NSX-v so với NSX-T: So sánh toàn diện
Công nghệ ảo hóa đã mang lại những thay đổi mang tính cách mạng trong cách thức xây dựng các trung tâm dữ liệu. Phần lớn các trung tâm dữ liệu hiện đại đều sử dụng ảo hóa phần cứng và triển khai các máy chủ vật lý làm trình ảo hóa (hypervisor) để chạy các máy ảo trên các máy chủ đó. Cách tiếp cận này giúp cải thiện khả năng mở rộng, tính linh hoạt và hiệu quả chi phí của trung tâm dữ liệu. VMware là một trong những nhà cung cấp hàng đầu trên thị trường ảo hóa và các sản phẩm của họ được đánh giá cao trong ngành CNTT, với trình ảo hóa VMware ESXi và VMware vCenter là những thành phần nổi tiếng của giải pháp ảo hóa VMware vSphere.
Mạng là thành phần quan trọng của mọi trung tâm dữ liệu, bao gồm cả các trung tâm dữ liệu ảo hóa, và nếu bạn cần các mạng quy mô lớn cùng cấu hình mạng phức tạp cho trung tâm dữ liệu ảo hóa của mình, hãy cân nhắc sử dụng mạng định nghĩa bằng phần mềm (SDN). Mạng định nghĩa bằng phần mềm là một kiến trúc nhằm mục đích giúp mạng trở nên linh hoạt và thích ứng cao. Mục tiêu của SDN là cải thiện khả năng kiểm soát mạng bằng cách cho phép các doanh nghiệp và nhà cung cấp dịch vụ phản ứng nhanh chóng với các yêu cầu kinh doanh luôn thay đổi. VMware luôn quan tâm đến khách hàng và cung cấp giải pháp VMware NSX để xây dựng các mạng định nghĩa bằng phần mềm. Bài đăng trên blog hôm nay sẽ đề cập đến VMware NSX và tìm hiểu sự khác biệt giữa VMware NSX-v và VMware NSX-T.
VMware NSX là gì và có thể được sử dụng như thế nào?
VMware NSX là một giải pháp ảo hóa mạng cho phép bạn xây dựng các mạng ảo hóa trong các trung tâm dữ liệu ảo hóa. Cũng như các Máy ảo được trừu tượng hóa từ phần cứng máy chủ vật lý, các Mạng ảo bao gồm công tắc, cổng, bộ định tuyến, tường lửa, v.v., được xây dựng trong không gian ảo. Các mạng ảo được cung cấp và quản lý độc lập với phần cứng nền tảng. Máy ảo được kết nối với cổng ảo của bộ chuyển mạch ảo; kết nối giữa các mạng ảo được thực hiện bởi các bộ định tuyến ảo, và các quy tắc truy cập được cấu hình trên tường lửa ảo. Ngoài ra, cân bằng tải mạng cũng có sẵn. VMware NSX là sản phẩm kế thừa của VMware vCloud Networking & Security (vCNS), và Nicira NVP đã được mua lại bởi VMware vào năm 2012.
Phân đoạn vi mô
Khi sử dụng cách tiếp cận truyền thống để cấu hình truy cập giữa nhiều mạng trong một môi trường ảo, thường một bộ định tuyến vật lý hoặc một cổng biên chạy trên một VM được triển khai, mặc dù cách này không nhất thiết là nhanh chóng hay tiện lợi. VMware đã triển khai khái niệm phân đoạn vi mô trong NSX bằng cách sử dụng tường lửa phân phối được tích hợp vào lõi của hypervisor. Các chính sách bảo mật, các tham số tương tác mạng cho các địa chỉ IP, địa chỉ MAC, VM, ứng dụng và các đối tượng khác đều được đặt trong tường lửa phân phối này. Các quy tắc có thể được cấu hình bằng cách sử dụng các đối tượng như người dùng và nhóm trong Active Directory nếu NSX được triển khai trong công ty của bạn mà sử dụng Bộ điều khiển Miền Active Directory (ADDC). Mỗi đối tượng có thể được coi như một phân đoạn vi mô trong vùng bảo mật của mạng phù hợp mà có DMZ (khu phi quân sự) riêng.
Tường lửa phân phối cho phép bạn phân đoạn các thực thể trung tâm dữ liệu ảo như Máy ảo. Phân đoạn có thể dựa trên tên và thuộc tính VM, danh tính người dùng, các đối tượng vCenter như trung tâm dữ liệu, và máy chủ, hoặc có thể dựa trên các thuộc tính mạng truyền thống như địa chỉ IP, nhóm cổng, và v.v.
