在多重 NSX-T Data Center 環境中,只有已部署 NSX Edge 虛擬機器的 NSX Manager 才能使用該虛擬機器進行路由和 TEP 間通訊。其他登錄到同一個 vCenter ServerNSX Manager 都無法使用該虛擬機器進行路由和 TEP 間通訊。其他 NSX Manager 執行個體會將 NSX Edge 虛擬機器視為一般虛擬機器。此案例可能會導致 NSX Edge 虛擬機器發生流量效能問題。

問題

在多重 NSX-T Data Center 案例中,您有下列組態:
  • NSX Manager-1 和 NSX Manager-2 登錄到同一個 vCenter Server (計算管理程式)。
  • NSX Manager-1 已部署 NSX Edge 虛擬機器。
  • NSX Manager-2 已準備 ESXi 主機。
  • vSphere Web Client,您執行 vMotion 將 NSX Edge 虛擬機器移至由 NSX Manager-2 準備的 ESXi 主機。NSX Manager-2 未部署 NSX Edge 虛擬機器。
  • NSX Manager-1 不會將 NSX Edge 視為詳細目錄虛擬機器。因此,NSX Manager-1 不會對此虛擬機器套用任何 DFW 規則。

NSX Edge 虛擬機器移至新的 ESXi 主機後:

  • NSX Manager-2 會將 NSX Edge 分類為一般虛擬機器,而不是 NSX Edge 虛擬機器。如果已設定任何 DFW 規則,NSX Manager-2 會對 NSX Edge 虛擬機器套用任何 DFW 規則。

    請查看範例輸出:

    https://<NSX Manager-2>/api/v1/fabric/virtual-machines
    {
                “host_id”: “59ac4c38-56b1-4b82-a131-dd9ad119f53d”,
                “source”: {
                    “target_id”: “59ac4c38-56b1-4b82-a131-dd9ad119f53d”,
                    “target_display_name”: “10.172.17.133”,
                    “target_type”: “HostNode”,
                    “is_valid”: true
                },
               …..
                “type”: “REGULAR”,
                “guest_info”: {
                    “os_name”: “Ubuntu Linux (64-bit)“,
                    “computer_name”: “vm”
                },
                “resource_type”: “VirtualMachine”,
                “display_name”: “mgr2_edge1",
                “_last_sync_time”: 1663802733277
            },
    

原因

由於 NSX Manager-2 排除清單不會篩除 NSX Edge 虛擬機器,所以視為一般虛擬機器,而不是 NSX Edge 虛擬機器。因此,為工作負載設定的 DFW 規則或任何第三方防火牆規則也會套用至 NSX Edge 虛擬機器。此案例可能會導致流量中斷。

解決方案

  1. 登入 vCenter Server,網址為 https://vCenter-Server-IP
  2. 由於 NSX Manager-2 將 NSX Edge 虛擬機器視為一般虛擬機器,請建立 NS 群組「Edge-VMs-From-Other-Managers」,然後將 Edge 虛擬機器新增至該 NS 群組。
  3. 若要識別 NSX Manager-1 中哪些 Edge 虛擬機器必須新增至 NSX Manager-2 上的排除清單,請遵循下列步驟:
    1. 使用您呼叫下列 API 後取得的 display_namehttps://<NSX Manager-1>/api/v1/transport-nodes?node_types=EdgeNode
    2. 比對此名稱與 NSX Manager-2 的 API 回應中的 display_namehttps://<NSX Manager-2>/api/v1/fabric/virtual-machines
  4. 將 NS 群組「Edge-VMs-From-Other-Managers」新增至 NSX Manager-2 上的分散式防火牆排除清單和 SI 排除清單。
  5. 驗證 NSX Edge 虛擬機器並從第三方防火牆中排除。
  6. 如果 Edge 虛擬機器識別碼變更,請更新 NS 群組。
  7. 刪除 Edge 虛擬機器之前,請從排除清單中移除項目。
    備註: NSX Manager-2 不支援 NSX Edge 虛擬機器上的 TEP 間通訊。