Fonctionnalités de la mise en réseau virtuelle du commutateur réparti VMware vsphere et des commutateurs de la gamme Cisco Nexus 1000V

Transcription

1 Fonctionnalités de la mise en réseau virtuelle du commutateur réparti VMware vsphere et des commutateurs de la gamme Cisco Nexus 1000V Cette présentation de la solution est le fruit du travail réalisé conjointement par Cisco et VMware. Qu'allez-vous apprendre? Depuis la sortie de VMware ESX, de nombreux administrateurs de virtualisation administrent les commutateurs virtuels depuis le logiciel Hypervisor. Ce document est destiné à aider les administrateurs de virtualisation et de réseau à comprendre les fonctionnalités de la mise en réseau virtuelle disponibles. Ce document traite des améliorations résultant des mises à jour de VMware vsphere 5 et des commutateurs Cisco Nexus 1000V version 1.4a. Alternatives à la mise en réseau virtuelle Grâce à la mise en réseau virtuelle VMware, la technologie VMware dispose de nombreuses alternatives pour la mise en réseau virtuelle dans vsphere 5. Le tableau 1 établit un récapitulatif et une comparaison des fonctionnalités de ces alternatives. Commutateur standard VMware vsphere Le commutateur standard VMware vsphere (VSS) constitue l'alternative de base à la mise en réseau virtuelle. VMware vsphere 5 a une apparence, un système de configuration et des fonctionnalités identiques au commutateur virtuel (vswitch) standard. Commutateur réparti VMware vsphere Le commutateur réparti VMware vsphere (VDS) offre le même jeu de fonctionnalités que le commutateur standard VMware tout en simplifiant le provisionnement, la surveillance et la gestion du réseau via une représentation de commutateur réparti unique et virtuelle de plusieurs serveurs VMware ESX et VMware ESXi dans un centre de données VMware. VMware vsphere 5 concrétise des avancées importantes en termes de commutation virtuelle en offrant des fonctionnalités pour la surveillance, le dépannage et NIOC améliorées. Le commutateur réparti VMware vsphere offre une certaine souplesse au processus d'affectation des ressources d'e/s en introduisant des pools de ressources réseau définis par l'utilisateur. Ces nouvelles fonctionnalités aideront les administrateurs de réseau à gérer et à dépanner leur infrastructure virtuelle à l'aide d'outils connus et fourniront des fonctions avancées pour gérer le trafic de manière précise. Commutateurs de la gamme Cisco Nexus 1000V Les commutateurs Cisco Nexus 1000V sont le fruit de la collaboration entre Cisco et VMware, qui a abouti à l'élaboration de l'api vswitch tierce réseau VMware du VDS VMware et de la technologie de commutation leader sur laquelle est basée la gamme de commutateurs Cisco Nexus. Dotés du système d'exploitation de centre de données Cisco NX-OS, les commutateurs Cisco Nexus 1000V offrent le même jeu de fonctionnalités de mise en réseau virtuelle que les commutateurs physiques Cisco, et par conséquent des fonctionnalités avancées de centre de données en matière de mise en réseau, de sécurité et d'exploitation pour l'environnement VMware vsphere. Ces commutateurs permettent un provisionnement, une surveillance et une gestion de bout en bout des réseaux physiques comme virtuels, ainsi qu'une précision virtuelle au niveau de la machine à l'aide des outils et interfaces habituels. Les commutateurs Cisco Nexus 1000V s'intègrent en toute transparence au 2011 Cisco VMware. Tous droits réservés. Page 1

