NSX-v so với NSX-T: So sánh toàn diện
Công nghệ ảo hóa đã mang lại những thay đổi mang tính cách mạng trong cách thức xây dựng các trung tâm dữ liệu. Phần lớn các trung tâm dữ liệu hiện đại đều sử dụng ảo hóa phần cứng và triển khai các máy chủ vật lý làm trình ảo hóa (hypervisor) để chạy các máy ảo trên các máy chủ đó. Cách tiếp cận này giúp cải thiện khả năng mở rộng, tính linh hoạt và hiệu quả chi phí của trung tâm dữ liệu. VMware là một trong những nhà cung cấp hàng đầu trên thị trường ảo hóa và các sản phẩm của họ được đánh giá cao trong ngành CNTT, với trình ảo hóa VMware ESXi và VMware vCenter là những thành phần nổi tiếng của giải pháp ảo hóa VMware vSphere.
Mạng là thành phần quan trọng của mọi trung tâm dữ liệu, bao gồm cả các trung tâm dữ liệu ảo hóa, và nếu bạn cần các mạng quy mô lớn cùng cấu hình mạng phức tạp cho trung tâm dữ liệu ảo hóa của mình, hãy cân nhắc sử dụng mạng định nghĩa bằng phần mềm (SDN). Mạng định nghĩa bằng phần mềm là một kiến trúc nhằm mục đích giúp mạng trở nên linh hoạt và thích ứng cao. Mục tiêu của SDN là cải thiện khả năng kiểm soát mạng bằng cách cho phép các doanh nghiệp và nhà cung cấp dịch vụ phản ứng nhanh chóng với các yêu cầu kinh doanh luôn thay đổi. VMware luôn quan tâm đến khách hàng và cung cấp giải pháp VMware NSX để xây dựng các mạng định nghĩa bằng phần mềm. Bài đăng trên blog hôm nay sẽ đề cập đến VMware NSX và tìm hiểu sự khác biệt giữa VMware NSX-v và VMware NSX-T.
VMware NSX là gì và có thể được sử dụng như thế nào?
VMware NSX là một giải pháp ảo hóa mạng cho phép bạn xây dựng các mạng được định nghĩa bằng phần mềm (SDN) trong các trung tâm dữ liệu ảo hóa. Tương tự như cách các máy ảo (VM) được trừu tượng hóa khỏi phần cứng máy chủ vật lý, các mạng ảo bao gồm các thiết bị chuyển mạch, cổng mạng, bộ định tuyến, tường lửa, v.v., cũng được xây dựng trong không gian ảo. Các mạng ảo được triển khai và quản lý độc lập với phần cứng cơ sở. Các máy ảo được kết nối với các cổng ảo của bộ chuyển mạch ảo; kết nối giữa các mạng ảo được thực hiện thông qua các bộ định tuyến ảo, và các quy tắc truy cập được cấu hình trên các tường lửa ảo. Ngoài ra, tính năng cân bằng tải mạng cũng được hỗ trợ. VMware NSX là phiên bản kế thừa của VMware vCloud Networking & Security (vCNS)và Nicira NVP – công ty đã được VMware mua lại vào năm 2012.
Phân đoạn vi mô
Khi sử dụng phương pháp truyền thống để cấu hình quyền truy cập giữa các mạng trong môi trường ảo, người ta thường triển khai một bộ định tuyến vật lý hoặc cổng biên chạy trên máy ảo (VM), tuy nhiên phương pháp này không thực sự nhanh chóng hay thuận tiện. VMware đã triển khai khái niệm phân đoạn vi mô trong NSX bằng cách sử dụng tường lửa phân tán được tích hợp sẵn vào lõi của trình ảo hóa. Các chính sách bảo mật, thông số tương tác mạng cho địa chỉ IP, địa chỉ MAC, máy ảo, ứng dụng và các đối tượng khác đều được thiết lập trong tường lửa phân tán này. Các quy tắc có thể được cấu hình bằng cách sử dụng các đối tượng như người dùng và nhóm Active Directory nếu NSX được triển khai trong công ty của bạn nơi sử dụng Máy chủ Kiểm soát miền Active Directory (ADDC). Mỗi đối tượng có thể được xem như một phân đoạn vi mô trong vùng bảo mật riêng của mạng tương ứng, nơi có vùng DMZ (vùng phi quân sự) riêng.
Tường lửa phân tán cho phép bạn phân đoạn các thực thể trong trung tâm dữ liệu ảo như máy ảo. Việc phân đoạn có thể dựa trên tên và thuộc tính của máy ảo, danh tính người dùng, các đối tượng vCenter như trung tâm dữ liệu và máy chủ, hoặc dựa trên các thuộc tính mạng truyền thống như địa chỉ IP, nhóm cổng, v.v.
