ESXi Host VM VLANs auf NIC tagging

d.mayer
Goto Top
Hallo Leute,

eine Frage bzgl. VMs auf einen ESXi.

Wir nutzen die Firewall Opnsense als VM auf einen ESXi, da wir eine strikte Netztrennung haben mit VLANs müsste ich die Netzwerkkarte der VM (Firewall) tagged werde.
Der ESXi mit 2x 10G SFP+ angebunden ist und hier alle VLANS durch getaggt werden, so dass die Opnsense diese als Netzwerk anerkennen kann.

Leider kann man bei einer VM "nur" 10 NIC hinzufügen, da wir aber mehr als wie 10 VLANs haben müsste ich einige auf einer NIC taggen so dass die OpnSense des VLAN annehmen kann.

Kann mir jemand weiterhelfen wie ich den im ESXi auf der VM NIC mehrere VLANS taggen kann was bereits getaggt vom physikalischen Switch mittels SFP+ kommen?


Danke euch und einen guten Rutsch ins neue Jahr

bg

PS:
ESXi 7.0 wird verwendet auch ein aktueller vCenter ist vorhanden

Content-Key: 1663593669

Url: https://administrator.de/contentid/1663593669

Ausgedruckt am: 03.07.2022 um 10:07 Uhr

Mitglied: d.mayer
d.mayer 27.12.2021 um 16:05:42 Uhr
Goto Top

Ja genau so habe ich es bis muss aber für jedes VLAN ein NIC auf der VM anlegen, habe aber 18 VLANs und VMware unterstützt pro VM nur 10 NICs.

Daher nützt mir dies leider Nichts.

Ich muss wirklich auf der VM NIC mehre VLANS taggen so dass ich keine 18 NICs in der VM benötige .
Mitglied: em-pie
em-pie 27.12.2021 um 16:19:40 Uhr
Goto Top
Moin,

hier dürfte dir geholfen werden:
https://kb.vmware.com/s/article/1003806 -> Virtual Guest Tagging (VGT)

Gruß
em-pie
Mitglied: tech-flare
tech-flare 27.12.2021 um 16:21:09 Uhr
Goto Top
Zitat von @d.mayer:


Ja genau so habe ich es bis muss aber für jedes VLAN ein NIC auf der VM anlegen, habe aber 18 VLANs und VMware unterstützt pro VM nur 10 NICs.

Daher nützt mir dies leider Nichts.

Ich muss wirklich auf der VM NIC mehre VLANS taggen so dass ich keine 18 NICs in der VM benötige .

Du erstellst eine Porgruppe im ESXI und gibts den VLAN Tag 4095 an. Somit erhälst du in deiner VM einen Trunkport und kannst in der VM das Tagging übernehmen.

Hätest du in 2 min googlen finden können ;)

Hier auch nochmal zum nachlesen für den User @LeReseau VLAN-Tagging Modi @vmware
Mitglied: tech-flare
tech-flare 27.12.2021 um 16:21:34 Uhr
Goto Top
Mitglied: StefanKittel
StefanKittel 27.12.2021 aktualisiert um 17:46:52 Uhr
Goto Top
Hallo,

ich glaube Du machst etwas falsch.

Ich habe bei mir eine pfsense als VM auf einem ESXi 6.7 laufen.
Diese hat 4 Netzwerkkarte.

1 GBit NIC ETH0 = NIC 0 = vSwitch0 = Portgruppe LAN Management
1 GBit NIC ETH1 = NIC 1 = vSwitch1 = Portgruppe WAN1
1 GBit NIC ETH2 = NIC 2 = vSwitch2 = Portgruppe WAN1
10 GBit NIC ETH4 = NIC 3 = vSwitch3 = Portgruppe VLANs

Unter der NIC3 erstellt ich in der pfsense die VLANs.
in ESXi sind nur 4 vSwtiche, Portgruppen und Netzwerke. Also auch nur 4 NICs.

Stefan
Mitglied: d.mayer
d.mayer 27.12.2021 aktualisiert um 16:49:45 Uhr
Goto Top
Zitat von @StefanKittel:

Hallo,

ich glaube Du machst etwas falsch.

Ich habe bei mir eine pfsense als VM auf einem ESXi 6.7 laufen.
Diese hat 4 Netzwerkkarte.