2 serveur VMware vcenter ainsi qu'au directeur VMware vcloud pour offrir un flux de travail constant tout en mettant à votre disposition des fonctionnalités parfaitement adaptées aux applications relatives aux centres de données, à VMware View et aux autres déploiements essentiels de machine virtuelle. Table 1: Comparatif des fonctionnalités de mise en réseau virtuelle Caractéristiques de commutation COMMUTATEUR STANDARD VMWARE VSPHERE 5 (ENTERPRISE) COMMUTATEUR RÉPARTI VMWARE VSPHERE 5 (ENTERPRISE PLUS) GAMME CISCO NEXUS 1000V 1.4a Acheminement de couche 2 Étiquetage VLAN IEEE 802.1Q Prise en charge de la multidiffusion (versions 2 et 3 du protocole IGMP [Internet Group Management Protocol]) Surveillance IGMPv3 Prise en charge de VMware vsphere vmotion VMware vsphere Network vmotion Non Oui Oui Connectivité des commutateurs physiques Épinglage MAC virtuel EtherChannel Canaux de port virtuels Protocole LACP (Link Aggregation Control Protocol) Algorithmes d'équilibrage de charge Groupage basé sur la charge Non Oui Non ID de port virtuel source Adresse MAC source Options avancées d'équilibrage de charge* Fonctionnalités de gestion du trafic Cheminement multiple iscsi (Small Computer System Interface over IP) Contrôle d'acheminement par inondation en monodiffusion inconnu Qualité de service (QoS) Limitation de débit de transmission (de la machine virtuelle) Limitation de débit de réception (vers la machine virtuelle) Non Oui Oui 2011 Cisco VMware. Tous droits réservés. Page 2

3 COMMUTATEUR STANDARD VMWARE VSPHERE 5 (ENTERPRISE) COMMUTATEUR RÉPARTI VMWARE VSPHERE 5 (ENTERPRISE PLUS) GAMME CISCO NEXUS 1000V 1.4a Étiquetage IEEE 802.1p Non Oui Oui Marquage DSCP (Differentiated Services Code Point) Type de service Classification par liste de contrôle d'accès (classification avancée)** Mise en attente pondérée en fonction de la classe Fonctionnalités de sécurité Sécurité des ports VLAN privés (PVLAN) Non Oui Oui VLAN privé avec liaisons en mode de proximité Détection PVLAN entre hôtes Non Oui*** Oui Listes de contrôles d'accès Surveillance DHCP pour les postes de travail virtuels IP Source Guard pour les postes de travail virtuels Surveillance dynamique du protocole ARP (Address Resolution Protocol) pour les postes de travail virtuels Fonctionnalités de gestion quotidienne Prise en charge de VMware vcenter API accessibles aux tiers Protocole CDP (Cisco Discovery Protocol) v1 et v2 Protocole LLDP (Link Layer Discovery Protocol) Non Oui Non Groupes de stratégies du réseau Groupes de stratégies à plusieurs niveaux Cohérence des réseaux physiques et virtuels RADIUS et TACACS+ IPv6 pour la gestion 2011 Cisco VMware. Tous droits réservés. Page 3

4 Console et interface Fonctionnalités de surveillance Redondance des ports VMware (mode de proximité) Analyseur de port commuté Cisco (SPAN) Client VMware vsphere Client VMware vsphere Client VMware vsphere et interface de ligne de commande Cisco (CLI) Oui Oui - Non Oui Oui SPAN distant encapsulé (ERSPAN) Cisco NetFlow Non Version 5 Version 9 Syslog Consignation des listes de contrôle d'accès Lecture et écriture du protocole de gestion de réseau simple (SNMP) v3 En tant qu'événements du serveur VMware vcenter En tant qu'événement du serveur VMware vcenter Oui Liste de contrôle d'accès SNMP Services réseau virtualisés Domaine de service virtuel VMware VMSafe avec machine virtuelle de service réseau local Cisco vpath avec machine virtuelle de service réseau local et distant Dispositif physique pour le délestage du service réseau Options de services pour réseau virtualisé Non Non Cisco Nexus 1010 VMware vshield App VMware vshield Edge Passerelle de sécurité virtuelle Cisco (VSG) Module Cisco Network Analysis (NAM) Solutions**** Guide de mise en œuvre de conception de centre de données Cisco virtuel partagé N/A N/A Oui 2011 Cisco VMware. Tous droits réservés. Page 4