Thành phần Tường lửa Edge giúp bạn đáp ứng các yêu cầu bảo mật biên quan trọng, chẳng hạn như xây dựng DMZ dựa trên cấu trúc IP/VLAN, cách ly giữa các khách hàng trong trung tâm dữ liệu ảo đa khách hàng, Chuyển đổi Địa chỉ Mạng (NAT), VPN đối tác (extranet) và VPN SSL dựa trên người dùng.
Nếu một máy ảo (VM) được di chuyển từ máy chủ này sang máy chủ khác — từ mạng con này sang mạng con khác — các quy tắc truy cập và chính sách bảo mật sẽ được điều chỉnh phù hợp với vị trí mới. Nếu một máy chủ cơ sở dữ liệu đang chạy trên một máy ảo (VM) đã được di chuyển, các quy tắc được thiết lập cho máy ảo này trong tường lửa sẽ tiếp tục hoạt động sau khi quá trình di chuyển sang máy chủ hoặc mạng khác hoàn tất, cho phép máy chủ cơ sở dữ liệu truy cập vào máy chủ ứng dụng đang chạy trên máy ảo chưa được di chuyển. Đây là một ví dụ minh họa cho sự linh hoạt và tự động hóa được nâng cao khi sử dụng VMware NSX. NSX đặc biệt hữu ích cho các nhà cung cấp dịch vụ đám mây và các hạ tầng ảo quy mô lớn. VMware cung cấp hai loại nền tảng mạng định nghĩa bằng phần mềm NSX – NSX-v và NSX-T.
NSX cho vSphere (NSX-v) được tích hợp chặt chẽ với VMware vSphere và yêu cầu triển khai VMware vCenter. VMware NSX-v dành riêng cho các môi trường hypervisor vSphere và được phát triển trước NSX-T.
NSX-T (NSX-Transformers) được thiết kế cho các nền tảng ảo hóa khác nhau và môi trường đa hypervisor, đồng thời có thể được sử dụng trong các trường hợp mà NSX-v không áp dụng được. Trong khi NSX-v chỉ hỗ trợ SDN cho VMware vSphere, NSX-T còn hỗ trợ ngăn xếp ảo hóa mạng cho KVM, Docker, Kubernetes và OpenStack cũng như các khối lượng công việc gốc của AWS. VMware NSX-T có thể được triển khai mà không cần vCenter Server và được áp dụng cho các hệ thống tính toán không đồng nhất.
Các kịch bản chính để sử dụng NSX-v được liệt kê trong bảng dưới đây. Bảng này được chia thành ba hàng, trong đó một hàng mô tả danh mục kịch bản. Các kịch bản sử dụng NSX-T được đánh dấu bằng phông chữ in đậm.
| Bảo mật | Tự động hóa | Đảm bảo tính liên tục của ứng dụng |
| Phân đoạn vi mô | Tự động hóa CNTT | Phục hồi thảm họa |
| Bảo mật người dùng cuối | Đám mây dành cho nhà phát triển | Tập hợp nhiều trung tâm dữ liệu |
| DMZ ở bất kỳ đâu | Cơ sở hạ tầng đa người thuê | Kết nối đa đám mây |
Các thành phần của NSX
Các thành phần chính của VMware NSX bao gồm NSX Manager, các bộ điều khiển NSX và các cổng NSX Edge.
NSX Manager là thành phần tập trung của NSX, được sử dụng để quản lý mạng. NSX Manager có thể được triển khai dưới dạng máy ảo (VM) trên một trong các máy chủ ESXi được quản lý bởi vCenter (từ mẫu OVA). Trong trường hợp bạn đang sử dụng NSX-v, NSX Manager chỉ có thể hoạt động với một máy chủ vCenter duy nhất, trong khi NSX Manager cho NSX-T có thể được triển khai dưới dạng máy ảo ESXi hoặc KVM và có thể hoạt động với nhiều máy chủ vCenter cùng lúc. NSX Manager cho vSphere dựa trên Photon OS (tương tự như vCenter Server Appliance).
NSX-T Manager chạy trên hệ điều hành Ubuntu.
Bộ điều khiển NSX . Bộ điều khiển NSX là một hệ thống quản lý trạng thái phân tán được sử dụng để tạo lớp phủ cho các đường hầm truyền tải và điều khiển các mạng ảo, có thể được triển khai dưới dạng máy ảo (VM) trên các trình ảo hóa ESXi hoặc KVM. Bộ điều khiển NSX kiểm soát tất cả các bộ chuyển mạch logic trong mạng và xử lý thông tin về các máy ảo (VM), máy chủ, bộ chuyển mạch và VXLAN. Việc có ba nút bộ điều khiển đảm bảo tính dự phòng dữ liệu trong trường hợp một nút bộ điều khiển NSX bị lỗi.