Thành phần Tường lửa Biên giúp bạn đáp ứng các yêu cầu bảo mật vùng biên chính, như xây dựng các DMZ dựa trên cấu trúc IP/VLAN, cách ly giữa các đối tượng thuê trong các trung tâm dữ liệu ảo đa thuê, Chuyển đổi Địa chỉ Mạng (NAT), VPN hợp tác (extranet), và VPN SSL dựa trên người dùng.
Nếu một VM được di chuyển từ một máy chủ vật lý này sang máy chủ vật lý khác — từ một subnet sang một subnet khác — thì các quy tắc truy cập và chính sách bảo mật được áp dụng phù hợp với vị trí mới. Nếu một máy chủ cơ sở dữ liệu đang chạy trên một máy ảo (VM) đã được di chuyển, các quy tắc được thiết lập cho máy ảo này trong tường lửa sẽ tiếp tục hoạt động sau khi quá trình di chuyển sang máy chủ hoặc mạng khác hoàn tất, cho phép máy chủ cơ sở dữ liệu truy cập vào máy chủ ứng dụng đang chạy trên máy ảo chưa được di chuyển. Đây là một ví dụ minh họa cho sự linh hoạt và tự động hóa được nâng cao khi sử dụng VMware NSX. NSX đặc biệt hữu ích cho các nhà cung cấp dịch vụ đám mây và các hạ tầng ảo quy mô lớn. VMware cung cấp hai loại nền tảng mạng định nghĩa bằng phần mềm NSX – NSX-v và NSX-T.
NSX cho vSphere (NSX-v) được tích hợp chặt chẽ với VMware vSphere và yêu cầu triển khai VMware vCenter. VMware NSX-v dành riêng cho các môi trường hypervisor vSphere và được phát triển trước NSX-T.
NSX-T (NSX-Transformers) được thiết kế cho các nền tảng ảo hóa khác nhau và môi trường đa hypervisor, đồng thời có thể được sử dụng trong các trường hợp mà NSX-v không áp dụng được. Trong khi NSX-v chỉ hỗ trợ SDN cho VMware vSphere, NSX-T còn hỗ trợ ngăn xếp ảo hóa mạng cho KVM, Docker, Kubernetes và OpenStack cũng như các khối lượng công việc gốc của AWS. VMware NSX-T có thể được triển khai mà không cần vCenter Server và được áp dụng cho các hệ thống tính toán không đồng nhất.
Các kịch bản chính để sử dụng NSX-v được liệt kê trong bảng dưới đây. Bảng này được chia thành ba hàng, trong đó một hàng mô tả danh mục kịch bản. Các kịch bản sử dụng NSX-T được đánh dấu bằng phông chữ in đậm.
| Bảo mật | Tự động hóa | Đảm bảo tính liên tục của ứng dụng |
| Phân đoạn vi mô | Tự động hóa CNTT | Phục hồi thảm họa |
| Bảo mật người dùng cuối | Đám mây dành cho nhà phát triển | Tập hợp nhiều trung tâm dữ liệu |
| DMZ ở bất kỳ đâu | Cơ sở hạ tầng đa người thuê | Kết nối đa đám mây |
Các thành phần của NSX
Các thành phần chính của VMware NSX bao gồm NSX Manager, các bộ điều khiển NSX và các cổng NSX Edge.
NSX Manager là thành phần tập trung của NSX, được sử dụng để quản lý mạng. NSX Manager có thể được triển khai dưới dạng máy ảo (VM) trên một trong các máy chủ ESXi được quản lý bởi vCenter (từ mẫu OVA). Trong trường hợp bạn đang sử dụng NSX-v, NSX Manager chỉ có thể hoạt động với một máy chủ vCenter duy nhất, trong khi NSX Manager cho NSX-T có thể được triển khai dưới dạng máy ảo ESXi hoặc KVM và có thể hoạt động với nhiều máy chủ vCenter cùng lúc. Quản lý NSX cho vSphere dựa trên Photon OS (tương tự như thiết bị máy chủ vCenter).
Trình quản lý NSX-T chạy trên hệ điều hành Ubuntu.
Bộ điều khiển NSX . Bộ điều khiển NSX là hệ thống quản lý trạng thái phân tán được sử dụng để triển khai các kênh truyền tải và điều khiển mạng ảo, có thể được triển khai làm VM trên máy chủ ảo hoá ESXi hoặc KVM. Bộ điều khiển NSX kiểm soát tất cả các bộ chuyển mạch logic trong mạng và xử lý thông tin về các máy ảo, các máy chủ vật lý, các bộ chuyển mạch và VXLAN. Có ba nút điều khiển đảm bảo dữ liệu dư thừa trong trường hợp một nút Bộ điều khiển NSX gặp sự cố.
