2
Help us understand the problem. What are the problem?

More than 1 year has passed since last update.

posted at

updated at

NUCで始めるVMware Tanzu - vSphereネットワーク紹介

本日は、Day10 で構築したvSANを構成するネットワークについて、解説したいと思います。

良く分からない用語が続き、難しいと感じた方もいらっしゃったのではないでしょうか?やってみて気づくのは、vSANの難しさの半分くらいは、vSphereネットワークの難しさ なんじゃないかなと思います。でも本来は、お金をかけて様々なハードウェアを買い、さらには設置場所まで取られるものを、全部仮想化して構築できちゃうなんて凄くないですか?慣れると凄く便利なので、基本的な概念は、このタイミングで覚えてしまいましょう。

NUCの構成要素

今回NUCに行っていったネットワーク設定を、1枚の図にしてみました。私が事前に用意したものは、物理ルータと(物理)NUCだけなので、薄緑枠の中は、全て仮想的に構築したものとなります。
nuc-inside
ESXiの大きな特徴といえば、この仮想スイッチを中心としたネットワーク接続となります。何故こんな仮想のスイッチなんて用意するのかというと、ESXi上で多くのVMを管理することが前提で作られているからです。
図の各リソースの説明をまとめてみました。

リソースメニュー 図中の名称
(リソースの種類)
説明
仮想スイッチ vSwitch
DSwitch
vSwitchは、ESXiの中の他のリソース同士をつなぎ合わせるものとなります。一般的な物理スイッチ同様、スイッチを中心としたN対Nのシンプルな結線となります。
DSwitchは、、上図では表現しきれないので、この後、別途説明します!
物理NIC vmnic0, vmnic1.. 名前には物理と付きますが、macアドレスを管理するリソース。よって、実際に物理か仮想かは関係ありません(便宜上、仮想NICと呼び分けることはある)。例えば今回、NUC自体は一つの物理NICしか持ちませんが、nested構成にすることで、複数NIC構成を実現できました!仮想化の強みと言えます。
VMkernel NIC vmk0, vmk1.. 図の青色のリソースであり、IPアドレスを管理。仮想スイッチを介して物理NICと1対1で紐付けられます。モジュール化することで、柔軟な管理が可能となります。
(標準)ポートグループ VM Network
※図中に記載なし
vSwitchを介したネットワーク内で、どのようなメンバーが所属するか管理するために用いられます。
(分散仮想)ポートグループ DSwitch-xx DSwitchを介したネットワーク内の所属メンバーを管理。

なお、↑のリソースメニューは、ESXiの管理画面で上部のメニューとマッピングしています。TCP/IPスタックとファイアウォールルールは、またの機会に。。
スクリーンショット 2020-12-11 18 24 17

なんでそんなにネットワークを分けたいの?

上記のようなネットワークの仮想化の概念により、複数のネットワークを容易に制御することが可能になりました。ここで疑問に思うのが、「そんなに細かく制御しなくて良くない?」と思うかもしれません。ネットワーク分割の目的として、主に、「セキュリティ」と「パフォーマンス」の2つの観点により、エンタープライズ仕様のインフラを実現します。

セキュリティ観点

「最小限の対象」に「最低限のアクセス許可」を与えることが目的となります。ネットワークを分割することで、「必要なターゲットのみ」に対し、「必要なサービス(Port)のみを許可」することが可能になります。

パフォーマンス観点

ネットワークの帯域は有限です。特にVM環境では、多くのネットワークリソースを必要とします。限られた帯域のなかで、「この用途には優先的に多くの帯域を割り当てる」といった、QoS(サービス品質)の対象として、ネットワークを分割します。

どのようにネットワークを分ける?

まず最低限、以下の2つにより、他のリソースへのアクセスを実現します。

ネットワーク名 概要
VMネットワーク VM間をつなげるネットワーク。Macアドレス同士をつなげる
Managementネットワーク MacアドレスとIPアドレスを紐付けるネットワーク

ここから、用途によって分けていきます。以下はポピュラーな例です。

  • バックアップ用ネットワーク
  • vSAN用ネットワーク
  • vMotion用ネットワーク

さらに、サービスレベルで分ける場合もあります。

  • 開発用ネットワーク
  • 本番用ネットワーク

分ければ分けるほど、インフラとしての品質は良くなりますが、その分運用が大変になってくるので、トレードオフとなります。

分散スイッチ

先ほど保留にしていた、分散スイッチについて説明します。
分散スイッチは、vCenter上で複数のネットワークを一元管理することが目的となります。
まずは、この今回のNUCとvCenterを含めた構成図を見て下さい。
homelab
つまりDSwitchとは、各ESXi上に散らばったスイッチを、vCenter上では見かけ上、ネットワーク毎に一つのスイッチとして取り扱えます。Uplinkと呼ばれるポートグループによって、ネットワーク分離を実現します。また、最初のNICの図にもある通り、DSwitchには、分散先につなげるための「DSwitch-xx」と、IPアドレスと紐付けるための「DSwitch-management」の2つのポートグループを、セットで作成する必要があります。
このような構成を仮に物理的に行うとすると、vCenter側に12個のLANポートと12本のLANケーブルが必要ですよね?もっとesxiやNICの数が多くなると、乗算的に膨れ上がり、HW的な実現不可能なケースも出てきます。つまり、DSwitchが複雑なのではなく、このような構成をとること自体が複雑で、むしろ、仮想化により手軽に実現しやすくなっため、生まれた概念と言えます。

はい、本日は座学でしたね。。
今日まで、まったくKubernetesが出てきませんでしたので、明日からはいよいよTKGの話に入っていきたいと思います!

Why not register and get more from Qiita?
  1. We will deliver articles that match you
    By following users and tags, you can catch up information on technical fields that you are interested in as a whole
  2. you can read useful information later efficiently
    By "stocking" the articles you like, you can search right away
Sign upLogin
2
Help us understand the problem. What are the problem?