vCenter im Management-Netzwerk, Vor- und Nachteile

[HolgerH]

Hallo,

ich habe nun schon zahlreiche Quellen studiert und intern diskutiert, leider aber noch keine aussagekräftige Info zu meinem "Problem" gefunden.

Wir setzen vSphere Essentials Plus V6 auf 3 Hosts ein, die im Cluster laufen. Datenspeicher sind über FC angebunden.

Es geht nun darum ob es sinnvoller ist den Windows - vCenter-Server im Management-Netzwerk ( neue Portgruppe VM Network auf dem vSwitch0 ) zu platzieren oder im Windows Netzwerk bei den anderen Servern.

Beide Netze sind über eine Firewall getrennt.

Bei einer Trennung ist der Aufwand für die Konfiguration der Firewall deutlich höher, da jede Menge Kommunikation zwischen vCenter und Windows AD, DNS, Virenscanner, Patches, Monitoring, etc. erfolgen muss.

Vorteil soll hier u.a. sein das vMotion nur im Management-Netz erfolgt, also nicht über Firewall etc. läuft und damit ausgebremst wird.

Soweit ich das aber verstehe läuft vMotion doch im vmKernel-Netz und nicht in dem zugeordneten VM-Network, oder ?.

Würde bedeuten wenn ich den vCenter-Server in meinem Windows-Netzwerk platziere, läuft vMotion trotzdem nicht über die Firewall sondern rein im vmKernel-Netzwerk ab.

Vielleicht kann mir hier ja jemand den entscheidenden Tipp geben, würde mich freuen.

Vorab schon mal vielen Dank

H. Halfmann

[irix]

Stopp!
vMotion laeuft in dem Netz in dem du gerne haettest und konfigurierst!

1. Deaktiviere vMotion von der VMK Management Portgroup
2. Lege eine neue VMK PG "vmotion-01" mit einem Subnet ein welches nirgends anderswo verwendett wird.
3. Lege zweite neue VMK PG "vmotion-02" mit einer weitere IP aus dem neuen Subnet
4. Auf beiden das Feaure aktivieren
5. 2 vnics werden benoetigt und jede PG hat eine aktive und die andere als Fallback gesetzt
6. MTU 9000 auf der PG, vSwitch und pSwitch aktivieren
7. Wenn keine dedizierten Nics zur verfuegung stehen oder 10GbE vorhanden ist VLANs auf den PGs setzten und die Ports des pSwitches taggen.

Mit den 2 Vmotion VMKs hast du gleichzeitig ein MultiNic vMotion konfiguriert. Analog ist es fuer FT (Nicht Teil von euerem Ess+).

Das vMotion braucht bei dir nicht geroutet zu sein und ist somit etwas ESXi eigenes. Aehnlich zu Heartbeat Netzen von MS Clustern.

Zum Thema "Management" Netz und vCenter. Bei uns wird immer versucht bei Kunden ein Management Netz zu realisieren und aller VMware Krempel wird dort plaziert. Der Aufwand ein paar FW Regeln zu machen ist uns lieber als das jeder vSphere erreichen kann nur weil er im gleichen Netz ist.

Gruss
Joerg

[irix]

Stopp!
vMotion laeuft in dem Netz in dem du gerne haettest und konfigurierst!

1. Deaktiviere vMotion von der VMK Management Portgroup
2. Lege eine neue VMK PG "vmotion-01" mit einem Subnet ein welches nirgends anderswo verwendet wird.
3. Lege zweite neue VMK PG "vmotion-02" mit einer weitere IP aus dem neuen Subnet
4. Auf beiden das Feaure aktivieren
5. 2 vnics werden benoetigt und jede PG hat eine aktive und die andere als Fallback gesetzt
6. MTU 9000 auf der PG, vSwitch und pSwitch aktivieren
7. Wenn keine dedizierten Nics zur Verfuegung stehen oder 10GbE vorhanden ist VLANs auf den PGs setzten und die Ports des pSwitches taggen.

Mit den 2 Vmotion VMKs hast du gleichzeitig ein MultiNic vMotion konfiguriert. Analog ist es fuer FT (Nicht Teil von euerem Ess+).

Das vMotion braucht bei dir nicht geroutet zu sein und ist somit etwas ESXi eigenes. Aehnlich zu Heartbeat Netzen von MS Clustern.

Zum Thema "Management" Netz und vCenter. Bei uns wird immer versucht bei Kunden ein Management Netz zu realisieren und aller VMware Krempel wird dort plaziert. Der Aufwand ein paar FW Regeln zu machen ist uns lieber als das jeder vSphere erreichen kann nur weil er im gleichen Netz ist.

Gruss
Joerg

[HolgerH]

Hallo Joerg,

erst mal vielen Dank für diese informative und prompte Antwort.

Das mit der vMotion Konfiguration spricht dann für meine These, dann bin ich ja beruhigt.

Interessant ist der Hinweis das ihr das bei Kundensystem auch trennt.

Wenn ich dich das richtig verstanden habt macht ihr das aber hauptsächlich damit niemand Zugriff auf die VM-Landschaft hat, oder ?.


Gruß und Danke

Holger