vSphere 5.1 : New features for Networking

Bài viết tổng hợp một số thay đổi/bổ sung/cải tiến đối với networking features trong vSphere 5.1

vDS (virtual Distributed Switch) là một virtual switch cung cấp tính năng quản lý tập trung và có thể span trên nhiều host (ngược với Standard Switch chỉ có thể cung cấp tính năng networking cho duy nhất 01 host), từ đó mang đến nhiều tính năng nâng cao liên quan đến networking trong hệ thống vSphere.

Tuy nhiên, người dùng cũng gặp một số trở ngại trong quá trình thao tác với vDS như việc phải recover lại cấu hình networking cho các host trong một số tình huống lỗi phát sinh. Những tình huống này có thể bao gồm : lỗi cấu hình đối trên hệ thống management network dẫn tới việc mất kết nối đến vCenter Server; hay như quá trình khôi phục sau thảm họa với toàn hệ thống data center... vSphere 5.1 giải quyết được những vấn đề này đồng thời mang đến nhiều công cụ/đặc tính mới để nâng cao hiệu quả của hoạt động networking.

1. Nework health check
2. VDS configuration backup and restore
3. Management network rollback and recovery
4. Distributed port - auto expand
5. MAC address management
6. Link Aggregation Control Protocol (LACP) support
7. Bridge Protocol Data unit filter

Network Health Check

Cấu hình networking trong vSphere bao gồm 2 bước : cấu hình switch vật lý và cấu hình vDS. Các tham số quan trọng như VLAN, network adapter teaming và MTU cần được cấu hình chính xác trên cả switch vật lý và switch ảo; nếu không sẽ có nhiều lỗi kết nối có thể xảy ra trong quá trình vận hành hệ thống vSphere. Thông thường những lỗi kết nối có nguyên nhân từ việc cấu hình không chính xác không dễ để phát hiện, đặc biệt trong môi trường vân hành mà người quản trị mạng và người quản trị hệ thống ảo hóa là khác nhau và không có sự tương tác hiệu quả. Trong các version vSphere trước, VMware không đưa ra bất cứ công cụ nào để phát hiện và khắc phục quá trình cấu hình sai trên hệ thống switch thật và switch ảo.

Tính năng Network Health Check trong vSphere 5.1 theo dõi và giám sát định kỳ các tham số sau :

1. VLAN
2. MTU
3. Network adapter teaming

Mặc định, chu kỳ theo dõi/kiểm tra của vDS là 1 phút. Trong khoảng thời gian này, những gói tin dò tìm lớp 2 (layer 2 Ethernet probing) được gửi đi và nhận về thông qua uplink interface của vDS. Những gói tin REQ (request) và ACK (acknowledge) được tiếp nhận hoặc loại bỏ (received or dropped) tùy thuộc vào cấu hình của thiết bị mạng vật lý mà uplink interface kết nối đến. Gói tin bị loại bỏ (dropped) là dấu hiệu của việc đã có lỗi phát sinh trong quá trình cấu hình thiết bị (switch vật lý và switch ảo không được cấu hình tương thích), và một thông báo cảnh báo sẽ xuất hiện trên cửa sổ VMware vSphere Client.

Để Network Health Check có thể hoạt động, những yêu cầu sau cần được đáp ứng:

1. VLAN và MTU : Có ít nhất 2 physical uplinks kết nối đến vDS
2. Teaming policy : Có ít nhất 2 active uplinks trong team và có ít nhất 2 host trong vDS

vDS Configuration Backup and Restore

Việc cấu hình vDS được thực hiện thông qua vCenter Server, bên cạnh đó mọi tham số cấu hình đều được lưu trong cơ sở dữ liệu của vCenter Server do đó nếu cơ sở dữ liệu này gặp lỗi hoặc hệ thống mất kết nối đến vCenter Server thì người dùng sẽ không thể khôi phục lại những cấu hình network của họ và bắt buộc phải reset lại cấu hình mạng từ đầu. Bên cạnh đó, cũng không có một cách thức đơn giản nào để replicate cấu hình mạng hay có thể revert ngược đến các trạng thái hoạt động trước sau khi sự cố đã xảy ra.

vDS Configuration Backup and Restore ra đời để khắc phục những nhược điểm trên. Người dùng có thể thực hiện take snapshot cấu hình mạng trên vDS cũng như trên port group, qua đó có thể dễ dàng kiểm soát những thay đổi đã xảy ra với cấu hình mạng trên vDS (revert ngược đến 1 trạng thái cấu hình mạng trong quá khứ ...) cũng như có thể tạo template để có thể tạo ra các cấu hình vDS tương tự trong trường hợp cần thiết.

vDS Configuration Backup and Restore hỗ trợ những tính năng cụ thể sau :

1. Sao lưu cấu hình vDS và port group. Người dùng có thể lựa chọn lưu dữ liệu trên local disk hoặc trên SAN thông qua VMware vSphere Web Client.
2. Khôi phục cấu hình vDS và port group từ các bản sao lưu.
3. Tạo mới vDS hoặc port group từ các bản sao lưu.
4. Roll back cấu hình về trạng thái trước. Tính năng này đặc biệt hữu hiệu khi người dùng thay đổi cấu hình networking nhưng kết quả không như mong đợi và người dùng muốn quay trở lại với những cấu hình trước.