NSX Edge là một dịch vụ gateway cung cấp quyền truy cập vào mạng vật lý và mạng ảo cho các máy ảo. NSX Edge có thể được cài đặt dưới dạng router ảo phân tán hoặc là một gateway dịch vụ. Các dịch vụ sau có thể được cung cấp: Định tuyến động, tường lửa, Nhận dạng và Dịch địa chỉ mạng (NAT), Giao thức Cấu hình Máy chủ Động (DHCP), Mạng Riêng Tư Ảo (VPN), Cân bằng Tải, và Khả dụng Cao.
Tùy chọn triển khai
Khái niệm triển khai khá giống nhau cho cả NSX-v và NSX-T. Bạn nên thực hiện các bước sau đây để triển khai NSX:
- Triển khai Quản lý NSX dưới dạng một Máy Ảo trên máy chủ ảo hoá ESXi bằng một thiết bị ảo. Hãy chắc chắn đăng ký Quản lý NSX trên vSphere vCenter (cho NSX-v). Nếu bạn đang sử dụng NSX-T, Trình quản lý NSX có thể được triển khai như một thiết bị ảo trên máy chủ ảo hóa KVM do VMware NSX-T cho phép bạn tạo một cụm các Trình quản lý NSX.
- Triển khai ba bộ điều khiển NSX và tạo một cụm bộ điều khiển NSX.
- Cài đặt
VIBs(các mô-đun kernel) trên các máy chủ vật lý ESXi để kích hoạt tường lửa phân tán, định tuyến phân tán và VXLAN nếu bạn đang sử dụng NSX-v. Nếu bạn đang sử dụng NSX-T, các mô-đun kernel cũng phải được cài đặt trên các máy chủ ảo hoá KVM. - Cài đặt NSX Edge dưới dạng một Máy Ảo trên máy chủ vật lý ESXi (cho NSX-v và NSX-T). Nếu bạn đang sử dụng NSX-T và không có khả năng cài đặt Edge dưới dạng một máy ảo trên máy chủ vật lý ESXi, Edge có thể được triển khai trên máy chủ vật lý. Việc cài đặt Edge dưới dạng Máy Ảo trên các máy chủ ảo hóa KVM chưa được hỗ trợ tại thời điểm này (cho NSX-T v.2.3). Nếu bạn cần triển khai Edge trên máy chủ vật lý, hãy kiểm tra danh sách tương thích phần cứng (quan trọng cho Bộ xử lý và NIC) trước khi thực hiện điều này.
Khả năng chung của NSX
Có một loạt các khả năng có sẵn cho cả hai loại NSX.
Các khả năng chung cho NSX-v và NSX-T bao gồm:
- Ảo hóa mạng dựa trên phần mềm
- Lớp phủ dựa trên phần mềm
- Định tuyến phân tán
- Tường lửa phân tán
- Tự động hóa dựa trên API
- Giám sát và thống kê chi tiết
Lưu ý rằng các API của NSX-v và NSX-T là khác nhau.
Cấp phép
Việc cấp phép giống nhau đối với cả hai loại NSX ở chỗ nó mang lại cho bạn sự linh hoạt và tính phổ quát cao hơn. Ví dụ: bạn có thể đặt mua giấy phép để sử dụng NSX cho vSphere, và nếu bạn thực hiện một số thay đổi trong cơ sở hạ tầng của mình và cần triển khai NSX-T, bạn có thể sử dụng giấy phép đã mua cho ESXi-v. NSX là NSX – không có sự phân biệt nào về mặt cấp phép, vì các phiên bản cấp phép cũng giống nhau.
Đóng gói lớp phủ
Đóng gói lớp phủ cho mạng ảo được sử dụng để trừu tượng hóa mạng ảo bằng cách truyền thông tin lớp 2 qua lớp 3. Một mạng lớp 2 logic được tạo ra trên các mạng lớp 3 hiện có (mạng IP) trong cơ sở hạ tầng vật lý hiện có. Kết quả là, hai máy ảo (VM) có thể giao tiếp với nhau qua mạng, ngay cả khi đường dẫn giữa các máy ảo phải được định tuyến. Mạng vật lý có thể được gọi là mạng underlay.