NSX Edge là dịch vụ cổng kết nối cung cấp quyền truy cập vào các mạng vật lý và ảo cho các máy ảo (VM). NSX Edge có thể được cài đặt dưới dạng bộ định tuyến ảo phân tán hoặc dưới dạng cổng dịch vụ. Các dịch vụ sau đây có thể được cung cấp: định tuyến động, tường lửa, Chuyển đổi Địa chỉ Mạng (NAT), Giao thức Cấu hình Máy chủ Động (DHCP), Mạng Riêng Ảo (VPN), Cân bằng Tải và Khả năng Hoạt động Liên tục.
Các tùy chọn triển khai
Khái niệm triển khai khá tương tự nhau đối với cả NSX-v và NSX-T. Bạn nên thực hiện các bước sau để triển khai NSX:
- Triển khai NSX Manager dưới dạng máy ảo (VM) trên máy chủ ESXi bằng thiết bị ảo. Đảm bảo đăng ký NSX Manager trên vSphere vCenter (đối với NSX-v). Nếu bạn sử dụng NSX-T, NSX Manager có thể được triển khai dưới dạng thiết bị ảo trên máy chủ KVM vì VMware NSX-T cho phép bạn tạo cụm các máy chủ NSX Manager.
- Triển khai ba bộ điều khiển NSX và tạo cụm bộ điều khiển NSX.
- Cài đặt
VIBs(các mô-đun kernel) trên các máy chủ ESXi để kích hoạt tường lửa phân tán, định tuyến phân tán và VXLAN nếu bạn đang sử dụng NSX-v. Nếu bạn đang sử dụng NSX-T, các mô-đun kernel cũng phải được cài đặt trên các hypervisor KVM. - Cài đặt NSX Edge dưới dạng máy ảo trên ESXi (đối với NSX-v và NSX-T). Nếu bạn đang sử dụng NSX-T và không thể cài đặt Edge dưới dạng máy ảo trên ESXi, Edge có thể được triển khai trên máy chủ vật lý. Việc cài đặt Edge dưới dạng máy ảo trên các hypervisor KVM hiện chưa được hỗ trợ (đối với NSX-T phiên bản 2.3). Nếu bạn cần triển khai Edge trên máy chủ vật lý, hãy kiểm tra danh sách tương thích phần cứng (đặc biệt quan trọng đối với CPU và NIC) trước khi thực hiện.
Các tính năng chung của NSX
Có một loạt các tính năng có sẵn cho cả hai loại NSX.
Các tính năng chung cho NSX-v và NSX-T là:
- Ảo hóa mạng dựa trên phần mềm
- Lớp phủ dựa trên phần mềm
- Định tuyến phân tán
- Tường lửa phân tán
- Tự động hóa dựa trên API
- Giám sát và thống kê chi tiết
Lưu ý rằng các API của NSX-v và NSX-T là khác nhau.
Cấp phép
Chính sách cấp phép giống nhau đối với cả hai loại NSX, mang lại cho bạn sự linh hoạt và tính phổ quát cao hơn. Ví dụ: bạn có thể đặt mua giấy phép để sử dụng NSX cho vSphere, và nếu bạn thực hiện một số thay đổi trong cơ sở hạ tầng của mình và cần triển khai NSX-T, bạn có thể sử dụng giấy phép đã mua cho ESXi-v. NSX là NSX – không có sự phân biệt nào về mặt cấp phép, vì các phiên bản cấp phép cũng giống nhau.
Đóng gói lớp phủ (Overlay Encapsulation)
Đóng gói lớp phủ cho mạng ảo được sử dụng để trừu tượng hóa mạng ảo bằng cách truyền thông tin lớp 2 qua lớp 3. Một mạng lớp 2 logic được tạo ra trên các mạng lớp 3 hiện có (mạng IP) trên cơ sở hạ tầng vật lý hiện có. Kết quả là, hai máy ảo (VM) có thể giao tiếp với nhau qua mạng, ngay cả khi đường dẫn giữa các máy ảo phải được định tuyến. Mạng vật lý có thể được gọi là mạng underlay.
VXLAN so với GENEV
NSX-v sử dụng giao thức đóng gói VXLAN trong khi NSX-T sử dụng GENEVE một giao thức hiện đại hơn.
