client VMware vsphere- Client und Cisco Kommandozeile (CLI) VMware-Portspiegelung (Promiscuous) Ja Ja Cisco Switched Port Analyzer (SPAN) Nein Ja Ja Encapsulated Remote SPAN (ERSPAN) Cisco NetFlow Nein Version 5 Version 9 Syslog Als VMware vcenter Server-Ereignisse Als VMware vcenter Server-Ereignis ACL-Protokollierung Ja 2011 Cisco VMware. Alle Rechte vorbehalten. Seite 3

4 Simple Network Management Protocol (SNMP) v3 Lese- und Schreibrechte CISCO NEXUS 1000V DISTRIBUTED STANDARD SWITCH SERIE 1.4a SWITCH (ENTERPRISE) (ENTERPRISE PLUS) SNMP-Zugriffskontrollliste Virtualisierte Netzwerk-Services Virtuelle Service-Domäne VMware VMSafe mit virtuellem System für lokale Netzwerk-Services Cisco vpath mit virtuellem System für lokale und Remote-Netzwerk-Services Physisches Gerät für die Netzwerkservice-Auslagerung Virtualisierte Netzwerkservice-Optionen Ja Ja Ja Nein Nein Cisco Nexus 1010 VMware vshield -Anwendung Ja Ja Ja VMware vshield -Edge Ja Ja Ja Cisco Virtual Security Gateway (VSG) Cisco Network Analysis Module (NAM) Lösungen**** Implementierungsleitfaden für Cisco Virtual Multi-Tenant Rechenzentrumdesign Cisco Virtual Experience Infrastructure (VXI) Virtuelle Workload-Migration zwischen Rechenzentren Implementierungsleitfaden für PCI 2.0 Compliance Design K. A. K. A. Ja K. A. K. A. Ja K. A. K. A. Ja K. A. K. A. Ja * Erweitere Load-Balancing-Optionen: MAC-Zieladresse; Layer 4-Quellport; VLAN-ID; MAC-Quell- und - Zieladressen; Layer 4-Quell- und -Zielport; IP-Quelladresse und Layer 4-Quellport; IP-Quelladresse und VLAN; IP-Zieladresse und Layer 4-Zielport; IP-Zieladresse und VLAN; IP-Quelladresse, Layer 4-Quellport und VLAN; IP-Zieladresse, Layer 4-Zielport und VLAN; IP-Quell- und -Zieladressen und VLAN; Quelle und Ziel der IP-Adressen und Layer 4-Ports; Quelle und Ziel der IP-Adressen und Layer 4-Ports plus VLAN. ** ACL-Klassifizierung: Class of Service, IP Precedence, Paketlänge, Real Time Protocol (RTP), QoS-Gruppen, 2-Rate/3-Color-Richtlinien *** Hostübergreifende VMware VDS PVLAN-Isolierung erfordert PVLAN-Unterstützung für den physischen Upstream-Switch. **** Die Lösungskategorie zeigt die validierten und getesteten Lösungen von Cisco. Sie umfasst VMware ESX, die VMware ESXi -Plattform und verschiedene Komponenten von Cisco. VMware hat bereits mit unterschiedlichen Partnern Lösungen entwickelt. Die entsprechenden Leitfäden dazu finden Sie auf der VMware Website und den 2011 Cisco VMware. Alle Rechte vorbehalten. Seite 4

5 Partner-Websites. Es stehen allerdings keine validierten Design-Leitfäden zur Verfügung, die sich auf die Nutzung von vsphere Standard und Distributed Switches konzentrieren. Merkmale und Funktionen In diesem Abschnitt finden Sie zusätzliche Informationen zu einigen in Tabelle 1 aufgelisteten Merkmalen und Funktionen. Switching-Funktionen Multicast: Beide vswitch-alternativen unterstützen Multicast-Datenverkehr und Multicast- Gruppenmitgliedschaften durch IGMP. Die VMware vswitches unterscheiden sich bei der Implementierung leicht voneinander. Die VMware vswitches erhalten die Mitgliedschaft in einer Multicast- Gruppe durch einen Non-Flooding-Registrierungsprozess. Auf ganz ähnliche Weise nutzt die Cisco Nexus 1000V Serie IGMP-Snooping für physische Switches. Network VMware VMotion: Die Netzwerkrichtlinie, die einem VMware VDS-Port zugeordnet ist, wird bei der Migration mit VMware VMotion auf