VBox Machinen unter ESXi genauso erreichbar machen..(Hilfe!)

[n1ete]

Hey Profis,
ich hoffe ihr könnt mir helfen da wir bei uns hier in der Firma eine umstellung auf esxi haben und ich nicht genau weiß wie ich das im esxi angehen kann!
Also: ich habe unsere alten VM`s die auf einem ubuntu virtualiserer (virtualbox) liefen, auf einen esxi erfolgreich konvertiert. nun soll aber der esxi bzw die vms so konfiguriert werden das alle machinen so wie vorher erreichbar sind. Dazu hier mal die linux konfig des alten rechners:

vm netz 192.168.124.0
lokales netz 192.168.220.0

Netzwerkkonfiguration

Code: Alles auswählen


/etc/network/interfaces
# This device is used to attach the virtual machines in bridged mode
auto tun0
iface tun0 inet manual
       pre-up modprobe tun && ip tuntap add mode tap user vbox group vboxusers name tun0 && ifconfig tun0 up
       post-down ip tuntap del mode tap name tun0

# This device makes the local machine accessable to the virtual machines.
# On it the DHCP server and the routing do their work.
auto br0
iface br0 inet static
       address 192.168.124.1
       netmask 255.255.255.0
#      bridge_ports tun0 tun1 tun2
       bridge_ports tun0
iface br0 inet6 static
       address fd1c:3c0f:fee0:4711::1
       netmask 64

Zur IP-Adresse: fd am Anfang steht für lokal festgelegte Adressen. 1c:3c0f:fee0 ist ein frei gewählter Präfix-Anteil. 4711 eine freigewählte Subnetznummer. ::1 ist der lokale Adressanteil.

In /etc/radvd.conf ist folgendes einzutragen, damit das lokale Netzwerk den virtuellen Maschinen bekannt gemacht wird.
interface br0
{
   AdvSendAdvert on;
   prefix fd1c:3c0f:fee0:4711::/64
   {
   };
};
Leider gehen die Maschinen damit auch davon aus, über diese Verbindung das Internet zu erreichen. Dies kann zu Problemen beim Verbindungsaufbau nach außen führen, wenn die verwendeten Programme nicht wie gefordert alle Adressen des Hosts ausprobieren.

In /etc/sysctl.conf eingefügt:
net.ipv6.conf.all.forwarding=1


Das Paket isc-dhcp-server wurde deinstalliert, da nun dnsmasq die Aufgaben des DHCP-Servers übernimmt. isc-dhcp-client wird aber weiterhin verwendet.

Paket iptables-persistent installiert. Folgende Regel(n) hinzugefügt:
-t nat -A POSTROUTING -s 192.168.124.0/24 ! -d 192.168.124.0/24 -j MASQUERADE
-t nat -A PREROUTING \! -s 192.168.220.166 -p tcp --dport 25 -j DNAT --to-destination 192.168.220.166:25
-I FORWARD 1 -o eth0 -p tcp -m tcp --dport 25 -j REJECT --reject-with tcp-reset


Die Forwarding-Regel auch für IPv6.

Auf den Windows-Clients:
route -p add 192.168.124.0 mask 255.255.255.0 192.168.220.166


dnsmasq
dnsmasq fungiert als Name-Server und DHCP-Server.

/etc/dnsmasq.conf:
interface=eth0
interface=br0
no-dhcp-interface=eth0
expand-hosts
domain=firma.local
dhcp-range=192.168.124.101,192.168.124.254,255.255.255.0,12h
read-ethers

In /etc/dnsmasq.d wird pro Host eine Datei nach dem folgenden Strickmuster angelegt:
cname=shop.test01.firma.local,test01
cname=shoffice.test01.firma.local,test01
cname=checkout.test01.firma.local,test01

In /etc/ethers können Maschinen anhand der MAC-Adresse Namen zugeordnet werden:
08:00:27:aa:34:51      test02
08:00:27:b1:c9:c3      backup
08:00:27:aa:d8:53      test00
08:00:27:91:6c:b7      test01
08:00:27:d8:b2:55      shop-csv

Damit alle die Domains sehen konnten wurde eine DNS-Weiterleitung im DSL-Router zur IP von it-srv eingerichtet.


