Configuration du serveur ESX 1. La licence vsphere Le serveur ESX a besoin d une licence. Cliquez sur votre serveur ESX. Puis allez dans l onglet Configuration. Rubrique Software ; Licence Features. Cliquez sur Edit. Cliquez sur Assign a new license key to this host puis Enter Key. Entrez la licence de 25 caractères dans New licence key. Puis cliquez deux fois sur OK. Une fois la licence configurée, vous pouvez voir la version ainsi que les fonctionnalités auxquelles vous avez droit. Dans notre cas, c est la version Enterprise. 2. Le stockage a. Création d un Datastore Lors de l installation d ESX, un Datastore a été créé (Storage esx1 ENI) qui contient les partitions, les fichiers d installation ainsi que le service console. Nous allons voir comment créer un autre Datastore pour stocker des VM. Cliquez sur le serveur Hôte ESX à configurer, allez dans Configuration et cliquez sur Storage. Pour visualiser les volumes disponibles par ESX : Cliquez sur Devices. ENI Editions - All rigths reserved - Guillaume DUBOIS - 1 -
Ce sont les périphériques accessibles par le serveur ESX qui peuvent être des Lun sur un SAN ou des disques locaux par exemple. Dans notre cas ce sont des disques locaux : Pour créer un Datastore : Retournez sur Datastore et cliquez sur Add Storage. Choisissez votre système de fichiers : VMFS si vous sélectionnez Disk/Lun ou NFS pour Network File System, puis cliquez sur Next. - 2 - ENI Editions - All rigths reserved - Guillaume DUBOIS
Choisissez votre LUN, puis cliquez deux fois sur Next. Donnez un nom au Datastore : Production vm et cliquez sur Next. Cochez Maximize Capacity. Choisissez la taille des blocs : 1 Mo par défaut permettant d avoir un Datastore jusqu à 256 Go. Pour des blocs de 8 Mo vous pouvez aller jusqu à 2 To. Vous arrivez sur le résumé. Cliquez sur Finish. Le Datastore créé apparaît alors. Il peut être judicieux de créer un Datastore dédié pour les fichiers ISO, les template. Exemple : Dans le cas où vous ajoutez un LUN au serveur ESX ou si un espace de stockage est rajouté il faut faire un rescan. Allez sur Configuration, rubrique Storage Adapters puis cliquez sur Rescan. b. Multipathing Dans une architecture SAN redondante, lorsqu un chemin pour accéder aux données est indisponible, VMware ESX bascule automatiquement sur le chemin de secours appelé multipathing failover. Cette bascule automatique est gérée entièrement par VMware ESX, il n est donc pas nécessaire d ajouter des logiciels supplémentaires. Pour ENI Editions - All rigths reserved - Guillaume DUBOIS - 3 -
configurer le multipathing : Allez dans Storage. Faites un clic droit sur le Datastore créé storage esx1 ENI puis cliquez sur properties. Cliquez sur Manage Paths. Trois choix s offrent à vous : Fixed (VMware) (paramètre par défaut) Le serveur hôte ESX utilise le chemin fixé pour accéder aux données du SAN. Dans le cas où une indisponibilité se produit, alors l accès aux données se fait par le chemin secondaire. Lorsque le chemin redevient disponible alors le chemin est basculé sur ce chemin initial. Most Recent Used (VMware) Le serveur ESX utilise le chemin le plus récent pour accéder aux données. En cas d indisponibilité le chemin de secours est utilisé et il n y a pas de retour vers le chemin initial. Round Robin (VMware) Ce paramètre permet de gérer en plus du multipathing failover, de la bascule automatique afin de répartir la charge appelé multipathing for load balancing. Pour gérer cette répartition de charge au travers de plusieurs chemins un administrateur peut configurer le chemin à utiliser, la carte HBA... au travers des commandes esxcfg mpath. 3. Le réseau Allez dans l onglet Configuration, rubrique Networking. Le Switch virtuel existant correspond au Service console qui a été créé à l installation d ESX. Il s appelle vswif0 et possède l adresse IP avec laquelle vous vous connectez. - 4 - ENI Editions - All rigths reserved - Guillaume DUBOIS