So sánh VXLAN và GENEV
NSX-v sử dụng giao thức đóng gói VXLAN trong khi NSX-T sử dụng GENEVE một giao thức hiện đại hơn.
VXLAN . VXLAN sử dụng phương thức đóng gói MAC qua IP và nguyên lý hoạt động của việc cách ly mạng khác với kỹ thuật VLAN. VLAN truyền thống có số lượng mạng giới hạn là 4094 theo tiêu chuẩn 802.1q, và việc cách ly mạng được thực hiện ở lớp 2 của mạng vật lý bằng cách thêm 4 byte vào tiêu đề khung Ethernet. Số lượng mạng ảo tối đa cho VXLAN là 2^24. Trong trường hợp này, mã định danh mạng VXLAN được sử dụng để đánh dấu từng mạng ảo. Các khung dữ liệu lớp 2 của mạng phủ được đóng gói bên trong các gói tin UDP được truyền qua mạng vật lý. Số cổng UDP trong trường hợp này là 4789.
Tiêu đề VXLAN bao gồm các phần sau.
- 8 bit được sử dụng cho các cờ. Cờ I phải được đặt thành 1 để làm cho
VXLAN Network ID (VNI)có hiệu lực. 7 bit còn lại là các trường R được dành riêng và phải được đặt thành 0 khi truyền. Các trường R được đặt thành 0 sẽ bị bỏ qua khi nhận. VXLAN Network Identifier (VNI)còn được gọi làVXLAN Segment IDlà một giá trị 24-bit được sử dụng để xác định mạng lớp phủ riêng lẻ được sử dụng cho việc giao tiếp giữa các máy ảo (VM) với nhau.- Các trường dành riêng (24-bit và 8-bit) phải được đặt thành 0 và sẽ bị bỏ qua khi nhận.
Kích thước của tiêu đề VXLAN là cố định và bằng 8 byte. Nên sử dụng khung Jumbo với MTU được đặt từ 1600 byte trở lên cho VXLAN.
GENEVE. Tiêu đề GENEVE có cấu trúc rất giống VXLAN và có cấu trúc như sau:
- Một tiêu đề đường hầm nhỏ gọn được đóng gói trong UDP qua IP.
- Một tiêu đề đường hầm nhỏ cố định được sử dụng để cung cấp thông tin điều khiển, cũng như mức độ chức năng và khả năng tương tác cơ bản.
- Các tùy chọn độ dài biến đổi có sẵn để tạo điều kiện triển khai các cải tiến trong tương lai.
Kích thước của GENEVE tiêu đề là biến đổi.
NSX-T sử dụng GENEVE (GEneric NEtwork Virtualization Encapsulation) làm giao thức đường hầm giúp duy trì các khả năng offload truyền thống có sẵn trên NIC (Bộ điều khiển giao diện mạng) để đạt hiệu suất tối ưu. Có thể thêm siêu dữ liệu bổ sung vào các tiêu đề lớp phủ và cho phép cải thiện sự khác biệt về ngữ cảnh để xử lý thông tin như đo từ xa đầu cuối, theo dõi dữ liệu, mã hóa, bảo mật, v.v. trên lớp truyền dữ liệu. Thông tin bổ sung trong siêu dữ liệu được gọi là TLV (Loại, Độ dài, Giá trị). GENEVE được phát triển bởi VMware, Intel, Red Hat và Microsoft. GENEVE dựa trên các khái niệm tốt nhất của các giao thức đóng gói VXLAN, STT và NVGRE .
Giá trị MTU cho các khung Jumbo phải ít nhất là 1700 byte khi sử dụng phương thức đóng gói GENEVE do trường siêu dữ liệu có độ dài thay đổi bổ sung trong các tiêu đề GENEVE (như bạn còn nhớ, MTU 1600 trở lên được sử dụng cho VXLAN).
NSX-v và NSX-T không tương thích do sự khác biệt về phương thức đóng gói lớp phủ được giải thích trong phần này.
Mạng Lớp 2
Bây giờ bạn đã hiểu cách các khung Ethernet lớp 2 ảo được đóng gói trên mạng IP, do đó, đã đến lúc tìm hiểu về việc triển khai mạng lớp 2 ảo cho NSX-v và NSX-T.
Các nút vận chuyển và bộ chuyển mạch ảo
Các nút vận chuyển và bộ chuyển mạch ảo đại diện cho các thành phần truyền dữ liệu của NSX.