Management Network Rollback and Recovery

Phân vùng mạng quản lý (management network) được cấu hình trên các host để giao tiếp với vCenter Server cũng như với các host khác trong quá trình thực hiện VMware vSphere High Availability. Phân vùng này đóng vai trò thiết yếu trong quá trình quản lý tập trung hệ thống vSphere thông qua vCenter Server. Nếu phân vùng mạng quản lý bị lỗi, vCenter Server sẽ mất kết nối đến các host, dẫn đến việc tính năng quản lý tập trung cũng không còn.

Đối với vSphere Standard Switch (vSS), qua giao diện console trực tiếp, người dùng có thể khôi phục lại hoạt động của switch ảo khi có lỗi xảy ra với phân vùng mạng quản lý bằng cách reset lại cấu hình mạng về cấu hình mặc định ban đầu.

Tuy nhiên, trong môi trường vDS _ khi mà tất cả host được kết nối đến vDS _ thì việc cấu hình sai vDS hoặc việc phát sinh sự cố với vDS cũng có thể khiến tất cả các host bị mất kết nối đến vCenter Server. Khi đó, vCenter Server sẽ không thể thay đổi cấu hình trên vDS và đẩy những cấu hình này xuống các host được nữa. Trong phiên bản vSphere 5.0, cách duy nhất để khôi phục lại hoạt động của toàn hệ thống là phải đến từng host, cấu hình lại vSS một cách thật chính xác, rồi sau đó mới tiến hành cấu hình vDS và kết nối các host vào vDS mới tạo ra này.

Để tránh sự phức tạp này, đối với những hệ thống có đủ số lượng physical NICs, người quản trị thường cấu hình phân vùng mạng quản lý trên vSS còn vDS để phục vụ cho tất cả các traffic còn lại. Trong trường hợp này, các hosts cần có tối thiểu 4 physical NICs : 2 cho vSS và 2 cho vDS.

Tính năng Automatic Rollback and Recovery trong vSphere 5.1 sẽ giải quyết tất cả những vướng mắc liên quan đến việc sử dụng phân vùng mạng quản lý trên vDS. Để thực hiện điều đó, Automatic Rollback and Recovery tự động phát hiện và lưu lại những thay đổi cấu hình trên phân vùng mạng quản lý. Khi host mất kết nối đến vCenter Server, nó sẽ tự động revert ngược đến trạng thái cấu hình hoạt động tốt trước đấy. Bên cạnh đó, người dùng có thêm tính năng cấu hình lại phân vùng mạng quản lý của vDS trên giao diện console trực tiếp (với các phiên bản vSphere trước, chúng ta chỉ có thể cấu hình lại phân vùng mạng quản lý cho vSS).

Distributed Port - Auto Expand

Distributed Port (DP) trong vDS là những port được sử dụng để kết nối đến VMkernel hoặc đến các máy ảo. Cấu hình của DP được thiết lập thông qua các tham số của Distributed Port Group (DPG). Với các tham số này, người dùng có thể lựa chọn số lượng DP ứng với mỗi DPG thông qua việc lựa chọn 1 trong 3 phương thức sau :

1. Static binding : vCenter Server tạo ngay số lượng DP được khai báo trong DPG. Khi một máy ảo kết nối đến DPS, một DP sẽ được gán cho máy ảo đó. Ngay cả khi máy ảo ở trạng thái tắt, DP ở trên vẫn thuộc về máy ảo đó.
2. Dynamic binding : Hoạt động hoàn toàn giống static binding ngoại trừ việc DP sẽ không còn thuộc về máy ảo khi máy ảo ở trạng thái tắt.
3. Ephemeral binding : Hoạt động của vDS trong việc tạo port sẽ giống với vSS nếu người dùng lựa chọn option này. Mặc định sẽ không có bất kỳ DP nào được tạo ra, hay nói cách khác số lượng DP được tạo ra ban đầu là 0. Khi có một máy ảo ở trạng thái bật (power-on) kết nối đến DPS, DP sẽ được tạo ra và gán cho máy ảo đó. Số lượng tối đa các máy ảo có thể kết nối đến 1 port group phụ thuộc vào số lượng port tối đa mà switch ảo có thể hỗ trợ. Theo tài liệu vSphere Configuration Maximum guide (https://www.vmware.com/pdf/vsphere5/r50/vsphere-50-configurationmaximums.pdf), một host có thể có tối đa 4096 ports và tối đa 1016 ports hoạt động đồng thời.

Lưu ý : Chỉ với lựa chọn static binding, người dùng mới có thể thực hiện stateful monitoring trên các distributed ports. 

Với tính năng Auto Expand, khi số lượng DP cấu hình trên DPS đã được sử dụng hết nhưng vẫn có máy ảo muốn kết nối đến DPS, hệ thống sẽ tự động bổ sung thêm DP vào DPS. Để tính năng này có thể hoạt động, người dùng cần thực hiện các câu lệnh vSphere API hay vSphere MOB được mô tả ở KB 1022312 (http://

kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1022312.)

