Поддержка виртуальной локальной сети (VLAN) в Hyper-V
Windows Server 2008 Hyper-V поддерживает использование виртуальных локальных сетей (VLAN) в родительском и дочернем разделах (хост и виртуальные машины). В этой статье объясняется, как работают VLAN на высоком уровне, системные требования к инфраструктуре для поддержки тегированных пакетов VLAN, как настроить поддержку VLAN для родительского и дочернего разделов, а также пример того, как можно использовать тегирование VLAN между хостами для быстрой изоляции подсети. тесты.
Введение в VLAN
Стандарт IEEE 802.1Q для маркировки VLAN был создан, чтобы просто позволить вам использовать физическое сетевое соединение и передавать несколько потоков сетевого трафика. Каждый поток практически изолирован друг от друга, так что машина в сети VLAN1 и машина в сети VLAN2 не могут видеть пакеты друг друга, если к обеим сетям VLAN не подключен маршрутизатор, выполняющий маршрутизацию между сетями VLAN. На схеме слева ниже показано, что по одному физическому сетевому кабелю может проходить несколько VLAN, а также трафик, не относящийся к VLAN, это называется «транкингом». В то время как диаграмма слева представляет собой концептуальное представление изоляции трафика, диаграмма справа показывает, что пакеты являются частью потока и что только компьютер, который является частью одной и той же VLAN, может видеть пакеты в этой VLAN и в этой сети. компьютер без идентификатора VLAN не может видеть пакеты, являющиеся частью VLAN.
фигура 1
Как работают VLAN? В основном есть два подхода. Первый включает статическую настройку VLAN в физической сети на уровне порта сетевого коммутатора. В этой конфигурации вы назначаете VLAN порту коммутатора, и любой трафик, проходящий через этот порт, помечается идентификационным номером VLAN (идентификатором VLAN). Этот подход не позволяет устройству, подключенному к порту, изменить значение идентификатора VLAN, но означает, что если устройство перемещается с одного порта на другой, новый порт должен быть правильно настроен для правильной VLAN. Такой подход не позволяет нескольким устройствам, подключенным к порту, быть членами разных VLAN.
Второй подход предусматривает динамическое назначение оконечным устройством идентификатора VLAN перед отправкой пакетов. При таком подходе конечное устройство можно легко перемещать из одной VLAN в другую, не требуя каких-либо модификаций физического порта коммутатора. Для этого требуется, чтобы устройство имело полное представление о тегах VLAN IEEE 802.1Q. Он должен знать, как пометить, передать помеченный пакет и как открыть помеченный пакет.
Статическая конфигурация VLAN более безопасна, чем динамическая маркировка VLAN, поскольку сетевое устройство не может легко переключаться с одной VLAN на другую без перемещения портов коммутатора, которые обычно находятся за запертой дверью.
Системные Требования
Для поддержки тегирования VLAN (статического или динамического) вам необходимо следующее:
Для серверов Hyper-V требуются сетевые адаптеры с поддержкой IEEE 802.1Q. Для динамической маркировки адаптеры должны поддерживать обработку пакетов с тегами VLAN, даже если драйвер не настроен для поддержки VLAN.
Сетевым коммутаторам нужна поддержка IEEE 802.1Q
Маршрутизаторам нужна поддержка IEEE 802.1Q для маршрутизации помеченных пакетов.
Настройка родительского раздела для использования VLAN
Родительский раздел Hyper-V может быть членом VLAN. Обычно это делается для отделения трафика управления Hyper-V от трафика дочернего раздела. Каждый физический сетевой адаптер можно настроить для поддержки тегов VLAN. Для сетевых адаптеров, которые не настроены с виртуальными сетями Hyper-V, настройка идентификатора VLAN выполняется на уровне драйвера в дополнительных настройках драйвера. На следующем рисунке показан сетевой адаптер Broadcom с поддержкой тегов VLAN. По умолчанию идентификатор VLAN равен нулю. Если изменить это значение на идентификатор VLAN, настроенный в вашей сети, все пакеты из родительского раздела, проходящие через этот адаптер, будут помечены этим идентификатором VLAN.
фигура 2
Для сетевых адаптеров, настроенных с виртуальными сетями, настройка идентификатора VLAN для родительского раздела происходит в консоли диспетчера Hyper-V. Чтобы настроить идентификатор VLAN 200 для родительского раздела на сетевом адаптере с настроенной внешней виртуальной сетью, выполните следующие действия.
Откройте консоль диспетчера Hyper-V.
На правой панели под действиями щелкните действие Virtual Network Manager.
Выделите виртуальную сеть, которую вы хотите изменить, например, Внешняя. Вы увидите параметр « Включить идентификацию виртуальной локальной сети для родительского раздела», установите этот флажок и введите значение 200 для идентификатора VLAN.