1 GBit NIC ETH0 = NIC 0 = vSwitch0 = Portgruppe LAN Management
1 GBit NIC ETH1 = NIC 1 = vSwitch1 = Portgruppe WAN1
1 GBit NIC ETH2 = NIC 2 = vSwitch2 = Portgruppe WAN1
10 GBit NIC ETH4 = NIC 3 = vSwitch3 = Portgruppe VLANs

Unter der NIC3 erstellt ich in der pfsense die VLANs.

Stefan

Wie hast du alle VLANS auf der NIC3 durchgezogen bis zur VM?

Meine ESXi und VM konfig schaut so aus:
Leider gehen mir jetzt die NICs auf der FW01 als VM aus


1
2
Mitglied: tech-flare
tech-flare 27.12.2021 um 16:52:14 Uhr
Goto Top
Zitat von @d.mayer:

Zitat von @StefanKittel:

Hallo,

ich glaube Du machst etwas falsch.

Ich habe bei mir eine pfsense als VM auf einem ESXi 6.7 laufen.
Diese hat 4 Netzwerkkarte.

1 GBit NIC ETH0 = NIC 0 = vSwitch0 = Portgruppe LAN Management
1 GBit NIC ETH1 = NIC 1 = vSwitch1 = Portgruppe WAN1
1 GBit NIC ETH2 = NIC 2 = vSwitch2 = Portgruppe WAN1
10 GBit NIC ETH4 = NIC 3 = vSwitch3 = Portgruppe VLANs

Unter der NIC3 erstellt ich in der pfsense die VLANs.

Stefan

Wie hast du alle VLANS auf der NIC3 durchgezogen bis zur VM?

Liest du auch, was man dir schreibt?

Kollege StefanKittel und ich haben geschrieben, dass du die Portgruppe mit VLAN 4095 taggen musst !
Mitglied: d.mayer
d.mayer 27.12.2021 aktualisiert um 16:54:59 Uhr
Goto Top
Aso direkt mir 4095 und nicht mit meinen VLAN oder?

Dann werden alle VLANs durchgereicht oder wie?
Mitglied: em-pie
Lösung em-pie 27.12.2021 um 16:54:30 Uhr
Goto Top
Zitat von @d.mayer:

Zitat von @StefanKittel:

Hallo,

ich glaube Du machst etwas falsch.

Ich habe bei mir eine pfsense als VM auf einem ESXi 6.7 laufen.
Diese hat 4 Netzwerkkarte.

1 GBit NIC ETH0 = NIC 0 = vSwitch0 = Portgruppe LAN Management
1 GBit NIC ETH1 = NIC 1 = vSwitch1 = Portgruppe WAN1
1 GBit NIC ETH2 = NIC 2 = vSwitch2 = Portgruppe WAN1
10 GBit NIC ETH4 = NIC 3 = vSwitch3 = Portgruppe VLANs

Unter der NIC3 erstellt ich in der pfsense die VLANs.

Stefan

Wie hast du alle VLANS auf der NIC3 durchgezogen bis zur VM?

Meine ESXi und VM konfig schaut so aus:
Leider gehen mir jetzt die NICs auf der FW01 als VM aus


1

Am vSwitch ein neues VLAN mit der ID 4095 anlegen, Name: NET_TAGGED
an deiner VM schmeisst du z.B. die DMZ raus, fügst NET_TAGGED hinzu, und legst innerhalb des GuestOS (pfSense) dann eine VLAN-ID auf dein neues/ altes Interface

Gruß
em-pie
Mitglied: d.mayer
Lösung d.mayer 27.12.2021 um 16:55:29 Uhr
Goto Top
Zitat von @em-pie:

Zitat von @d.mayer:

Zitat von @StefanKittel:

Hallo,

ich glaube Du machst etwas falsch.

Ich habe bei mir eine pfsense als VM auf einem ESXi 6.7 laufen.
Diese hat 4 Netzwerkkarte.

1 GBit NIC ETH0 = NIC 0 = vSwitch0 = Portgruppe LAN Management
1 GBit NIC ETH1 = NIC 1 = vSwitch1 = Portgruppe WAN1
1 GBit NIC ETH2 = NIC 2 = vSwitch2 = Portgruppe WAN1
10 GBit NIC ETH4 = NIC 3 = vSwitch3 = Portgruppe VLANs

Unter der NIC3 erstellt ich in der pfsense die VLANs.

Stefan

Wie hast du alle VLANS auf der NIC3 durchgezogen bis zur VM?