Auto Expand đã được giới thiệu từ vSphere 5.0. Với phiên bản vSphere 5.1, khi người dùng lựa chọn option static binding, Auto Expand sẽ tự động được kích hoạt, qua đó người dùng sẽ không cần thực hiện các đoạn script để khởi chạy Auto Expand cũng như không cần lo lắng về việc các DP sẽ bị cạn kiệt.

MAC Address Management

Trong môi trường vSphere, địa chỉ MAC của các card mạng Ethernet của các máy ảo được quản lý và cấp phát bởi vCenter Server. Địa chỉ MAC của các máy ảo trong cùng một mạng (subnet) cần phải khác nhau. Quá trình quản lý địa chỉ MAC trong vSphere 5.0 gặp một số giới hạn sau :

1. Mỗi vCenter Server chỉ có 64K dung lượng để lưu trữ thông tin về các địa chỉ MAC mà nó quản lý. Dung lượng này là quá nhỏ trông môi trường đám mây hiện nay.
2. Sự trùng lặp địa chỉ MAC có thể xảy ra nếu có nhiều vCenter Server cùng hoạt động nhưng được quản lý bởi các nhóm IT khác nhau.

Được giới thiệu trong vSphere 5.1, MAC Address Management cho phép người dùng (người quản trị hệ thống ảo hóa) tự xác định địa chỉ / dải địa chỉ MAC cho các máy ảo mà không giới hạn trong khuôn khổ dải địa chỉ của VMware (dựa trên 24 bits đầu tiên _OUI_ trong 48 bits địa chỉ MAC). Tất nhiên, người dùng vẫn có thể lựa chọn sử dụng dải địa chỉ của VMware như trước đây.

Giới hạn về 64K dung lượng lưu trữ địa chỉ MAC cũng được gỡ bỏ, và mối lo về việc trùng lặp địa chỉ MAC cũng không còn khi người dùng có thể tự phân hoạch hệ thống địa chỉ MAC cho mình.

Link Aggregation Control Protocol Support

Link Aggregation Control Protocol (LACP) nhóm các kết nối mạng vật lý lại với nhau để tạo thành 1 kết nối mạng logical duy nhất, qua đó tăng băng thông truyền tải cũng như đảm bảo tính redundancy cho các kết nối. Các LACP nodes (các thiết bị sử dụng giao thức LACP) trao đổi cấu hình với nhau thông qua các gói tin LACP packet. Tính năng LACP chính thức được hỗ trợ từ phiên bản vSphere 5.1, qua đó mang lại các ưu điểm sau :

1. Plug and Play - Tự động cấu hình và trao đổi các thông tin cần thiết giữa host và switch vật lý
2. Dynamic - Tự động phát hiện lỗi kết nối và chuyển sang những kết nối đang hoạt động

Bridge Protocol Data Unit Filter

Bridge Protocol Data Unit (BPDU) được sử dụng trong giao thức Spanning Tree Protocol (STP) trong việc chống loop layer 2 của hệ thống mạng. Các switch ảo VMware (vSS và vDS) không hỗ trợ STP do đó nó không trao đổi gói tin BPDU với hệ thống switch vật lý thông qua uplink interface.

Trong môi trường vSphere, khi ESXi host kết nối trực tiếp đến switch vật lý thông qua uplink interface, người dùng nên bật tính năng PortFast và BPDU guard trên switch vật lý để các máy ảo có thể sử dụng mạng vật lý một cách nhanh chóng, đồng thời switch vật lý cũng không cần phải tốn tài nguyên để gửi các gói tin BPDU đến các ESXi host một cách vô ích (vì các switch ảo không gửi/nhận các gói tin này).

Tuy nhiên, dù switch ảo không gửi/nhận các gói tin BPDU, nhưng nếu các máy ảo gửi các gói tin BPDU thì switch ảo sẽ forward những gói tin này đến switch vật lý. Nếu port trên switch vật lý được cấu hình BPDU guard thì khi nhận được các gói tin BPDU, port đó sẽ rơi vào trạng thái err-disabled và sẽ dừng hoạt động.  vSphere sẽ phát hiện được trạng thái dừng hoạt động này và chuyển hướng traffic của các máy ảo sang một uplink interface khác. Và một lần nữa, port mới này trên switch vật lý nếu nhận được gói tin BPDU thì cũng sẽ rơi vào trạng thái dừng hoạt động nếu tính năng BPDU guard được kích hoạt. Hiệu ứng domino này gây ra hiên tượng tất cả các port trên switch vật lý mà host có uplink kết nối đến đều bị dừng hoạt động và không cung cấp được kết nối ra mạng vật lý cho các máy ảo.

Tính năng BPDU Filter sẽ lọc các gói tin BPDU được gửi đi từ máy ảo, từ đó ngăn chặn việc switch vật lý sẽ nhận được các gói tin BPDU vào những port mà tính năng BPDU guard được kích hoạt. Tính năng này có trên cả vSS và vDS và có thể được kích hoạt thông qua việc thay đổi giá trị của tham số "net" trong cấu hình ESXi host.