VXLAN . VXLAN sử dụng phương thức đóng gói MAC qua IP và nguyên lý hoạt động của việc cách ly mạng khác với kỹ thuật VLAN. VLAN truyền thống có số lượng mạng giới hạn là 4094 theo tiêu chuẩn 802.1q, và việc cách ly mạng được thực hiện ở lớp 2 của mạng vật lý bằng cách thêm 4 byte vào tiêu đề khung Ethernet. Số lượng mạng ảo tối đa cho VXLAN là 2^24. Trong trường hợp này, mã định danh mạng VXLAN được sử dụng để đánh dấu từng mạng ảo. Các khung lớp 2 của mạng phủ được đóng gói bên trong các gói tin UDP được truyền qua mạng vật lý. Số cổng UDP trong trường hợp này là 4789.
Tiêu đề VXLAN bao gồm các phần sau.
- 8 bit được sử dụng cho các cờ. Cờ I phải được đặt thành 1 để làm cho
VXLAN Network ID (VNI)có hiệu lực. 7 bit còn lại là các trường R được dành riêng và phải được đặt thành 0 khi truyền. Các trường R được đặt thành 0 sẽ bị bỏ qua khi nhận. VXLAN Network Identifier (VNI)còn được gọi làVXLAN Segment IDlà một giá trị 24-bit được sử dụng để xác định mạng lớp phủ riêng lẻ được sử dụng cho việc giao tiếp giữa các máy ảo (VM) với nhau.- Các trường dành riêng (24-bit và 8-bit) phải được đặt thành 0 và sẽ bị bỏ qua khi nhận.
Kích thước của tiêu đề VXLAN là cố định và bằng 8 byte. Nên sử dụng khung Jumbo với MTU được đặt thành 1600 byte trở lên cho VXLAN.
GENEVE. Tiêu đề GENEVE trông rất giống VXLAN và có cấu trúc như sau:
- Một tiêu đề đường hầm nhỏ gọn được đóng gói trong UDP qua IP.
- Một tiêu đề đường hầm nhỏ cố định được sử dụng để cung cấp thông tin điều khiển, cũng như mức độ chức năng và khả năng tương tác cơ bản.
- Các tùy chọn độ dài biến đổi được cung cấp để tạo điều kiện triển khai các cải tiến trong tương lai.
Kích thước của GENEVE tiêu đề là biến đổi.
NSX-T sử dụng GENEVE (GEneric NEtwork Virtualization Encapsulation) làm giao thức đường hầm nhằm duy trì các khả năng offload truyền thống có sẵn trên NIC (Bộ điều khiển giao diện mạng) để đạt hiệu suất tối ưu. Có thể thêm siêu dữ liệu bổ sung vào các tiêu đề lớp phủ, giúp cải thiện việc phân biệt ngữ cảnh để xử lý thông tin như đo lường từ đầu đến cuối, theo dõi dữ liệu, mã hóa, bảo mật, v.v. trên lớp truyền dữ liệu. Thông tin bổ sung trong siêu dữ liệu được gọi là TLV (Loại, Độ dài, Giá trị). GENEVE được phát triển bởi VMware, Intel, Red Hat và Microsoft. GENEVE dựa trên các khái niệm tốt nhất của các giao thức đóng gói VXLAN, STT và NVGRE .
Giá trị MTU cho các khung Jumbo phải ít nhất là 1700 byte khi sử dụng phương thức đóng gói GENEVE do trường metadata có độ dài biến đổi trong tiêu đề GENEVE (như bạn còn nhớ, MTU 1600 hoặc cao hơn được sử dụng cho VXLAN).
NSX-v và NSX-T không tương thích do sự khác biệt về phương thức đóng gói lớp phủ được giải thích trong phần này.
Mạng Lớp 2
Bây giờ bạn đã biết cách các khung Ethernet lớp 2 ảo được đóng gói trên mạng IP, do đó, đã đến lúc tìm hiểu về việc triển khai mạng lớp 2 ảo cho NSX-v và NSX-T.
Các nút vận chuyển và bộ chuyển mạch ảo
Các nút vận chuyển và bộ chuyển mạch ảo đại diện cho các thành phần truyền dữ liệu của NSX.
Nút vận chuyển (TN) là thiết bị tương thích với NSX tham gia vào việc truyền tải lưu lượng và mạng lớp phủ NSX. Một nút phải chứa một hostswitch để có thể hoạt động như một nút truyền tải. NSX-v yêu cầu phải sử dụng bộ chuyển mạch ảo phân tán vSphere (VDS) như thông thường trong vSphere. Không thể sử dụng các bộ chuyển mạch ảo tiêu chuẩn cho NSX-v.
NSX-T giả định rằng bạn cần triển khai một bộ chuyển mạch ảo phân tán NSX-T (N-VDS). Open vSwitches (OVS) được sử dụng cho các máy chủ KVM và các bộ chuyển mạch ảo VMware được sử dụng cho các máy chủ ESXi có thể được sử dụng cho mục đích này.