Nút vận chuyển (TN) là thiết bị tương thích với NSX tham gia vào quá trình truyền tải lưu lượng và mạng lớp phủ NSX. Một nút phải có một hostswitch để có thể hoạt động như một nút truyền tải. NSX-v yêu cầu sử dụng vSphere distributed virtual switch (VDS) như thường lệ trong VMware vSphere. Standard virtual switches không thể được sử dụng cho NSX-v.
NSX-T cho rằng bạn cần triển khai một NSX-T distributed virtual switch (N-VDS). Open vSwitches (OVS) được sử dụng cho máy chủ KVM và các VMware vSwitches được sử dụng cho máy chủ ESXi có thể được sử dụng cho mục đích này.
N-VDS (virtual distributed switch mà trước đây được biết đến như là hostswitch) là một phần mềm NSX trên nút truyền tải, thực hiện việc truyền tải dữ liệu. N-VDS là thành phần chính của mặt phẳng dữ liệu của các nút truyền tải, xử lý lưu lượng và sở hữu ít nhất một network interface controller (NIC) vật lý. NSX Switches (N-VDS) của các nút truyền tải khác nhau là độc lập nhưng có thể được nhóm lại bằng cách gán cùng tên để quản lý tập trung.
Trên hypervisor ESXi, N-VDS được thực hiện bằng cách sử dụng VMware vSphere Distributed Switch thông qua module NSX-vSwitch được tải vào kernel của hypervisor. Trên hypervisor KVM, hostswitch được thực hiện bởi module Open-vSwitch (OVS).
Vùng vận chuyển có sẵn cho cả NSX-v và NSX-T. Vùng vận chuyển định nghĩa giới hạn phân phối của các mạng logic. Mỗi vùng vận chuyển liên kết với NSX Switch (N-VDS) của nó. Vùng vận chuyển cho NSX-T không liên kết với clusters.
Có hai loại vùng vận chuyển cho VMware NSX-T do đóng gói GENEVE: Overlay hoặc VLAN. Đối với VMware NSX-v, một vùng vận chuyển chỉ định giới hạn phân phối của VXLAN.
Các chế độ sao chép switch logic
Khi hai máy ảo nằm trên các máy chủ vật lý khác nhau giao tiếp trực tiếp, lưu lượng unicast được trao đổi trong chế độ đóng gói giữa hai địa chỉ IP điểm cuối được chỉ định cho các hypervisors mà không cần lũ lụt. Đôi khi, lưu lượng mạng tầng 2 do máy ảo tạo ra phải được lũ lụt tương tự như lưu lượng tầng 2 trong mạng vật lý truyền thống, ví dụ như khi người gửi không biết địa chỉ MAC của giao diện mạng đích. Điều đó có nghĩa là cùng một lưu lượng (broadcast, unicast, multicast) phải được gửi đến tất cả các máy ảo kết nối cùng switch logic. Nếu các máy ảo nằm trên các máy chủ vật lý khác nhau, lưu lượng phải được sao chép đến các máy chủ đó. Lưu lượng broadcast, unicast và multicast cũng được gọi là lưu lượng BUM.
Hãy xem sự khác biệt giữa các chế độ sao chép cho NSX-v và NSX-T.
NSX-v hỗ trợ chế độ Unicast, Multicast và Hybrid.
NSX-T hỗ trợ chế độ Unicast với hai tùy chọn: Sao chép phân cấp hai lớp (được tối ưu hóa, giống như NSX-v) và Sao chép đầu (không tối ưu hóa).
Giảm áp lực ARP giảm lượng dữ liệu ARP phát qua mạng và có sẵn cho chế độ sao chép Unicast và hỗn hợp. Vì vậy, giảm áp lực ARP có sẵn cho cả NSX-v và NSX-T.
Khi một VM1 gửi yêu cầu ARP để biết địa chỉ MAC của một VM2, yêu cầu ARP bị chặn bởi công tắc logic. Nếu công tắc đã có mục ARP cho giao diện mạng của VM2, phản hồi ARP được gửi đến VM1 bởi công tắc. Nếu không, công tắc gửi yêu cầu ARP đến bộ điều khiển NSX. Nếu bộ điều khiển NSX chứa thông tin về liên kết IP với MAC của VM, bộ điều khiển gửi phản hồi cùng với liên kết đó và sau đó công tắc logic gửi phản hồi ARP đến VM1. Nếu không có mục ARP trên bộ điều khiển NSX, yêu cầu ARP được phát lại trên công tắc logic.
Cầu nối tầng 2 NSX
Cầu nối tầng 2 rất hữu ích cho việc di chuyển khối công việc từ overlay networks sang VLANs, hoặc cho việc tách subnet giữa các khối công việc vật lý và ảo.