Meine ESXi und VM konfig schaut so aus:
Leider gehen mir jetzt die NICs auf der FW01 als VM aus


1

Am vSwitch ein neues VLAN mit der ID 4095 anlegen, Name: NET_TAGGED
an deiner VM schmeisst du z.B. die DMZ raus, fügst NET_TAGGED hinzu, und legst innerhalb des GuestOS (pfSense) dann eine VLAN-ID auf dein neues/ altes Interface

Gruß
em-pie

Danke dir Versuch ich
Mitglied: tech-flare
tech-flare 27.12.2021 um 16:56:39 Uhr
Goto Top
Zitat von @d.mayer:

Aso direkt mir 4095 und nicht mit meinen VLAN oder?

Dann werden alle VLANs durchgereicht oder wie?

Ehm....wir haben doch geschrieben.

Eine Portgruppe mit VLAN Tag 4095....so steht es auch in der Doku bei vmware, welche ich verlinkt habe.
Mitglied: d.mayer
d.mayer 27.12.2021 um 17:02:48 Uhr
Goto Top
Zitat von @tech-flare:

Zitat von @d.mayer:

Aso direkt mir 4095 und nicht mit meinen VLAN oder?

Dann werden alle VLANs durchgereicht oder wie?

Ehm....wir haben doch geschrieben.

Eine Portgruppe mit VLAN Tag 4095....so steht es auch in der Doku bei vmware, welche ich verlinkt habe.

Sorry hatte ich falsch verstanden
Mitglied: d.mayer
d.mayer 27.12.2021 um 17:02:55 Uhr
Goto Top
Ich teste mal
Mitglied: d.mayer
d.mayer 27.12.2021 um 17:15:40 Uhr
Goto Top
Zitat von @d.mayer:

Zitat von @em-pie:

Zitat von @d.mayer:

Zitat von @StefanKittel:

Hallo,

ich glaube Du machst etwas falsch.

Ich habe bei mir eine pfsense als VM auf einem ESXi 6.7 laufen.
Diese hat 4 Netzwerkkarte.

1 GBit NIC ETH0 = NIC 0 = vSwitch0 = Portgruppe LAN Management
1 GBit NIC ETH1 = NIC 1 = vSwitch1 = Portgruppe WAN1
1 GBit NIC ETH2 = NIC 2 = vSwitch2 = Portgruppe WAN1
10 GBit NIC ETH4 = NIC 3 = vSwitch3 = Portgruppe VLANs

Unter der NIC3 erstellt ich in der pfsense die VLANs.

Stefan

Wie hast du alle VLANS auf der NIC3 durchgezogen bis zur VM?

Meine ESXi und VM konfig schaut so aus:
Leider gehen mir jetzt die NICs auf der FW01 als VM aus


1

Am vSwitch ein neues VLAN mit der ID 4095 anlegen, Name: NET_TAGGED
an deiner VM schmeisst du z.B. die DMZ raus, fügst NET_TAGGED hinzu, und legst innerhalb des GuestOS (pfSense) dann eine VLAN-ID auf dein neues/ altes Interface

Gruß
em-pie

Danke dir Versuch ich

Vielen Dank für deine freundliche Erklärung hat alles funktioniert.
Mitglied: Xaero1982
Xaero1982 27.12.2021 um 19:10:26 Uhr
Goto Top
Dann wäre es ja noch cool, wenn du die Beiträge als Lösung markierst, die dir die Lösung gebracht haben und nicht deinen eigenen face-smile
Mitglied: d.mayer
d.mayer 27.12.2021 um 19:28:03 Uhr
Goto Top
Zitat von @Xaero1982:

Dann wäre es ja noch cool, wenn du die Beiträge als Lösung markierst, die dir die Lösung gebracht haben und nicht deinen eigenen face-smile

wurde erledigt
Mitglied: pianoman82
pianoman82 30.03.2022 um 09:43:18 Uhr
Goto Top
Hallo!

Gerne möchte ich den Beitrag nochmal eröffnen da ich mich aktuell vor dem gleichen Problem sehe.

Ich habe einen ESXi welcher aktuell leider nur mit einem vSwitch angebunden ist. Dort gibt es die Portgruppe Management Network, diese ist für den Host selber. Weiter gibt es noch die Portgruppe VM Network für die virtuellen Maschinen.

Nun habe ich eine weitere Portgruppe mit dem Namen VLANs erstellt und dieser die VLAN-ID 4095 zugewiesen.