N-VDS (bộ chuyển mạch ảo phân tán, trước đây được gọi là hostswitch) là một thành phần phần mềm của NSX trên nút truyền tải, thực hiện việc truyền tải lưu lượng. N-VDS là thành phần chính của lớp dữ liệu trên các nút truyền tải, có nhiệm vụ chuyển tiếp lưu lượng và sở hữu ít nhất một bộ điều khiển giao diện mạng vật lý (NIC). NSX Switches (N-VDS) các nút truyền tải khác nhau là độc lập nhưng có thể được nhóm lại bằng cách gán cùng một tên để quản lý tập trung.
Trên các hypervisor ESXi, N-VDS được triển khai bằng cách sử dụng VMware vSphere Distributed Switch thông qua mô-đun NSX-vSwitch được tải vào nhân của hypervisor. Trên các hypervisor KVM, hostswitch được triển khai bởi mô-đun Open-vSwitch (OVS) .
Các vùng truyền tải có sẵn cho cả NSX-v và NSX-T. Các vùng truyền tải xác định ranh giới phân phối của các mạng logic. Mỗi vùng truyền tải được liên kết với Switch NSX (N-VDS) tương ứng. Các vùng truyền tải cho NSX-T không được liên kết với các cụm.
Có hai loại vùng truyền tải cho VMware NSX-T do cơ chế đóng gói GENEVE: Overlay hoặc VLAN. Đối với VMware NSX-v, vùng truyền tải chỉ xác định giới hạn phân phối của VXLAN.
Chế độ sao chép bộ chuyển mạch logic
Khi hai máy ảo nằm trên các máy chủ khác nhau giao tiếp trực tiếp, lưu lượng unicast được trao đổi ở chế độ đóng gói giữa hai địa chỉ IP đầu cuối được gán cho các hypervisor mà không cần phải lan truyền. Đôi khi, lưu lượng mạng lớp 2 do một máy ảo tạo ra phải được phát tán tương tự như lưu lượng lớp 2 trong các mạng vật lý truyền thống, ví dụ như khi người gửi không biết địa chỉ MAC của giao diện mạng đích. Điều này có nghĩa là cùng một lưu lượng (phát sóng, unicast, multicast) phải được gửi đến tất cả các máy ảo kết nối với cùng một công tắc logic. Nếu các máy ảo (VM) nằm trên các máy chủ khác nhau, lưu lượng phải được nhân bản sang các máy chủ đó. Lưu lượng phát sóng, đơn hướng và đa hướng còn được gọi là lưu lượng BUM.
Hãy xem sự khác biệt giữa các chế độ nhân bản cho NSX-v và NSX-T.
NSX-v hỗ trợ chế độ Đơn hướng, chế độ Đa hướng và chế độ Kết hợp.
NSX-T hỗ trợ chế độ Đơn hướng với hai tùy chọn: Sao chép theo cấu trúc phân cấp hai tầng (đã được tối ưu hóa, tương tự như đối với NSX-v) và sao chép đầu cuối (chưa được tối ưu hóa).
Chức năng ức chế ARP giúp giảm lượng lưu lượng phát sóng ARP được truyền qua mạng và có sẵn cho các chế độ sao chép lưu lượng Unicast và Hybrid. Do đó, tính năng ức chế ARP có sẵn cho cả NSX-v và NSX-T.
Khi một máy ảo (VM1) gửi yêu cầu ARP để xác định địa chỉ MAC của một máy ảo khác (VM2), yêu cầu ARP này sẽ được bộ chuyển mạch logic chặn lại. Nếu bộ chuyển mạch logic đã có mục nhập ARP cho giao diện mạng đích của VM2, bộ chuyển mạch sẽ gửi phản hồi ARP trực tiếp đến VM1. Ngược lại, bộ chuyển mạch sẽ gửi yêu cầu ARP đến bộ điều khiển NSX. Nếu bộ điều khiển NSX chứa thông tin về mối liên kết giữa địa chỉ IP và địa chỉ MAC của máy ảo, bộ điều khiển sẽ gửi phản hồi kèm theo mối liên kết đó, sau đó bộ chuyển mạch logic sẽ gửi phản hồi ARP đến VM1. Nếu không có mục ARP trên bộ điều khiển NSX, yêu cầu ARP sẽ được phát lại trên bộ chuyển mạch logic.
Cầu nối lớp 2 của NSX
Cầu nối lớp 2 hữu ích cho việc di chuyển tải công việc từ mạng overlay sang VLAN, hoặc chia tách các mạng con giữa các tải công việc vật lý và ảo.
NSX-v: Tính năng này hoạt động ở cấp độ nhân của hypervisor nơi máy ảo điều khiển đang chạy.