NSX-v: Tính năng này hoạt động trên mức kernel của hypervisor trên đó một VM điều khiển đang chạy.
NSX-T : Một nút cầu nối NSX riêng biệt được tạo ra cho mục đích này. Các nút cầu nối NSX có thể được tập hợp thành các cụm để cải thiện khả năng chịu lỗi của toàn bộ giải pháp.
Trong VM điều khiển NSX-v, sự dư thừa được thực hiện bằng cách sử dụng sơ đồ Khả dụng cao (HA). Một bản sao VM đang hoạt động trong khi bản sao thứ hai của VM ở trạng thái dự phòng. Nếu VM đang hoạt động bị lỗi, có thể mất một thời gian để chuyển đổi VM và tải VM dự phòng bằng cách làm cho nó hoạt động. NSX-T không gặp phải bất lợi này, vì một cụm chịu lỗi được sử dụng thay vì sơ đồ hoạt động/dự phòng cho HA.
Mô hình Routing
Trong trường hợp bạn đang sử dụng VMware NSX, các thuật ngữ sau được sử dụng:
Lưu lượng đông-tây đề cập đến lưu chuyển dữ liệu qua mạng trong trung tâm dữ liệu. Tên này được sử dụng cho loại lưu lượng này vì các đường ngang trên các sơ đồ thường chỉ ra lưu lượng mạng nội bộ (LAN).
Lưu lượng bắc-nam đề cập đến lưu lượng client-server hoặc lưu lượng chuyển giữa trung tâm dữ liệu và một vị trí bên ngoài trung tâm dữ liệu (mạng bên ngoài). Các đường thẳng đứng trên sơ đồ thường mô tả loại lưu lượng mạng này. Router logic phân tán (DLR) là một router ảo có thể sử dụng các lộ trình tĩnh và giao thức định tuyến động như OSPF, IS-IS hoặc BGP.
“Tenant” đề cập đến khách hàng hoặc tổ chức được tiếp cận một môi trường an toàn cô lập do nhà cung cấp dịch vụ quản lý (MSP) cung cấp. Một tổ chức lớn có thể sử dụng kiến trúc nhiều tenant bằng cách coi mỗi phòng ban như một tenant độc lập. VMware NSX có thể rất hữu ích cho việc cung cấp Hạ tầng như dịch vụ (IaaS).
Định tuyến trong NSX-v
NSX cho vSphere sử dụng DLR (router logic phân tán) và định tuyến tập trung. Có một mô-đun kernel định tuyến trên mỗi máy ảo hóa nơi thực hiện định tuyến giữa các giao diện logic (LIFs) trên router phân tán.
Hãy xem xét, ví dụ, một sơ đồ định tuyến điển hình cho NSX-v, khi bạn có một tập hợp ba phân đoạn: VM chạy cơ sở dữ liệu, VM chạy máy chủ ứng dụng và VM chạy máy chủ web. Các VM của những phân đoạn này (blue-light, xanh lá cây và xanh đậm) được kết nối với router logic phân tán (DLR), và từ đó được kết nối với các mạng bên ngoài qua cổng biên (NSX Edge).
Nếu bạn đang làm việc với nhiều tenant, bạn có thể sử dụng một cấu trúc NSX Edge đa tầng, hoặc mỗi tenant có thể có DLR và VM điều khiển riêng của mình, cái sau sẽ nằm trên cụm biên. Cổng NSX Edge kết nối các mạng chốt cô lập với các mạng chia sẻ (uplink) bằng cách cung cấp các dịch vụ cổng phổ biến như DHCP, VPN, NAT, định tuyến động và cân bằng tải. Các triển khai phổ biến của NSX Edge bao gồm trong DMZ, VPN Extranets và môi trường mây đa-tenant, nơi NSX Edge tạo ra các ranh giới ảo cho mỗi tenant.
Nếu bạn cần truyền lưu lượng từ một VM ở phân đoạn A của tenant đầu tiên đến phân đoạn A của tenant thứ hai, lưu lượng phải đi qua cổng NSX Edge. Trong trường hợp này, không có định tuyến phân tán, vì lưu lượng phải đi qua một điểm duy nhất là cổng NSX Edge đã định.
