在多重 NSX 環境中，只有已部署 NSX Edge 虛擬機器的 NSX Manager 才能使用該虛擬機器進行路由和 TEP 間通訊。其他登錄到同一個 VMware vCenter 的 NSX Manager 都無法使用該虛擬機器進行路由和 TEP 間通訊。其他 NSX Manager 執行個體會將 NSX Edge 虛擬機器視為一般虛擬機器。此案例可能會導致 NSX Edge 虛擬機器發生流量效能問題。

問題

在多重 NSX 案例中，您有下列組態：
  • NSX Manager-1 和 NSX Manager-2 登錄到同一個 VMware vCenter (計算管理程式)。
  • NSX Manager-1 已部署 NSX Edge 虛擬機器。
  • NSX Manager-2 已準備 ESXi 主機。
  • 從 vSphere Web Client，您執行 vMotion 將 NSX Edge 虛擬機器移至由 NSX Manager-2 準備的 ESXi 主機。NSX Manager-2 未部署 NSX Edge 虛擬機器。
  • NSX Manager-1 不會將 NSX Edge 視為詳細目錄虛擬機器。因此，NSX Manager-1 不會對此虛擬機器套用任何 DFW 規則。

將 NSX Edge 虛擬機器移至新的 ESXi 主機後：

  • NSX Manager-2 會將 NSX Edge 分類為一般虛擬機器，而不是 NSX Edge 虛擬機器。如果已設定任何 DFW 規則，NSX Manager-2 會對 NSX Edge 虛擬機器套用任何 DFW 規則。

    請查看範例輸出：

    https://<NSX Manager-2>/api/v1/fabric/virtual-machines
{
            “host_id”: “59ac4c38-56b1-4b82-a131-dd9ad119f53d”,
            “source”: {
                “target_id”: “59ac4c38-56b1-4b82-a131-dd9ad119f53d”,
                “target_display_name”: “10.172.17.133”,
                “target_type”: “HostNode”,
                “is_valid”: true
            },
           …..
            “type”: “REGULAR”,
            “guest_info”: {
                “os_name”: “Ubuntu Linux (64-bit)“,
                “computer_name”: “vm”
            },
            “resource_type”: “VirtualMachine”,
            “display_name”: “mgr2_edge1",
            “_last_sync_time”: 1663802733277
        },

原因

由於 NSX Manager-2 排除清單不會篩除 NSX Edge 虛擬機器，所以視為一般虛擬機器，而不是 NSX Edge 虛擬機器。因此，為工作負載設定的 DFW 規則或任何第三方防火牆規則也會套用至 NSX Edge 虛擬機器。此案例可能會導致流量中斷。

解決方案

  1. 登入 VMware vCenter，網址為 https://vCenter-Server-IP。
  2. 由於 NSX Manager-2 將 NSX Edge 虛擬機器視為一般虛擬機器，請建立 NS 群組「Edge-VMs-From-Other-Managers」，然後將 Edge 虛擬機器新增至該 NS 群組。
  3. 若要識別 NSX Manager-1 中哪些 Edge 虛擬機器必須新增至 NSX Manager-2 上的排除清單，請遵循下列步驟：
    1. 使用您呼叫下列 API 後取得的 display_name：https://<NSX Manager-1>/api/v1/transport-nodes?node_types=EdgeNode。
    2. 比對此名稱與 NSX Manager-2 的 API 回應中的 display_name：https://<NSX Manager-2>/api/v1/fabric/virtual-machines。
  4. 將 NS 群組「Edge-VMs-From-Other-Managers」新增至 NSX Manager-2 上的分散式防火牆排除清單和 SI 排除清單。
  5. 驗證 NSX Edge 虛擬機器並從第三方防火牆中排除。
  6. 如果 Edge 虛擬機器識別碼變更，請更新 NS 群組。
  7. 刪除 Edge 虛擬機器之前，請從排除清單中移除項目。
    備註： NSX Manager-2 不支援 NSX Edge 虛擬機器上的 TEP 間通訊。