ESXi 5.5 vSwitches en fysieke NICS

[vandijk]

Ik heb de volgende (homelab) configuratie:

- ESXi server met 2 NICs
- Layer 2 switch (TP-Link)
- Windows server met 2 NICs (teaming/bonding/LAG van deze NICs is niet mogelijk

op de ESX server draait de volgende config:
- vSwitch gekoppeld aan NIC 1 & 2 met load balancing/fail over
- 4 VMs met een vNIC in vSwitch

Nu wil ik het 'productie' verkeer van deze VMs en de fysieke server gaan afschermen van het management/backup verkeer.

Op mijn switch kan ik de twee fysieke NICs van de Fysieke server in een eigen VLAN plaatsen. Maar aan de ESX kant wil ik de 2 uplinks niet splitsen (ivm load balancing)

Mijn idee was om een tweede vSwitch te maken en deze ook aan beide NICS te koppelen, en op de switch beide VLANs op beide NICs zichtbaar te maken. Vervolgens de vSwitches ieder te koppelen aan 1 van de VLANs.

Alle VM's krijgen dan een extra vNIC, 1 op vSwitch 1 en de ander op vSwitch 2.

Op het moment dat ik de twee NICs koppelde aan mijn vSwitch en op apply drukte verloor ik de verbinding met ESX en alle VM's. Na een reset van de netwerk settings via de console kon ik de boel weer werkend krijgen. Ik krijg de indruk dat het koppelen van 1 NIC aan twee vSwitches niet gaat werken.

Wat is een betere oplossing. Het aanschaffen van een extra (dual/quadport) NIC) staat niet zo hoog op mijn lijst van mogelijkheden

[Question Mark]

Ik zou een vlan trunk defineren op de verbinding tussen switch en ESX hosts. Verder koppel je dan portgroups aan je vswitch, die je met het juiste vlan-id kunt scheiden. Je vm's koppel je dan met 1 of meerdere vnics aan de juiste portgroups.

Configuring a VLAN on a portgroup

[PerfectPC]

Question Mark schreef op maandag 03 maart 2014 @ 13:05:
Ik zou een vlan trunk defineren op de verbinding tussen switch en ESX hosts. Verder koppel je dan portgroups aan je vswitch, die je met het juiste vlan-id kunt scheiden. Je vm's koppel je dan met 1 of meerdere vnics aan de juiste portgroups.

Configuring a VLAN on a portgroup

jup, zo en niet anders

[Dennism]

Ik vraag me eigenlijk een klein beetje af wat je hiermee wil bereiken. Is dit om te leren, of wil je er ook daadwerkelijk iets mee bereiken. Want afgezien van een klein stukje veiligheid d.m.v. van het afschermen van verkeer zie ik eigenlijk geen voordelen in een homelab hiermee, mocht je performance zoeken i.p.v. veiligheid dan zou ik toch nic's gaan bijplaatsen. Hetzelfde verkeer blijft over de 2 zelfde touwtjes gaan, dus daar van m.i. weinig te behalen, terwijl je mogelijk wel (afhankelijk van je netwerk inrichting en wensen) op netwerk gebied nog wel wat zaken moet gaan aanpassen om het allemaal werkend te krijgen.

Verder is de oplossing van Question Mark wel wat je zoekt.

[vandijk]

Het is inderdaad om van te leren. En veiligheid is nu (iets) belangrijker dan performance. Als dit werkt, dan wil ik ook de dmz hosts die nu in het 'productie' netwerk zitten verplaatsen naar een dmz portgroup.

Met 3 gescheiden segmenten zal ik inderdaad iets moeten gaan doen met ip ranges, routering, dns etc. Ik heb al een pfSense VM ingericht hiervoor.

Als ik dan nog een extra 'WAN' segment toevoegm dan pfSense de functie van mijn Fr!tzBox 7390 (XS4all 100/100 glas) kan overnemen. Bij dit laatste heb ik wel het gevoel dat ik daarmee alle eieren in 1 mandje doe. Als ESXi niet start, dan heb ik ook geen internet. Als het zover komt, dan ga ik zeker nog een paar netwerk poorten toevoegen.

Straks eerst maar eens kijken of ik die trunk aan de praat krijg.

[vandijk]

@question mark: dank voor de tip!

Het is gelukt. Het lastigst was dat de TP-Link TL-SG3216 per poort/LAG een linktype kan instellen. (trunk,general en access) Daarnaast kan ook per poort/LAG een egres rule ingesteld worden.

Voor de LAG waar de ESX server aan hangt is de instelling: linktype: general (niet trunk) en egres rule: tag. Voor de poort waar de fysieke server aan hangt: linktype: access, egres rule: untag.