a. Créer un vswitch Virtual Machine Port Group Pour créer un nouveau vswitch : Cliquez sur votre serveur ESX, allez dans Configuration puis Networking. Cliquez sur Add networking. Cliquez sur Virtual Machine, puis sur Next. ENI Editions - All rigths reserved - Guillaume DUBOIS - 5 -
Il faut associer votre vswitch avec les cartes réseaux physiques. Vous pouvez sélectionner une ou plusieurs cartes et il est aussi possible de ne pas associer de cartes réseaux physiques ce qui permet d isoler totalement les VM de l extérieur. Dans notre exemple nous choisissons deux cartes réseaux : Cochez Create a virtual switch, puis cochez vmnic1 et vmnic2. Cliquez sur Next. Dans Network Label, mettez un nom pour le vswitch Production. Vous pouvez créer un VLAN (optionnel). Cliquez sur Next puis sur Finish. - 6 - ENI Editions - All rigths reserved - Guillaume DUBOIS
Pour créer un vswitch VMkernel Port Group pour VMotion, référez vous à la section Créer un VMkernel Port pour VMotion. b. Modifier les paramètres d un vswitch Il est possible de définir une stratégie de sécurité pour le réseau et de l appliquer au niveau d un vswitch ou un port Group. Allez dans l onglet Configuration Networking. Cliquez sur Properties d un vswitch. ENI Editions - All rigths reserved - Guillaume DUBOIS - 7 -
Dans l onglet Ports se trouvent le vswitch et les Ports Group configurés. Les Ports Group héritent en standard des propriétés du vswitch dans lequel ils se trouvent mais il est possible de définir une configuration différente au niveau d un port Group : Cliquez sur un Port Group ou le vswitch puis sur Edit. - 8 - ENI Editions - All rigths reserved - Guillaume DUBOIS
Cliquez sur Security ; trois choix sont proposés : Promiscuous Mode Ce mode (par défaut sur Reject) interdit à une carte réseau virtuelle d une VM d observer le trafic réseau du vswitch sur lequel il est connecté. Pour des raisons de sécurité il n est pas recommandé d activer ce mode. Cependant, des VM peuvent être dédiées à la surveillance du réseau pour la détection d intrusion, alors dans ce cas, il est utile d activer cette fonctionnalité. MAC Address Changes et Forged Transmits Lorsqu une VM est créée sous VMware, deux MAC Address existent une initiale et une effective. La MAC Address initiale est celle générée par VMware dans la plage 00:50:56:00:00:00 à 00:50:56:3F:FF:FF ou 00:0C:29 qui est modifiable dans le fichier vmx. Le Guest OS n a aucun contrôle sur cette MAC Address. La MAC Address effective est celle qui est utilisée pour communiquer avec les autres éléments du réseau. Par défaut ces deux adresses sont identiques. ENI Editions - All rigths reserved - Guillaume DUBOIS - 9 -
Cependant, il est possible de forcer et de mettre manuellement une autre MAC Address dans le Guest OS (il faut aller dans les paramètres avancées de la carte réseau). Il est possible d autoriser ou d interdire une différence entre la MAC Address dans le fichier de configuration vmx et la MAC Address dans le Guest OS grâce au paramètre MAC Address Changes et Forged Transmits. MAC Address changes est relatif au trafic entrant alors que Forged Transmits est pour le trafic sortant. Exemple : Si MAC Address changes est mis sur Reject et si les deux MAC Address ne sont pas identiques alors tout trafic entrant est interdit. Pour un niveau de sécurité élevé VMware recommande de mettre les deux paramètres en Reject. L onglet Traffic Shaping permet de limiter la bande passante pour le trafic sortant. L onglet NIC Teaming NIC Teaming est le regroupement de plusieurs cartes réseaux physiques associées à un vswitch. Ce regroupement permet de répartir la charge de travail (load balancing) entre les différentes cartes réseaux. VMware ESX gère la répartition de charge des cartes réseau en fonction d un nombre équitable de connexion sur les cartes et non pas sur la quantité