NSX-T : Một nút cầu nối NSX riêng biệt được tạo ra cho mục đích này. Các nút cầu nối NSX có thể được tổ chức thành các cụm để nâng cao khả năng chịu lỗi của toàn bộ giải pháp.
Trong máy ảo điều khiển NSX-v, tính dự phòng được thực hiện thông qua cơ chế Tính sẵn sàng cao (HA). Một bản sao máy ảo ở trạng thái hoạt động trong khi bản sao còn lại ở trạng thái dự phòng. Nếu máy ảo đang hoạt động gặp sự cố, việc chuyển đổi máy ảo và kích hoạt máy ảo dự phòng có thể mất một khoảng thời gian. NSX-T không gặp nhược điểm này, vì nó sử dụng cụm chịu lỗi thay vì cơ chế hoạt động/chờ sẵn cho HA.
Mô hình định tuyến
Trong trường hợp bạn sử dụng VMware NSX, các thuật ngữ sau được sử dụng:
Lưu lượng đông-tây đề cập đến việc truyền dữ liệu qua mạng bên trong trung tâm dữ liệu. Tên gọi này được sử dụng cho loại lưu lượng cụ thể này vì các đường ngang trên sơ đồ thường biểu thị lưu lượng mạng cục bộ (LAN).
Lưu lượng Bắc-Nam đề cập đến lưu lượng máy khách-máy chủ hoặc lưu lượng di chuyển giữa trung tâm dữ liệu và một vị trí bên ngoài trung tâm dữ liệu (mạng bên ngoài). Các đường thẳng dọc trên sơ đồ thường mô tả loại lưu lượng mạng này. Bộ định tuyến logic phân tán (DLR) là một bộ định tuyến ảo có thể sử dụng các tuyến tĩnh và các giao thức định tuyến động như OSPF, IS-IS hoặc BGP.
Khách hàng thuê dịch vụ là một khách hàng hoặc tổ chức được cấp quyền truy cập vào một môi trường an toàn, được cách ly do nhà cung cấp dịch vụ quản lý (MSP) cung cấp. Một tổ chức lớn có thể sử dụng kiến trúc đa khách hàng (multi-tenant) bằng cách coi mỗi bộ phận như một khách hàng riêng biệt. VMware NSX có thể đặc biệt hữu ích trong việc cung cấp Dịch vụ Hạ tầng như một Dịch vụ (IaaS).
Định tuyến trong NSX-v
NSX for vSphere sử dụng DLR (bộ định tuyến logic phân tán) và định tuyến tập trung. Trên mỗi hypervisor đều có một mô-đun nhân định tuyến để thực hiện định tuyến giữa các giao diện logic (LIFs) trên bộ định tuyến phân tán.
Hãy xem xét, ví dụ, sơ đồ định tuyến điển hình cho NSX-v, khi bạn có một tập hợp gồm ba phân đoạn: các máy ảo (VM) chạy cơ sở dữ liệu, các máy ảo chạy máy chủ ứng dụng và các máy ảo chạy máy chủ web. Các máy ảo thuộc các phân đoạn này (xanh da trời, xanh lá cây và xanh đậm) được kết nối với bộ định tuyến logic phân tán (DLR), bộ định tuyến này lại được kết nối với các mạng bên ngoài thông qua các cổng biên (NSX Edge).
Nếu bạn đang làm việc với nhiều khách hàng thuê (tenant), bạn có thể sử dụng cấu trúc NSX Edge nhiều tầng, hoặc mỗi khách hàng thuê có thể có DLR và máy ảo điều khiển (controller VM) riêng, trong đó máy ảo điều khiển nằm trên cụm biên (edge cluster). Cổng NSX Edge kết nối các mạng stub bị cô lập với các mạng chia sẻ (uplink) bằng cách cung cấp các dịch vụ cổng chung như DHCP, VPN, NAT, định tuyến động và cân bằng tải. Các triển khai phổ biến của NSX Edge bao gồm trong vùng DMZ, mạng ngoại vi VPN và môi trường đám mây đa khách hàng, nơi NSX Edge tạo ra các ranh giới ảo cho từng khách hàng.
Nếu bạn cần truyền lưu lượng từ một máy ảo nằm trong phân đoạn A (màu xanh) của khách hàng đầu tiên đến phân đoạn A của khách hàng thứ hai, lưu lượng phải đi qua cổng NSX Edge. Trong trường hợp này, không có định tuyến phân tán, vì lưu lượng phải đi qua một điểm duy nhất là cổng NSX Edge được chỉ định.