einen anderen Host mit dem virtuellen System übertragen. Zudem hält der Cisco Switch der Nexus 1000V Serie den Netzwerkstatus der Verwaltungs- und Fehlerbehebungsdaten aufrecht, die der Netzwerkschnittstelle eines virtuellen Systems zugeordnet sind. So wird unabhängig vom Standort des virtuellen Systems eine konsistente Ansicht der Netzwerkschnittstellen gewährleistet. Physische Switch-Konnektivität EtherChannel: EtherChannel und PortChannel sind häufig verwendete Begriffe für die IEEE 802.3adund die 802.1AX-Link-Aggregation. Die VMware-vSwitches verwenden und benötigen eine statische Konfiguration auf dem angrenzenden physischen Switch ohne LACP-Aushandlung, während die EtherChannels der Cisco Nexus 1000V Serie vollständig durch LACP ausgehandelt werden können. Die Cisco Nexus 1000V Serie unterstützt zudem virtuelle PortChannels, was präzises Datenverkehr- Load-Balancing über mehrere physische Switches hinweg mit einem einzigen PortChannel ermöglicht. Damit kann die Netzwerkkonfiguration deutlich vereinfacht werden. Die Verfügbarkeit der Netzwerkkonnektivität verbessert sich und damit auch die Betriebszeiten des virtuellen Systems für die EtherChannel-Konfigurationen. Load-Balancing-Algorithmen Virtuelle Port-Quell-ID: Es gibt viele Möglichkeiten, den Datenverkehr innerhalb eines EtherChannels oder LACP zu verteilen. Die virtuelle Port-ID ist nur eine von vielen hier aufgelisteten Techniken. Cisco bietet insgesamt 17 erweiterte Möglichkeiten für das Load Balancing des Datenverkehrs, die konsistent mit den Techniken des physischen Netzwerk-Load-Balancing sind. Lastenbasiertes Teaming: Der VMware vsphere Distributed Switch stellt einen einzigartigen Load- Balancing-Algorithmus bereit, der die physische Port-Bandbreitennutzung einbezieht, während der Datenverkehr auf mehrere aktive Ports verteilt wird. Dieser Algorithmus funktioniert in der Rx- und in der Tx-Richtung. Funktionen zum Datenverkehr-Management iscsi Multipathing: Der iscsi-datenverkehr verwendet mehrere Pfade durch das Netzwerk. Unbekannte Unicast Flooding Control: Diese Funktion reduziert das Unicast Flooding und den CPU- Workload auf dem Server Cisco VMware. Alle Rechte vorbehalten. Seite 5

6 QoS-Funktionen Beschränkung der Rate für ausgehenden Datenverkehr (vom virtuellen System): Die Funktion beschränkt die Geschwindigkeit des Datenverkehrs vom virtuellen System zum Netzwerk. Beschränkung der Rate für eingehenden Datenverkehr (zum virtuellen System): Dank dieser Funktion kann die Geschwindigkeit des Datenverkehrs zum virtuellen System aus dem Netzwerk beschränkt werden. IEEE 802.1p-Tagging: Die Tagging-Funktion führt eine Layer 2 QoS-Markierung des Datenverkehrs durch. DSCP: Es wird eine Layer 3 Differentiated Services QoS-Markierung durchgeführt. ACL-Klassifikation (erweiterte Klassifikation): Cisco bietet acht unterschiedliche Methoden zur Klassifikation, Markierung und richtliniengestützten Steuerung des Datenverkehrs. Sicherheitsfunktionen Lokale PVLAN-Durchsetzung: Diese Funktion ermöglicht den Schutz der virtuellen Infrastruktur mit der PVLAN-Funktion, ohne dabei PVLAN auf dem physischen Netzwerk-Switch zu konfigurieren. Port-Sicherheit: Die Port-Sicherheit mit VMware Switches ist eine Kontrollfunktion für die MAC-Adressen, die die Verwendung des Promiscuous-Modus, MAC-Adressenänderungen durch ein virtuelles System und erzwungene Übertragungen von einem