de données qui passent au travers de ces cartes. Le load balancing n est géré que pour le trafic sortant. Ce nombre de connexion peut se configurer à travers trois politiques différentes. vswitch port based load balancing (par défaut) : dans cette configuration, la répartition de charge est basée sur le nombre de carte réseau physique et le nombre de virtual port utilisés. Avec cette politique de configuration, une carte réseau virtuelle connectée à un port du vswitch port utilisera toujours la même carte réseau physique (VMnic). Dans le cas où une carte réseau physique tombe en panne, la carte réseau virtuelle est redirigée vers une autre carte réseau physique. Exemple : Si 10 VM sont connectées à un vswitch avec 5 cartes réseau physique en NIC Teaming alors 2 VM seront connectées à une carte réseau physique. Autre exemple, si 5 VM sont connectées sur un vswitch avec 6 cartes réseaux physiques alors 1 carte réseau physique ne sera pas utilisée. Source MAC based load balancing : c est le même principe que précédemment mais cela se base sur le nombre de MAC Address. IP hash based load balancing : la limitation des deux précédentes politiques est que les réseaux virtuels utilisent toujours la même carte réseau physique. IP hach based load balancing utilise la source et la destination de l adresse IP pour déterminer quelle sera la carte réseau physique à utiliser. Grâce à cet algorithme, une machine virtuelle peut communiquer avec plusieurs cartes réseaux physiques différentes en fonction de sa destination. Network Failover Detection : Link Status Only : ne détecte que si un câble réseau est coupé. Beacon Probing : le Beacon Probing failover detection envoie des trames ethernet Broadcast au travers de toutes les cartes réseaux. Ces trames réseaux autorisent le vswitch à détecter les mauvaises configurations et force le failover si des ports sont bloqués. 4. La sécurité Pour configurer le firewall de votre serveur ESX : Cliquez sur votre serveur ESX. Allez dans l onglet Configuration Security Profile. - 10 - ENI Editions - All rigths reserved - Guillaume DUBOIS
Vous pouvez y choisir les ports à ouvrir. 5. Les autres paramètres du serveur ESX a. La mémoire du Service console Pour configurer la mémoire du Service console, allez dans l onglet Configuration puis cliquez sur Memory puis Properties. De base la mémoire est de 300 Mo, vous pouvez l augmenter jusqu à 800 Mo (dans le cas où plusieurs dizaines de VM fonctionneront sur le serveur ou si des ajouts d agents sont nécessaires). b. La partie Software Allez dans l onglet Configuration, rubrique Software. Dans cette rubrique, vous allez pouvoir configurer les autres paramètres du serveur ESX. Licensed Features : configuration de la licence. Time Configuration : permet de configurer l heure et la date ou un serveur de temps. ENI Editions - All rigths reserved - Guillaume DUBOIS - 11 -
DNS and routing : DNS et passerelles. Power management : dans le cas où une carte de management de type ILO est présente, vous pourrez l utiliser en collaboration avec DPM. Virtual Machine Startup/shutdown : permet de planifier le redémarrage des VM dans un ordre précis. Virtual machine swap file correspond à l emplacement où est stocké le fichier de swap de la VM (à savoir le fichier *.vswp). En standard, il est stocké dans le même répertoire que la VM. Il est possible de dédier un espace de stockage pour ces fichiers qui peuvent être assez volumineux. Cela n est pas recommandé en standard mais peut être utile si l espace de stockage du Datastore sur lequel sont installés les VM est faible. System Ressource allocation : ressources allouées pour tous les services d ESX VMkernel service console. Laissez les valeurs par défaut. Advanced settings : pour l optimisation très fine du serveur. Modifier ces valeurs avec précaution. - 12 - ENI Editions - All rigths reserved - Guillaume DUBOIS