Bạn cũng có thể thấy nguyên lý hoạt động trên sơ đồ, trong đó các thành phần được chia thành các cụm: Cụm Quản lý, Cụm Edge và Cụm Tính toán. Trong ví dụ này, mỗi cụm sử dụng 2 máy chủ ESXi. Nếu hai máy ảo (VM) đang chạy trên cùng một máy chủ ESXi nhưng thuộc các phân đoạn mạng khác nhau, lưu lượng sẽ đi qua cổng NSX Edge nằm trên một máy chủ ESXi khác thuộc Cụm Edge. Sau khi định tuyến, lưu lượng này phải được truyền trở lại máy chủ ESXi nơi các máy ảo nguồn và đích đang chạy.
Trong trường hợp này, lộ trình truyền tải lưu lượng không tối ưu. Các lợi thế của định tuyến phân tán trong mô hình đa người thuê với các cổng Edge không thể được tận dụng, dẫn đến độ trễ cao hơn cho lưu lượng mạng của bạn.
Định tuyến trong NSX-T
NSX-T sử dụng mô hình định tuyến phân tán hai tầng để giải quyết các vấn đề được giải thích ở trên. Cả Tier0 và Tier1 đều được tạo trên các nút Transport; trong đó nút sau không bắt buộc nhưng được thiết kế để cải thiện khả năng mở rộng.
Lưu lượng được truyền qua đường dẫn tối ưu nhất, vì quá trình định tuyến sau đó được thực hiện trên hypervisor ESXi hoặc KVM nơi các máy ảo đang chạy. Trường hợp duy nhất phải sử dụng điểm định tuyến cố định là khi kết nối với các mạng bên ngoài. Các nút Edge riêng biệt được triển khai trên các máy chủ chạy hypervisor.
Các dịch vụ bổ sung như BGP, NAT và Tường lửa Edge có thể được kích hoạt trên các nút Edge, và các nút này có thể được kết hợp thành một cụm để nâng cao tính sẵn sàng. Hơn nữa, NSX-T còn cung cấp khả năng phát hiện sự cố nhanh hơn. Nói một cách đơn giản, phương pháp tốt nhất để phân phối định tuyến là thực hiện định tuyến bên trong cơ sở hạ tầng ảo hóa.
Phân bổ địa chỉ IP cho mạng ảo
Khi cấu hình NSX-v , bạn cần lập kế hoạch phân bổ địa chỉ IP bên trong các phân đoạn NSX. Trong trường hợp này, các công tắc logic trung chuyển kết nối các DLR và cổng Edge cũng phải được thêm vào. Nếu bạn sử dụng số lượng lớn cổng Edge, bạn nên thiết lập sơ đồ phân bổ địa chỉ IP cho các phân đoạn được kết nối bởi các cổng Edge này.
NSX-T , tuy nhiên, không yêu cầu các thao tác này. Tất cả các phân đoạn mạng giữa Tier0 và Tier1 đều được cấp địa chỉ IP tự động. Không sử dụng các giao thức định tuyến động — thay vào đó, các tuyến tĩnh được sử dụng và hệ thống tự động kết nối các thành phần, giúp việc cấu hình trở nên dễ dàng hơn; bạn không cần phải dành nhiều thời gian để lập kế hoạch phân bổ địa chỉ IP cho các thành phần mạng dịch vụ (transit).
Tích hợp để kiểm tra lưu lượng
NSX-v cung cấp khả năng tích hợp với các dịch vụ của bên thứ ba như phần mềm chống vi-rút không cần cài đặt trình điều khiển, tường lửa nâng cao (tường lửa thế hệ mới), IDS (Hệ thống phát hiện xâm nhập), IPS (Hệ thống ngăn chặn xâm nhập) và các loại dịch vụ kiểm tra lưu lượng khác. Việc tích hợp với các loại kiểm tra lưu lượng được liệt kê được thực hiện ở lớp nhân hypervisor bằng cách sử dụng bus VMCI được bảo vệ (Giao diện Giao tiếp Máy ảo).
NSX-T hiện tại chưa cung cấp các tính năng này.
Bảo mật
Tường lửa phân tán cấp nhân có thể được cấu hình cho NSX-v và NSX-T, hoạt động ở cấp bộ điều hợp ảo của máy ảo. Các tùy chọn bảo mật chuyển mạch có sẵn cho cả hai loại NSX, nhưng tùy chọn “Rate-limit Broadcast & Multicast traffic” chỉ có sẵn cho NSX-T.