virtuellen System steuert. Die Cisco Nexus 1000V Serie unterstützt auf MAC-Adressen basierende Port-Sicherheit und konfigurierbare Zugriffskontrolllisten (ACLs). PVLANs: PVLANs sind eine neue Funktion in der VMware VDS- und der Cisco Nexus 1000V Serie. PVLANs stellen einen einfachen Mechanismus für die Isolierung einzelner virtueller Systeme in einem VLAN bereit. Der VMware VDS implementiert die PVLAN-Durchsetzung auf dem Zielhost. Die Cisco Nexus 1000V Serie unterstützt einen hocheffizienten Durchsetzungsmechanismus, der Pakete an der Quelle anstatt am Ziel filtert, sodass sichergestellt wird, dass kein unerwünschter Datenverkehr das Netzwerk durchquert und so die für andere virtuelle Systeme verfügbare Netzwerkbandbreite vergrößert wird. Daher kann die Cisco Nexus 1000V Serie PVLAN auf mehreren Hosts ohne Upstream-Switch- Unterstützung implementieren. DHCP Snooping, IP Source Guard und dynamische ARP-Prüfung: Diese drei Funktionen schützen virtuelle Desktop-Bereitstellungen durch die Sicherung der Layer 2-Domäne. Diese Funktionen verhindern nicht autorisierte DHCP-Server und Man-in-the-Middle-Angriffe durch eine Überprüfung der IP- und ARP-Pakete, um sicherzustellen, dass sie der DHCP Snooping-Tabelle entsprechen. Bei der virtuellen Desktop-Bereitstellung ermöglichen diese Funktionen virtuellen Desktops und physikalischen Desktops dieselben Netzwerksicherheitsvorkehrungen. Tägliche Verwaltungsfunktionen Multi-Tier-Richtliniengruppen: Die einzigartigen Portprofil-Funktionen der Cisco Nexus 1000V Serie ermöglichen Netzwerkadministratoren das Erstellen von Multi-Tier-Richtliniengruppen, was die Erstellung und Durchsetzung der Richtlinien vereinfacht. Konsole und Schnittstelle: Virtuelle Netzwerke mit VMware vswitches werden über die VMware vsphere-client-schnittstelle konfiguriert. Für die Verwendung und Konfiguration von VMware VDS ist ein VMware vcenter-server erforderlich. Bei der Cisco Nexus 1000V Serie wird eine Kombination der Cisco Kommandozeile (CLI) verwendet, um dem Netzwerkadministrator die Konfiguration der Netzwerkrichtlinien und des VMware vcenter-server zu ermöglichen, damit der Bereitstellungs-Workflow des virtuellen Systems beibehalten werden kann Cisco VMware. Alle Rechte vorbehalten. Seite 6

7 Überwachungsfunktionen VMware Portspiegelung (Promiscuous): Der VMware vswitch kann Datenverkehr für ein VLAN oder alle VLANs an ein virtuelles System auf einem Promiscuous Port der virtuellen Netzwerkschnittstellenkarte (vnic) senden, der mit Datenverkehrsüberwachung oder Sniffing konfiguriert wurde. Cisco Switched Port Analyzer (SPAN) und Encapsulated Remoted SPAN (ERSPAN): Die VMware VDS und die Cisco Nexus 1000V Serie ermöglichen die Paketaufzeichnung und -analyse durch Unterstützung von Funktionen wie Cisco SPAN. Des Weiteren unterstützt die Cisco Nexus 1000V Serie ERSPAN. Dies ermöglicht eine Kopie des Datenverkehrs an ein Remote-Ziel, was eine gründliche und beschleunigte Behebung von Netzwerkproblemen erlaubt. Syslog: VMware ESX-Server können Syslog-Informationen für den gesamten Server exportieren. Dieser Vorgang erfordert Filter- und Analyseprozesse, mit denen die VMware vswitch-ereignisse extrahiert werden. Die Cisco Nexus 1000V Serie kann umfangreiche netzwerkspezifische Ereignisse auf entsprechende Syslog-Server exportieren, sodass Fehlerberichte, die nicht auf Netzwerkprobleme hinweisen, potenziell