Рисунок 3
Нажмите Ok, чтобы сохранить изменения
Теперь весь трафик для родительского раздела, проходящий через этот сетевой адаптер, будет помечен идентификатором VLAN ID 200.
Вы также можете изменить настройку внутренних виртуальных сетей, чтобы разрешить тегирование VLAN для трафика родительского раздела. Процесс тот же, просто выберите виртуальную сеть, настроенную как внутренняя, а не как внешнюю. Частные виртуальные сети не поддерживают тегирование трафика VLAN.
Настройка дочерних разделов для использования VLAN
Дочерние разделы, также известные как виртуальные машины, также поддерживают настройку тегов VLAN. Настройка выполняется для каждого сетевого адаптера в настройках конфигурации виртуальных машин. Это позволяет вам иметь одну виртуальную машину, подключенную к нескольким VLAN, но по одной на сетевой адаптер. Поскольку виртуальная машина может иметь максимум 12 сетевых адаптеров (8 синтетических и 4 устаревших), это означает максимум 12 VLAN на виртуальную машину.
Если вы хотите настроить виртуальную машину для подключения к VLAN 200 в виртуальной сети с именем External, вам потребуется сделать следующее:
Откройте консоль диспетчера Hyper-V.
Выделите виртуальную машину, которую вы хотите настроить для тегированного трафика VLAN.
На правой панели под действиями для виртуальной машины щелкните действие под названием «Настройки».
Найдите сетевой адаптер, подключенный к внешней сети, и выделите запись виртуального сетевого адаптера в разделе оборудования. С правой стороны вы увидите параметр « Включить идентификацию виртуальной локальной сети», установите этот флажок и введите значение 200 для идентификатора VLAN.
Рисунок 4
Нажмите Ok, чтобы сохранить изменения.
Теперь любой трафик, исходящий от сетевого адаптера, подключенного к внешней виртуальной сети, будет помечен идентификатором VLAN ID 200.
Если вам нужна виртуальная машина для связи с использованием двух или более VLAN, просто добавьте дополнительные сетевые адаптеры, подключите их к правильной виртуальной сети, назначьте идентификатор VLAN, правильно настройте IP-адреса, а затем убедитесь, что трафик, который вы хотите передать, в этой VLAN используется правильный IP-адрес или имя цели, поэтому трафик проходит через правильный сетевой адаптер.
Использование VLAN для изолированного тестирования
Все, что мы обсуждали до сих пор, предполагало, что вы хотите передавать пакеты через сетевую инфраструктуру, используя идентификатор VLAN 200, и что порты коммутатора настроены для обработки этого идентификатора VLAN. Сети VLAN могут предоставить дополнительные преимущества для тестирования изоляции.
Допустим, у вас есть два хоста Hyper-V, подключенные к одному и тому же коммутатору, и вам нужно настроить тест, который требует такой службы, как DHCP, для устранения проблемы. Для вашего теста требуется, чтобы виртуальные машины на каждом хосте общались друг с другом. У вас есть следующие проблемы:
Вы не хотите предлагать услуги DHCP в общедоступной сети, потому что это может привести к хаосу.
Вы не хотите копировать все виртуальные машины на один хост, потому что, возможно, у вас есть проблемы с пространством или временем.
Вы можете добавить дополнительный сетевой адаптер к каждому хосту, подключить их к изолированному сетевому коммутатору, настроить новую виртуальную сеть для этого адаптера, настроить виртуальные машины для использования этой новой виртуальной сети и провести тест, но это много работы..
Вам нужен быстрый и простой способ изолировать трафик виртуальной машины, чтобы вы могли выполнить тест. Тегирование VLAN — идеальное решение для этого требования к тестированию. Все, что вам нужно сделать, это взять все виртуальные машины, необходимые для теста, подключить их к одной физической подсети, используя правильную внешнюю виртуальную сеть, настроить их для одного и того же идентификатора VLAN и общей подсети. Теперь у вас есть изолированная подсеть на двух хостах, и только машины, настроенные с одинаковым идентификатором VLAN, будут видеть трафик и смогут взаимодействовать друг с другом.
Вывод
Маркировка IEEE 802.1Q VLAN позволяет легко изолировать трафик между группами компьютеров в вашей сетевой инфраструктуре. Для поддержки тегов VLAN ваши устройства должны поддерживать стандарт IEEE 802.1Q. Если ваши устройства поддерживают тегирование VLAN, настроить их для тегирования пакетов можно с помощью простой настройки виртуальной сети или сетевого адаптера в консоли диспетчера Hyper-V. Теги VLAN можно использовать во внутренних и внешних виртуальных сетях для быстрого создания изолированных виртуальных подсетей для тестирования.