Bạn cũng có thể thấy nguyên lý hoạt động trên sơ đồ trong đó các thành phần được chia thành các cụm: Cụm quản lý, Cụm biên, và Cụm tính toán. Trong ví dụ này, mỗi cụm đang sử dụng 2 máy chủ vật lý ESXi. Nếu hai VM đang chạy trên cùng một máy chủ vật lý ESXi nhưng thuộc các phân đoạn mạng khác nhau, lưu lượng đi qua cổng NSX Edge nằm trên một máy chủ vật lý ESXi khác của cụm biên. Sau khi định tuyến, luồng này phải được truyền trở lại cho “máy chủ vật lý” ESXi nơi các VMs nguồn và đích đang “chạy”.
Lộ trình truyền tải là không tối ưu trong trường hợp này. Nhưng lợi thế của định tuyến phân phối trong mô hình multi-tenant với cổng Edge không được tận dụng có thể dẫn đến độ trễ lớn hơn cho luồng mạng của bạn.
Định tuyến trong NSX-T
NSX-T sử dụng mô hình hai mức để giải quyết các vấn đề đã nêu trước. Cả Tier0 và Tier1 đều được tạo trên các nút “node” Chuyển tiếp, cái thứ hai không cần thiết, nhưng nhằm cải thiện tính khả mở.
Luồng được truyền tải bằng cách sử dụng đường dẫn tối ưu nhất, vì định tuyến được thực hiện trên “máy chủ vật lý” ESXi hoặc “hypervisor” KVM nơi các VMs đang “chạy”. Trường hợp duy nhất khi cần sử dụng một điểm cố định của định tuyến là khi kết nối với mạng bên ngoài. Có các “nút” Edge riêng biệt được triển khai trên các máy chủ chạy “hypervisor”.
Các dịch vụ bổ sung chẳng hạn như BGP, NAT và Tường lửa Edge có thể “đã kích hoạt” trên các “nút” Edge, và có thể kết hợp thành cụm để cải thiện khả dụng. Hơn thế nữa, NSX-T cũng cung cấp phát hiện sự cố nhanh chóng hơn. Nói cách đơn giản, phương tiện tốt nhất cho phân phối định tuyến là “định tuyến” bên trong cơ sở hạ tầng ảo hóa.
Địa chỉ IP cho Mạng ảo
Khi bạn “cấu hình” NSX-v , bạn cần soạn một kế hoạch về “địa chỉ IP” bên trong các phân đoạn NSX. Các “công tắc logic” quá cảnh liên kết DLRs và cổng Edge cũng cần được thêm vào trong trường hợp này. Nếu bạn đang sử dụng số lượng lớn các cổng Edge, bạn nên soạn thảo sơ đồ “địa chỉ IP” cho các phân đoạn được liên kết bởi các cổng Edge này.
NSX-T , tuy nhiên, không đòi hỏi các hoạt động này. Tất cả các phân đoạn mạng giữa Tier0 và Tier1 tự động nhận “địa chỉ IP”. Không sử dụng giao thức định tuyến động – mà thay vào đó, sử dụng các tuyến tĩnh và một hệ thống tự động kết nối các thành phần, giúp “cấu hình” trở nên đơn giản hơn; bạn không cần mất nhiều thời gian “lên kế hoạch” “địa chỉ IP” cho các thành phần mạng dịch vụ (quá cảnh).
Tích hợp để Kiểm tra Luồng
NSX-v cung cấp “tích hợp” với các dịch vụ bên thứ ba như antivirus không tác nhân, nâng cao tường lửa (tường lửa thế hệ tiếp theo), IDS (Hệ thống Phát hiện Xâm nhập), IPS (Hệ thống Ngăn chặn Xâm nhập), và các loại dịch vụ kiểm tra luồng khác. Tích hợp với các loại kiểm tra lưu lượng được liệt kê được thực hiện trên lớp kernel hypervisor bằng cách sử dụng bus VMCI được bảo vệ (Giao diện Liên lạc Máy ảo).
NSX-T hiện tại không cung cấp các khả năng này.
Bảo mật
Các tường lửa phân phối cấp độ Kernel có thể được cấu hình cho NSX-v và NSX-T, hoạt động trên cấp độ bộ điều hợp ảo VM. Các tùy chọn bảo mật công tắc có sẵn cho cả hai loại NSX, nhưng tùy chọn “Rate-limit Broadcast & Multicast traffic” chỉ có sẵn cho NSX-T.