eliminiert werden. Diese Funktion ermöglicht Netzwerkadministratoren eine beschleunigte Diagnose potenzieller Probleme. Cisco NetFlow: Der VMware VDS unterstützt Cisco NetFlow Version 5, während Cisco Nexus 1000V Unterstützung für NetFlow Version 9 bereitstellt. Die NetFlow-Funktion virtueller Switches trägt zur Überwachung virtueller Infrastrukturabläufe bei, die in der physischen Switch-Infrastruktur nicht sichtbar sind. Version 9 ist weitaus flexibler und passt die an den NetFlow Collector gesendete Informationsmenge an. Virtualisierte Netzwerk-Services Virtuelle Service-Domäne: Diese Funktion stellt eine Methode zur Definition einer logischen Gruppe virtueller Systeme bereit, die durch eine virtuelle Lösung geschützt wird. Der gesamte Datenverkehr, der in die Gruppe eintritt oder sie verlässt, wird an diese spezielle virtuelle Lösung gesendet. Cisco vpath mit virtuellem System für lokale und Remote-Services: Das virtuelle Service-System kann sich auf demselben Server wie das virtuelle Produktionssystem oder auf einem Remote-Server befinden. Physische Lösung für die Auslagerung von Netzwerkservices: Das virtuelle Service-System kann auf dem Cisco Nexus 1010 gehostet und vom Netzwerkservice-Team verwaltet und ausgelagert werden. Virtualisierte Netzwerkservice-Optionen Cisco Network Analysis Module (NAM): Dieses Modul verwendet Cisco NetFlow und ERSPAN über den Cisco Switch der Nexus 1000V Serie und andere Quellen für umfassende Transparenz über das Rechenzentrums-Netzwerk. Lösungen Implementierungsleitfaden für Cisco Virtual Multi-Tenant Rechenzentrumdesign: Cisco hat den Infrastructure-as-a-Service (IaaS) vollständig getestet und dokumentiert Cisco VMware. Alle Rechte vorbehalten. Seite 7

8 Cisco Virtual Experience Infrastructure (VXI): Mit VMware vsphere und VMware View sowie der Cisco Nexus 1000V Serie verfügt Cisco über ein vollständig getestetes Referenzdesign für die Bereitstellung virtueller Desktops. ide.pdf Virtuelle Workload-Migration zwischen Rechenzentren: Für die VMware vmotion-migration zwischen Rechenzentren steht ein Cisco Validated Design zur Verfügung. EMC: NetApp: Implementierungsleitfaden für PCI 2.0 Compliance Design: In diesem Handbuch finden Sie einen detaillierten Plan für Einzelhandelsunternehmen zur Erreichung der PCI Compliance, darunter virtuelle Workloads mit der Cisco Nexus 1000V Serie Cisco VMware. Alle Rechte vorbehalten. Seite 8

9 2011 Cisco und/oder Partnerunternehmen. Cisco und das Cisco Logo sind Marken von Cisco Systems, Inc. und/oder von Partnerunternehmen in den Vereinigten Staaten und anderen Ländern. Eine Liste der Cisco Marken finden Sie unter Die genannten Marken anderer Anbieter sind Eigentum der jeweiligen Inhaber. Die Verwendung des Begriffs Partner impliziert keine gesellschaftsrechtliche Beziehung zwischen Cisco und anderen Unternehmen (1005R). Copyright 2011 VMware, Inc. Alle Rechte vorbehalten. Dieses Produkt wird von US-amerikanischen und internationalen Gesetzen zu Copyright und geistigem Eigentum geschützt. VMware Produkte werden von mindestens einem der Patente abgedeckt, die unter aufgelistet sind. VMware ist eine eingetragene Marke bzw. Marke von VMware, Inc. in den Vereinigten Staaten und/oder anderen Ländern. Alle anderen in diesem Dokument genannten Marken und Namen sind u. U. Marken der jeweiligen Unternehmen Cisco VMware. Alle Rechte vorbehalten. Seite 9