导航：首页 > 网络安全 >

Part10 - （图文）NSX系列之创建Logical Switch

发表于：2024-09-22 作者：千家信息网编辑

千家信息网最后更新 2024年09月22日，以云计算环境为例，假设，构建一个vRealize Automation的私有或公有云平台，就一定会涉及到Multi-Tenants的问题。不同的Tenant自然有不同的安全等级、隔离要求或者独有的IP

千家信息网最后更新 2024年09月22日Part10 - （图文）NSX系列之创建Logical Switch

以云计算环境为例，假设，构建一个vRealize Automation的私有或公有云平台，就一定会涉及到Multi-Tenants的问题。不同的Tenant自然有不同的安全等级、隔离要求或者独有的IP地址段讯息等。理论上NSX的Logical Switch会创建一个广播域或Segment到分配的Tenant这边，然后通过Logical Wire连接起来。但是，Logical Switch并不等同于vDS上的Distributed Port Groups。Logical Switch会通过vDS的DVPort结合实现针对vDS的扩展。NSX Controller负责集中控制网路所有的Logical Switches，同时负责维护所有的VMs、ESXi Hosts、Logical Switches和VXLANs等讯息。一个Logical Switch将会被映射到一个单一且负责封装VM traffic并将之在物理IP网路传输的VXLAN。图01是猫猫绘制的一个简单Logical Switch示意图，在图里，创建了一个名为Web-Tier的Logical Switch，并且将2台VMs添加到了这个Logical Switch里。这个Logical Switch将会允许没有不同物理子网和Cluster的两台VMs相互通讯，两台VMs的IP地址分别定义为20.20.20.x/24，同时ESXi Hosts的子网所在是10.10.10.x：

图01

为了实现图01中所示的结构并且达到想要的效果，就需要按照如下流程去操作：

1、首先，vSphere Web Client登录到vCenter，点击Networking & Security LogicalSwitches，如图02所示，点击红框的绿色加号：

图02

2、之后，会弹出如图03所示的窗口，在这个窗口里，有几个选项：

· Name - 计划给这个Logical Switch的命名；

· Description - 计划给这个Logical Switch用途的描述说明；

· Transport Zone - Part09所创建的Transport Zone；

· Replication Mode - 可选择Multicast、Unicast和Hybrid；

· Enable IP Discovery和Enable MAC Learning - 允许执行IP发现和MAC地址学习；

点击Transport Zone选项的Change，会来到Transport Zone Settings窗口，点击选择Part09里所创建好的VXLAN-Global-Transport即可：

图03

之后，点击Ok，再点击Ok，即可完成这个Logical Switch的创建；

3、此时，在图04所示的窗口里，可以看到这个名为Web-Tier关联了VXLAN-Global-Transport的Transport Zone出现在了图中，可以看到它被分配到的VNI（VXLAN Network Identifier）是5000：

图04

4、如之前所描述的，LogicalSwitch并不等同于vDS的Distributed Port Group，所以，当创建了一个LogicalSwitch时，还会在对应的vDS上创建一个连接到GlobalTransport Zone的DistributedPort Group。例如图05所示的VXW-dvs-xxxxxx这样的一个DVPort：

图05

5、接下来要做的事情就是去将虚拟机分配到LogicalSwitch，来到图06所示窗口，点击红色框选的选项：

图06

6、将需要添加到这个LogicalSwitch的两台虚拟机WEB01和WEB02添加进来，如图07所示，勾选之后，点击Next：

图07

7、如果虚拟机有多张虚拟网路卡，是可以选择把具体哪一张卡连接到这个Web-Tier的Logical Switch的，如果只有一张卡，则不管他了，选定之后点击Next即可，如图08所示：

图08

8、当确认一切无误之后，直接点击图09所示的Finish按钮，完成这个VMs到Logical Switch关联的动作：

图09

09、之后，来到Inventory里面，看到WEB01、WEB02虚拟机的Summary页标签，可以看到如图10所示的Port Group连接讯息：

图10

10、理论上，此时是可以在WEB01和WEB02两台机器之间互相Ping通的，而Ping是检测ICMP通讯最简单的方式，也就意味着，此时这两台运行在不同物理环境的VMs借助VXLAN的力量通过连接到同一个LogicalSwitch的方式实现了互通。当WEB01到WEB02进行通讯时，它会通过VXLANTransport网路。当VMs通讯或交换机查询MAC地址表时，主机上由NSXController决定将ARP/MAC/VTEP表进行Push到VM端。它会被转发到VXLANTransport网路，然后中间会发生VXLAN包头与源和目标的路由封装等，到达目标主机后再解包还原真实IP讯息和数据讯息，进而完成通讯流程。