NSX-T cho phép bạn áp dụng quy tắc một cách chi tiết hơn, kết quả là các nút vận chuyển được sử dụng hợp lý hơn. Ví dụ, bạn có thể áp dụng quy tắc dựa trên các đối tượng sau: bộ chuyển mạch logic, cổng logic, NSGroup. Tính năng này có thể được sử dụng để giảm cấu hình tập hợp quy tắc trên các phiên bản bộ chuyển mạch logic, cổng logic hoặc NSGroup để đạt hiệu quả cao hơn. Bạn cũng có thể tiết kiệm không gian lưu trữ và chu kỳ tìm kiếm quy tắc, ngoài việc lưu trữ nhiều triển khai thuê và áp dụng các quy tắc cụ thể cho các tenant (các quy tắc được áp dụng cho các khối công việc của tenant phù hợp).
Quá trình tạo và áp dụng các quy tắc khá giống nhau cho cả NSX-v và NSX-T. Sự khác biệt là chính sách được tạo cho NSX-T được gửi đến tất cả các bộ điều khiển nơi các quy tắc được chuyển thành địa chỉ IP, trong khi ở NSX-v, các chính sách ngay lập tức được chuyển đến vShield Firewall Daemon (VSFWD).
Bảng So sánh NSX-v và NSX-T
Bây giờ bạn đã làm quen với các khả năng thú vị nhất của VMware NSX, hãy tóm tắt những tính năng chính của NSX-v và NSX-T đã được khám phá trong bài viết blog này ngoài việc so sánh chúng trong bảng.
| NSX-v | NSX-T | |
| Tích hợp chặt chẽ với vSphere | Có | Không |
| Hoạt động mà không có vCenter | Không | Có |
| Hỗ trợ cho nhiều phiên bản vCenter bởi NSX Manager | Không | Có |
| Cung cấp mạng ảo cho các nền tảng ảo hóa sau | VMware vSphere | VMware vSphere, KVM, Docker, Kubernetes, OpenStack, khối công việc bản địa AWS |
| Triển khai NSX Edge | ESXi VM | ESXi VM hoặc máy chủ vật lý |
| Các giao thức gói tinh thể (overlay encapsulation protocols) | VXLAN | GENEVE |
| Các bộ chuyển mạch ảo (N-VDS) được sử dụng | Bộ chuyển tải phân tán vSphere (VDS) | Open vSwitch (OVS) hoặc VDS |
| Các chế độ nhân bản chuyển đổi logic | Unicast, Multicast, Hỗn hợp | Unicast (Hai tầng hoặc Đầu) |
| Chặn ARP | Có | Có |
| Định tuyến phân tán hai tầng | Không | Có |
| Cấu hình sơ đồ phân địa chỉ IP cho các phân đoạn mạng | Thủ công | Tự động (giữa Tier 0 và Tier 1) |
| Tích hợp để kiểm tra lưu lượng | Có | Không |
| Tường lửa phân tán ở cấp độ nhân | Có | Có |
Kết luận
NSX-v là giải pháp tối ưu nhất nếu bạn chỉ sử dụng môi trường vSphere, trong khi NSX-T có thể được sử dụng không chỉ cho vSphere mà còn cho các nền tảng ảo hóa KVM, Docker, Kubernetes và OpenStack trong khuôn khổ xây dựng các mạng ảo. Không có câu trả lời đơn nào về kiểu NSX nào tốt hơn. Việc bạn nên sử dụng NSX-v hay NSX-T phụ thuộc vào nhu cầu của bạn và các tính năng được cung cấp bởi từng kiểu NSX.
Chính sách bản quyền NSX thân thiện với người dùng – bạn chỉ cần mua một giấy phép NSX, bất kể loại NSX nào bạn định sử dụng. Sau đó, bạn có thể cài đặt NSX-T trong môi trường NSX-v hoặc ngược lại tuỳ thuộc vào nhu cầu của bạn và tiếp tục sử dụng giấy phép NSX duy nhất của bạn.
Bạn có thể xây dựng trung tâm dữ liệu định nghĩa bằng phần mềm của riêng mình với VMware bằng cách sử dụng giải pháp NSX. VMware cung cấp cho bạn các đặc trưng phân cụm để đảm bảo tính liên tục vận hành, độ sẵn sàng cao và khả năng chống chịu lỗi, nhưng sao lưu VM sẽ không phải là biện pháp dư thừa.
Thực hiện sao lưu thường xuyên các VM sản xuất liên quan đến các dự án khác nhau và các VM chạy như các thành phần của VMware vSphere và VMware NSX (như vCenter, NSX Manager, NSX Controller, NSX Edge) để bảo vệ dữ liệu của bạn. NAKIVO Backup & Replication có thể giúp bạn tạo Sao lưu VMware theo cách đáng tin cậy và hiệu quả ngay cả khi bạn đang sử dụng các cụm.