5 Cisco Virtual Experience Infrastructure (VXI) Migration de charge de travail virtuelle entre centres de données Guide de mise en œuvre de conception de conformité PCI (Payment Card Industry) 2.0 N/A N/A Oui N/A N/A Oui N/A N/A Oui * Options avancées d'équilibrage de charge : adresse MAC de destination ; port de la couche 4 source ; ID du VLAN ; adresses MAC source et de destination ; port de la couche 4 source et de destination ; adresse IP source et port de la couche 4 source ; adresse IP source et VLAN ; adresse IP de destination et port de la couche 4 de destination ; adresse IP de destination et VLAN ; adresse IP source, port de la couche 4 source et VLAN ; adresse IP de destination, port de la couche 4 de destination et VLAN ; adresses IP source et de destination et VLAN ; adresses IP et ports de la couche 4 source et de destination ; et adresses IP et ports de la couche 4 source et de destination plus VLAN. ** Classification par liste de contrôle d'accès : classe de service, priorité IP, longueur des paquets, protocole en temps réel (RTP), groupes QoS, 2 débits et stratégie à 3 couleurs. *** La détection PVLAN entre hôtes de VMware VDS nécessite une prise en charge du PVLAN du commutateur physique en amont. **** La catégorie de solution indique les solutions validées et testées fournies par Cisco telles que VMware ESX, la plate-forme VMware ESXi et divers autres composants Cisco. VMware et d'autres partenaires ont élaboré différentes solutions. Vous pouvez les découvrir sur les sites Web de VMware et des partenaires. Néanmoins, il n'existe aucun guide de conception validé axé sur l'utilisation de vsphere et des commutateurs répartis. Caractéristiques Cette rubrique fournit des informations complémentaires concernant certaines des fonctionnalités et capacités figurant dans le Tableau 1. Caractéristiques de commutation Multidiffusion : les deux alternatives de commutateur virtuel prennent en charge la multidiffusion du trafic et l'adhésion des groupes de multidiffusion via le protocole IGMP. La mise en œuvre des commutateurs Cisco et VMware diffère légèrement. Les commutateurs virtuels VMware constatent l'adhésion à la multidiffusion via un processus d'enregistrement étanche, tandis que le commutateur Cisco Nexus 1000V a recours à la surveillance IGMP de manière analogue sur un commutateur physique. Réseau VMware VMotion : la stratégie réseau associée à un port VMware VDS est transférée avec la machine virtuelle lorsqu'elle est déplacée vers un autre hôte utilisant VMware VMotion. Par ailleurs, le commutateur Cisco Nexus 1000V préserve l'état de gestion du réseau et les données de dépannage associées à l'interface réseau de la machine virtuelle. Cette fonctionnalité offre une bonne visibilité de l'interface réseau, quel que soit l'emplacement de la machine virtuelle. Connectivité des commutateurs physiques EtherChannel : les termes «EtherChannel» et «PortChannel» sont fréquemment utilisés pour l'agrégation de liaison IEEE 802.3ad et 802.1AX. Les commutateurs virtuels VMware utilisent et nécessitent une configuration statique sur le commutateur physique adjacent sans négociation LACP, tandis que les canaux EtherChannel du commutateur Cisco Nexus 1000V sont totalement négociables via le protocole LACP. Le commutateur Cisco Nexus 1000V prend par ailleurs en charge les canaux 2011 Cisco VMware. Tous droits réservés. Page 5

