Você pode usar duas VLANs não roteáveis que são separadas lógica e fisicamente para produzir uma topologia air-gap.
Este exemplo fornece as etapas de configuração para um switch distribuído vSphere, mas você também pode usar switches padrão vSphere. Ele usa duas NICs físicas de 10 Gb e as separa logicamente na camada de rede vSphere.
Crie dois grupos de portas distribuídos para cada vSAN VMkernel vmknic. Cada grupo de portas tem uma etiqueta de VLAN separada. Para a configuração do vSAN VMkernel, são necessários dois endereços IP em ambas as VLANs para o tráfego do vSAN.
Implementações práticas normalmente usam quatro uplinks físicos para redundância total.
Para cada grupo de portas, a política de agrupamento e failover usa as configurações padrão.
-
Balanceamento de carga definido como Rotear com base na ID da porta de origem (Route based on originating port ID)
-
Detecção de falha de rede definida como Somente status do link (Link Status Only)
-
Chaves de notificação definidas com o valor padrão de Sim (Yes)
-
Failback definido com o valor padrão de Sim (Yes)
-
A configuração de uplink tem um uplink na posição Ativo (Active) e um uplink na posição Não usado (Unused).
Uma rede está completamente isolada da outra rede.
vSAN Grupo de portas 1
Este exemplo usa um grupo de portas distribuído chamado vSAN-DPortGroup-1. A VLAN 3266 é marcada para este grupo de portas com a seguinte política de agrupamento e failover:
-
Tráfego no grupo de portas marcado com VLAN 3266
-
Balanceamento de carga definido como Rotear com base na ID da porta de origem (Route based on originating port ID)
-
Detecção de falha de rede definida como Somente status do link (Link Status Only)
-
Chaves de notificação definidas com o valor padrão de Sim (Yes)
-
Failback definido com o valor padrão de Sim (Yes)
-
A configuração do uplink tem o Uplink 1 na posição Ativo (Active) e o Uplink 2 na posição Não utilizado (Unused).
vSAN Grupo de portas 2
Para complementar o vSAN grupo de portas 1, configure um segundo grupo de portas distribuído chamado vSAN-portgroup-2, com as seguintes diferenças:
-
Tráfego no grupo de portas marcado com VLAN 3265
-
A configuração do uplink tem o Uplink 2 na posição Ativo (Active) e o Uplink 1 (Uplink 1 )na posição Não utilizado (Unused) .
vSAN Configuração da porta do VMkernel
Crie duas interfaces VMkernel vSAN e em ambos os grupos de portas. Neste exemplo, os grupos de portas são denominados vmk1 e vmk2.
-
vmk1 está associado à VLAN 3266 (172.40.0.xx) e, como resultado, o grupo de portas vSAN-DPortGroup-1.
-
vmk2 (vmk2 )está associado à VLAN 3265 (192.60.0.xx) e, como resultado, o grupo de portas vSAN-DPortGroup-2.
Balanceamento de carga
vSAN não tem mecanismo de balanceamento de carga para diferenciar entre vários vmknics, portanto, o caminho de E/S vSAN escolhido não é determinístico entre NICs físicas. Os gráficos de desempenho vSphere mostram que uma NIC física geralmente é mais utilizada do que a outra. Um teste de E/S simples realizado em nossos laboratórios, usando 120 VMs com uma proporção de leitura/gravação de 70:30 com um tamanho de bloco de 64 K em um cluster vSAN totalmente flash de quatro hosts, revelou uma carga desbalanceada nas NICs.
Os gráficos de desempenho do vSphere mostram uma carga desbalanceada nas NICs.
Redundância de uplink de rede perdida
Considere uma falha de rede introduzida nessa configuração. vmnic1 não está ativado em um determinado host vSAN. Como resultado, a porta vmk2 é afetada. Uma NIC com falha aciona alarmes de conectividade de rede e alarmes de redundância.
Para vSAN, esse processo de failover é acionado aproximadamente 10 segundos (10 seconds) depois que o CMMDS (Monitoramento de Cluster, Associação e Serviços de Diretório) detecta uma falha. Durante o failover e a recuperação, o vSAN interrompe todas as conexões ativas na rede com falha e tenta restabelecer as conexões na rede funcional restante.
Como duas portas VMkernel vSAN separadas se comunicam em VLANs isoladas, vSAN falhas de verificação de integridade podem ser acionadas. Isso é esperado, pois vmk2 não pode mais se comunicar com seus peers na VLAN 3265.
Os gráficos de desempenho mostram que a carga de trabalho afetada foi reiniciada em vmnic0, pois vmnic1 tem uma falha. Este teste ilustra uma distinção importante entre o agrupamento de vSphere NIC e essa topologia. vSAN tenta restabelecer ou reiniciar conexões na rede restante.
No entanto, em alguns cenários de falha, a recuperação das conexões afetadas pode exigir até 90 segundos (90 seconds) para ser concluída, devido ao ESXi tempo limite da conexão TCP. As tentativas de conexão subsequentes podem falhar, mas as tentativas de conexão expiram em 5 segundos, e as tentativas alternam entre todos os endereços IP possíveis. Esse comportamento pode afetar a E/S do convidado da máquina virtual. Como resultado, talvez seja necessário tentar novamente a E/S do aplicativo e da máquina virtual.
Por exemplo, em VMs Windows Server 2012, as IDs de evento 153 (redefinição do dispositivo) e 129 (eventos de repetição) podem ser registradas durante o processo de failover e recuperação. No exemplo, a ID de evento 129 estava sendo registrada em log por aproximadamente 90 segundos até que a E/S fosse recuperada.
Talvez seja necessário modificar as configurações de tempo limite do disco de alguns sistemas operacionais convidados para garantir que eles não sejam gravemente afetados. Os valores de tempo limite do disco podem variar, dependendo da presença de VMware Tools e do tipo e da versão específicos do SO guest. Para obter mais informações sobre como alterar os valores de tempo limite do disco do SO guest, vá para VMware KB 1009465.
Recuperação e failback
Quando a rede é reparada, as cargas de trabalho não são rebalanceadas automaticamente, a menos que ocorra outra falha para forçar a carga de trabalho, devido a outra falha. Assim que a rede afetada for recuperada, ela ficará disponível para novas conexões TCP.