Danke für eure Hilfe!!!! Ich bin schon ein bisschen am verzweifeln

[~thc]

Es sieht von den Konfigurationsdaten her so aus, als ob die VMs (5?) in einem eigenen Subnetz (124) betrieben wurden und mit dem LAN (220) über ein NAT-Setup verbunden waren. Der Host (192.168.220.166) hat alle ausgehenden Verbindungen der VMs per NAT an das LAN weitergereicht und Mail/SMTP-Anfragen von außen (an die VMs?) an sich selbst umgebogen.

Den Windows Clients im LAN musste über eine statische Route gesagt werden, wie sie die VMs erreichen können, da sie ja "hinter" dem Host versteckt sind.

Ein solches Setup nur mit ESX und den konvertierten VMs lässt sich IMHO nicht nachstellen, da der "NAT-Modus" ein Feature der Workstation-Produkte ist.

Man müsste zumindest eine separate "Router-VM" unter Linux aufsetzen, die die NAT-Funktion dann entsprechend übernimmt. Das ist aber alles andere als banal.

[n1ete]

es sind mittlerweile 10 vm's. Gibt es denn eine andere saubere lösung wie ich diese wieder in ein eigenes subnetz lege und erreichbar mache?

[~thc]

Wie sieht denn die Anforderung der Kommunikation zwischen den VMs und dem LAN bzw. Clients aus?

[n1ete]

Erste mal danke für deine Hilfe und deine Zeit. Also die VM's liegen eigentlich nur in einem eigenen Subnetz weil die Webserver, die darauf laufen nicht auch noch vom Arbeitsnetzwerk aus erreichbar sein sollen aber im prinzip sollen alle clients die möglichkeit haben auf alle Maschinen zugreifen zu können.
Ist eine netztrennung nicht mit vlans möglich?

[~thc]

Also die VM's liegen eigentlich nur in einem eigenen Subnetz weil die Webserver, die darauf laufen nicht auch noch vom Arbeitsnetzwerk aus erreichbar sein sollen aber im prinzip sollen alle clients die möglichkeit haben auf alle Maschinen zugreifen zu können.

Ist das nicht ein Widerspruch in sich? Oder meinst du, das nur ausgewählte Clients (die mit der statischen Route?) auf sie zugreifen sollen?

Ist eine netztrennung nicht mit vlans möglich?

Dann müssten aber die Clients in zwei logischen Netzwerken zu Hause sein - dem Webserver-VLAN und dem normalen LAN - ob und wie das mit den in den Clients verwendeten LAN-Adaptern geht, ist nicht vorhersagbar.

[mbreidenbach]

Man kann Netzwerksegmente mit VLANs trennen - aber wenn die irgendwie miteinander reden sollen dann muß da ja noch ein Router dazwischen sein sonst klappts nicht mit dem Nachbar.

Im Lab hier habe ich einen physikalischen Switch der VLANs kann. Also habe ich 3 VLANs für intern, DMZ, extern angelegt. Die werden als VLAN Trunk zum ESXi gelietet und die Portgruppen haben die jeweiligen VLANs zugeordnet. Dazwischen befindet sich dann eine Router/Firewall VM (hier eine Astaro; da kann man for privat je eine kostenlose Lizenz kriegen... davor war's was mit SuSE selbstgeklöppeltes). An extern hängt dann noch der DSL Router. Die Astaro macht nach extern NAT. Wenn man von außen in die DMZ will muß das dann natürlich sowohl im DSL Router als auch der Astaro konfiguriert werden.

Etwas irgendwie ähnliches könnte man hier wohl auch machen.

Oder...zwei virtuelle Switche, einer mit NIC, dazwischen eine Router VM, und Clients haben statische Route auf die Router VM.