6 virtuels PortChannel, ce qui permet d'obtenir un équilibrage de charge du trafic précis sur plusieurs commutateurs physiques à l'aide d'un seul canal PortChannel. Cette approche permet de simplifier drastiquement la configuration du réseau et d'améliorer la disponibilité de la connectivité réseau, renforçant ainsi le temps de fonctionnement de la machine virtuelle pour les configurations EtherChannel. Algorithmes d'équilibrage de charge ID de port virtuel source : il existe de nombreuses façons de répartir le trafic dans un canal EtherChannel ou un LACP. L'ID de port virtuel est un exemple parmi de nombreuses techniques répertoriées ci-après. Cisco propose 17 méthodes sophistiquées pour équilibrer la charge, en fonction des techniques d'équilibrage de charge du réseau physique. Groupage basé sur la charge : le commutateur réparti VMware vsphere propose cet algorithme unique d'équilibrage de charge qui prend en compte l'utilisation de la bande passante physique tout en répartissant le trafic sur les différents ports actifs. Cet algorithme fonctionne pour la transmission et la réception. Fonctionnalités de gestion du trafic Cheminement multiple iscsi : le trafic iscsi utilise plusieurs chemins d'accès via le réseau. Contrôle d'acheminement par inondation en monodiffusion inconnu : cette fonctionnalité limite l'inondation en monodiffusion et la charge de travail de l'unité centrale du serveur. Caractéristiques de qualité de service (QoS) Limitation de débit de transmission (de la machine virtuelle) : cette fonctionnalité permet de limiter le débit du trafic entre la machine virtuelle et le réseau. Limitation de débit de réception (vers la machine virtuelle) : cette fonctionnalité permet de limiter le débit du trafic entre la machine virtuelle et le réseau. Étiquetage IEEE 802.1p : un marquage sur le trafic relatif au QoS de couche 2 est réalisé. DSCP : un marquage QoS des services différenciés de la couche 3 est réalisé. Classification par liste de contrôle (classification avancée) : Cisco propose huit manières différentes de classer, marquer et contrôler le trafic. Fonctionnalités de sécurité Mise en application du PVLAN local : cette fonctionnalité vous permet de sécuriser votre infrastructure virtuelle à l'aide de la fonctionnalité PVLAN sans avoir à configurer le PVLAN sur votre commutateur de réseau physique. Sécurité des ports : la sécurité des ports avec les commutateurs VMware est une fonctionnalité de contrôle des adresses MAC régissant l'utilisation du mode de proximité, les modifications d'adresses MAC effectuées par une machine virtuelle et les transmissions forcées depuis une machine virtuelle. Le commutateur Cisco Nexus 1000V prend en charge la sécurité des ports basée sur les adresses MAC et les listes de contrôles d'accès configurables. PVLAN : les PVLAN constituent une nouvelle fonctionnalité disponible avec le VMware VDS et le Cisco Nexus 1000V. Les PVLAN offrent un mécanisme simple permettant d'isoler les machines virtuelles dans le même VLAN les unes des autres. Le VMware VDS applique les PVLAN au niveau de l'hôte de 2011 Cisco VMware. Tous droits réservés. Page 6

7 destination. Le Cisco Nexus 1000V prend en charge un mécanisme d'application hautement efficace qui filtre les paquets au niveau de la source plutôt qu'au niveau de la destination, afin de garantir qu'aucun trafic non désiré ne transite par le réseau physique, ce qui augmente de fait la bande passante du réseau disponible vers les autres machines virtuelles. En conséquence, le Cisco Nexus 1000V est en mesure de mettre en œuvre la fonctionnalité PVLAN parmi plusieurs hôtes sans recours nécessaire à un commutateur en amont. Surveillance DHCP, IP Source Guard et Surveillance dynamique du protocole ARP : ces trois fonctionnalités sécurisent les déploiements de postes de travail virtuels en sécurisant le domaine de couche 2. Ces fonctionnalités empêchent les serveurs DHCP non autorisés et les attaques de type «intercepteur» en inspectant les paquets IP et ARP pour vérifier qu'ils concordent avec le tableau de surveillance DHCP. En cas de déploiement de postes de travail virtuels, ces fonctionnalités permettent aux postes de travail virtuels de bénéficier du même niveau de sécurité que les postes de travail physiques. Fonctionnalités de gestion quotidienne Groupes de stratégies à plusieurs niveaux : les fonctionnalités uniques de profil de port du commutateur Cisco Nexus 1000V permettent aux administrateurs de réseau d'élaborer des stratégies de réseau sur plusieurs niveaux, ce qui simplifie la création et l'application des stratégies. Console et interface : la mise en réseau virtuelle effectuée grâce aux commutateurs virtuels VMware est configurée via l'interface client de VMware vsphere. Il est nécessaire d'utiliser un serveur VMware vcenter pour configurer et utiliser VMware VDS. Le Cisco Nexus 1000V a recours à une association de l'interface de ligne de commande Cisco (pour permettre à l'administrateur du réseau de configurer la stratégie du réseau) et du serveur VMware vcenter (pour préserver le flux de travail de provisionnement de la machine virtuelle). Fonctionnalités de surveillance Redondance des ports VMware (mode de proximité) : le commutateur virtuel VMware est en mesure d'acheminer le trafic pour un VLAN ou tous les VLAN vers la machine virtuelle sur un port de carte d'interface réseau virtuel de proximité, pour lequel la surveillance ou la détection du trafic a été configurée. Analyseur de port commuté Cisco (SPAN) et SPAN distant encapsulé (ERSPAN) : le VMware VDS et le Cisco Nexus 1000V permettent une capture et une analyse véritables des paquets en prenant en charge des fonctionnalités telles que Cisco SPAN. Par ailleurs, le Cisco Nexus 1000V dispose de la fonctionnalité ERSPAN, qui permet de copier le trafic vers un emplacement distant, ce qui permet de bénéficier d'un dépannage complet du réseau et d'une résolution des problèmes relatifs au réseau virtuel plus rapide. Syslog : les serveurs VMware ESX peuvent exporter les informations Syslog pour l'ensemble du serveur. Ce processus nécessite un filtrage et une analyse pour extraire les événements du commutateur virtuel VMware. Le Cisco Nexus 1000V est en mesure d'exporter un grand nombre d'événements liés au réseau vers les serveurs Syslog appropriés, éliminant les rapports d'erreurs potentiellement non liées au réseau. Cette fonctionnalité permet à l'administrateur du réseau de détecter rapidement tout problème potentiel. Cisco NetFlow : le VMware VDS prend en charge la version 5 de Cisco NetFlow tandis que le Cisco Nexus 1000V prend en charge la version 9. La fonctionnalité NetFlow dont disposent les commutateurs virtuels permet de surveiller les flux d'infrastructure virtuelle invisibles pour l'infrastructure des commutateurs physiques. La version 9 offre davantage de souplesse et régule la quantité d'informations envoyées au collecteur NetFlow Cisco VMware. Tous droits réservés. Page 7