NSX-T cho phép bạn áp dụng các quy tắc một cách chi tiết hơn, giúp các nút truyền tải được sử dụng hợp lý hơn. Ví dụ: bạn có thể áp dụng quy tắc dựa trên các đối tượng sau: switch logic, cổng logic, NSGroup. Tính năng này có thể được sử dụng để giảm thiểu cấu hình bộ quy tắc trên các thực thể switch logic, cổng logic hoặc NSGroup nhằm đạt được mức độ hiệu quả và tối ưu hóa cao hơn. Bạn cũng có thể tiết kiệm không gian mở rộng và chu kỳ tra cứu quy tắc, đồng thời hỗ trợ triển khai đa người thuê (multi-tenancy) và áp dụng các quy tắc cụ thể cho từng người thuê (các quy tắc được áp dụng cho các tải công việc của người thuê tương ứng).
Quy trình tạo và áp dụng các quy tắc khá tương tự nhau đối với cả NSX-v và NSX-T. Điểm khác biệt là các chính sách được tạo cho NSX-T sẽ được gửi đến tất cả các bộ điều khiển (Controllers), nơi các quy tắc được chuyển đổi thành địa chỉ IP, trong khi ở NSX-v, các chính sách được chuyển trực tiếp đến vShield Firewall Daemon (VSFWD).
NSX-v so với NSX-T – Bảng so sánh
Giờ đây, khi bạn đã làm quen với những tính năng thú vị nhất của VMware NSX, hãy cùng tóm tắt các tính năng chính của NSX-v và NSX-T đã được đề cập trong bài viết này, đồng thời so sánh chúng qua bảng dưới đây.
| NSX-v | NSX-T | |
| Tích hợp chặt chẽ với vSphere | Có | Không |
| Hoạt động mà không cần vCenter | Không | Có |
| Hỗ trợ nhiều phiên bản vCenter thông qua NSX Manager | Không | Có |
| Cung cấp mạng ảo cho các nền tảng ảo hóa sau đây | VMware vSphere | VMware vSphere, KVM, Docker, Kubernetes, OpenStack, các tải công việc gốc của AWS |
| Triển khai NSX Edge | Máy ảo ESXi | Máy ảo ESXi hoặc máy chủ vật lý |
| Các giao thức đóng gói lớp phủ | VXLAN | GENEVE |
| Các bộ chuyển mạch ảo (N-VDS) được sử dụng | vSphere Distributed Switch (VDS) | Open vSwitch (OVS) hoặc VDS |
| Các chế độ sao chép công tắc logic | Unicast, Multicast, Hybrid | Unicast (Hai tầng hoặc Đầu) |
| Ẩn ARP | Có | Có |
| Định tuyến phân tán hai tầng | Không | Có |
| Cấu hình sơ đồ địa chỉ IP cho các phân đoạn mạng | Thủ công | Tự động (giữa Tier 0 và Tier 1) |
| Tích hợp để kiểm tra lưu lượng | Có | Không |
| Tường lửa phân tán cấp nhân hệ điều hành | Có | Có |
Kết luận
NSX-v là giải pháp tối ưu nhất nếu bạn chỉ sử dụng môi trường vSphere, trong khi NSX-T không chỉ có thể được sử dụng cho vSphere mà còn cho các nền tảng ảo hóa KVM, Docker, Kubernetes và OpenStack trong khuôn khổ xây dựng mạng ảo. Không có câu trả lời duy nhất cho việc loại NSX nào tốt hơn. Việc bạn nên sử dụng NSX-v hay NSX-T phụ thuộc vào nhu cầu của bạn và các tính năng mà từng loại NSX cung cấp.
Chính sách cấp phép NSX rất thân thiện với người dùng – bạn chỉ cần mua một giấy phép NSX, bất kể loại NSX nào bạn định sử dụng. Sau này, bạn có thể cài đặt NSX-T trong môi trường NSX-v hoặc ngược lại, tùy theo nhu cầu, và tiếp tục sử dụng giấy phép NSX duy nhất của mình.
Bạn có thể xây dựng trung tâm dữ liệu định nghĩa bằng phần mềm (SDDC) của riêng mình với VMware bằng cách sử dụng giải pháp NSX. VMware cung cấp cho bạn các đặc trưng phân cụm để đảm bảo tính liên tục hoạt động, tính sẵn sàng cao và khả năng chịu lỗi, tuy nhiên việc sao lưu máy ảo (VM) vẫn không phải là biện pháp dư thừa.
Hãy sao lưu định kỳ các máy ảo sản xuất liên quan đến các dự án khác nhau và các máy ảo đang chạy như các thành phần của VMware vSphere và VMware NSX (chẳng hạn như vCenter, NSX Manager, NSX Controller, NSX Edge) để bảo vệ dữ liệu của bạn. NAKIVO Backup & Replication có thể giúp bạn tạo Sao lưu VMware một cách đáng tin cậy và hiệu quả ngay cả khi bạn đang sử dụng các cụm máy chủ.