Mir ist nun nicht ganz klar wie viele NICs ich der OPNSense nun wirklich zuweisen muss.

Aktuell sieht das Setup der OPNSense so aus:

WAN: vmx0 (Public IP)
LAN: vmx1 (Management, 192.168.1.1/24)
OPT: VLANs (192.168.10.1/24)

Die virtuelle Maschine ist auf dem ESXi ebenfalls der Portgruppe VLANs zugeordnet und bekommt auch eine IP-Adresse. Woher aber weiß die virtuelle Maschine welche das richtige VLAN ist wenn auf der OPNSense weitere VLANs angelegt werden?

Muss im ESXi nun noch eine weitere Portgruppe angelegt werden für z. B. VLAN-ID 10?

Vielleicht nochmal meine grundsätzliche Anforderung:

Mehrere VLANs über die OPNSense abzubilden welche untereinander nicht kommunizieren dürfen. Dahinter die virtuellen Maschinen um eine saubere Trennung zu bekommen.

Ich hoffe ich konnte mich verständlich ausdrücken.
Mitglied: LeReseau
LeReseau 30.03.2022 um 09:48:50 Uhr
Goto Top
Mitglied: pianoman82
pianoman82 30.03.2022 um 09:56:00 Uhr
Goto Top
Hallo!

Die Bilder habe ich mir in der Tat angeschaut, verstanden hab ich es trotzdem nicht. Seh ich vor lauter Bäumen keinen Wald? Zumindest im Hinblick auf die Frage woher die virtuelle Maschine nun weiß in welches VLAN sie gehört?
Mitglied: LeReseau
LeReseau 30.03.2022 um 10:24:23 Uhr
Goto Top
woher die virtuelle Maschine nun weiß in welches VLAN sie gehört?
Sieh dir doch die Bilder an, da ist es doch eindeutig abgebildet. Das mit dem Wald stimmt schon... face-big-smile
Als erstes richtest du im vSwitch eine Port Gruppe mit einem VLAN Tag(s) deiner Wahl an. Die Portgruppe bestimmt in welchem tagged VLAN der vSwitch Port arbeitet.
Als Besonderheit bei ESXi ist das VLAN 4095 zu sehen denn das bestimmt den UNtagged Traffic, ist also quasi sowas wie das native oder PVID VLAN !
Mitglied: pianoman82
pianoman82 30.03.2022 um 10:45:35 Uhr
Goto Top
OK, aber weise ich der OPNSense dann die Portgruppe mit VLAN ID 4095 zu und der VM die Portgruppe mit VLAN-ID 10?
Mitglied: Xaero1982
Xaero1982 31.03.2022 aktualisiert um 22:12:00 Uhr
Goto Top
Zitat von @LeReseau:

Als Besonderheit bei ESXi ist das VLAN 4095 zu sehen denn das bestimmt den UNtagged Traffic, ist also quasi sowas wie das native oder PVID VLAN !

Wat?

@pianoman82: Also grds. kannst du es so machen wie aqui es beschrieben hat, aber an der Stelle muss ich ihm ausnahmsweise mal widersprechen. Du brauchst nur eine Portgruppe mit der VLAN ID 4095.
Auf der OPNSense richtest du dann VLAN Schnittstellen ein auf dieser Schnittstelle des ESX. Damit brauchst du auf dem ESX keine weiteren VLAN erstellen.

Hier ein paar Screens - sind aber von der PFSense - ist auf der OPNSense identisch


esx
pfsense
vlans

Beispiel einer VLAN-Schnittstelle
vlan_bsp


Das Problem ist nämlich, dass du z.b. die Zahl der VLAN die ich brauche nicht anlegen kannst, wenn du auf dem ESX für jedes VLAN eine Portgruppe erstellst und in der VM einbindest. Da ist bei 8 schluss.

Grüße
Mitglied: tech-flare
tech-flare 31.03.2022 aktualisiert um 22:15:13 Uhr
Goto Top
Zitat von @pianoman82:

OK, aber weise ich der OPNSense dann die Portgruppe mit VLAN ID 4095 zu und der VM die Portgruppe mit VLAN-ID 10?

Nein, in OPNsense legst du natürlich jedes VLAN als Interface mit der entsprechenden VLAN ID an.

Ist ja irgendwie auch ganz logisches. Das VLAN 4095 dient nur dafür, dass du einen Trunk Port an OPNsense „weitergibst“