8 Services réseau virtualisés Domaine de service virtuel : cette fonctionnalité permet de définir un groupe logique de machines virtuelles protégées par un dispositif virtuel. Tout le trafic entrant ou sortant du groupe sera acheminé vers ce dispositif virtuel en particulier. Cisco vpath avec machine virtuelle de service réseau local et distant : la machine virtuelle de service peut être située sur le même serveur que la machine virtuelle de production ou sur un serveur distant. Dispositif physique pour le délestage du service réseau : la machine virtuelle de service peut être hébergée sur le Cisco Nexus 1010 pour que l'équipe en charge du service réseau assure la gestion ou le délestage. Options de services pour réseau virtualisé Module Cisco Network Analysis (NAM) : ce module se sert de Cisco NetFlow et d'erspan depuis le commutateur Cisco Nexus 1000V et d'autres sources pour conférer une visibilité complète sur le réseau du centre de données. Solutions Guide de conception de centre de données Cisco virtuel partagé : Cisco a intégralement testé et documenté l'infrastructure-service (IaaS). Cisco Virtual Experience Infrastructure (VXI) : grâce à VMware vsphere, à VMware View et au commutateur Cisco Nexus 1000V, Cisco dispose d'une conception de référence intégralement testée pour les déploiements de postes de travail virtuels. ide.pdf Migration de charge de travail virtuelle entre centres de données : une conception validée par Cisco est disponible pour la migration de VMware vmotion entre des centres de données. EMC : NetApp : Guide de mise en œuvre de conception de conformité PCI (Payment Card Industry) 2.0 : ce guide fournit une feuille de route détaillée, destinée aux entreprises évoluant dans la vente au détail qui souhaitent que leurs opérations soient en conformité avec la règlementation PCI. Sont prises en compte parmi ces opérations les charges de travail virtuelles avec le Cisco Nexus 1000V Cisco VMware. Tous droits réservés. Page 8

9 2011 Cisco ou ses filiales. Cisco et le logo Cisco sont des marques déposées de Cisco Systems, Inc. et/ou de ses filiales aux États-Unis et dans d'autres pays. Vous trouverez la liste des marques de commerce de Cisco sur la page Web Les autres marques commerciales mentionnées dans les présentes sont la propriété de leurs détenteurs respectifs. L'utilisation du terme «partenaire» n'implique nullement une relation de partenariat entre Cisco et toute autre entreprise (1005R). Copyright 2011 VMware, Inc. Tous droits réservés. Ce produit est protégé par les lois américaines et internationales portant sur le copyright et la propriété intellectuelle. Les produits VMware sont protégés par un ou plusieurs brevets disponibles à l'adresse VMware est une marque déposée de VMware, Inc. aux États-Unis et/ou dans d autres pays. Toutes les autres marques et tous les autres noms mentionnés dans le présent document peuvent être des marques commerciales appartenant à leurs entreprises respectives Cisco VMware. Tous droits réservés. Page 9