InterVLAN-Routing zw. VMs auf ESXi

Mitglied: NewBee2018

NewBee2018 (Level 1) - Jetzt verbinden

05.12.2020, aktualisiert 20:01 Uhr, 480 Aufrufe, 12 Kommentare, 3 Danke

Hallo zusammen,

in der Ausbildung beschäftigen wir uns im Moment mit dem Thema VLANs und InterVLAN-Kommunikation. Wie das prinzipiell funktioniert habe ich verstanden. Geräte im gleichen VLAN werden "geswitcht" und Geräte in unterschiedlichen VLANs müssen geroutet werden .. soweit so klar.

Mich interessiert wie das auf einem Virtualisierungshost aussieht. Auf so einem physischen ESXi entsteht ja ein eigener "Mikrokosmos" inkl. Netzwerk. Wenn ich jetzt auf einem einzelnen ESXi z.B. 10xVMs in VLAN10 und 10xVMs in VLAN20 habe, und dann VLAN 10 mit VLAN 20 Daten austauschen möchte, verlässt dann der Traffic den Host, oder kann dass auch irgendwie innerhalb von dem ESXi "geroutet" werden? Eigentlich heißt das Device im ESXi ja vSwitch, also würde ich erst einmal sagen, der Traffic muss raus aus dem Host auf das physische Netzwerk (dort wird dann geroutet) und dann zurück in den Host. Jetzt hab ich aber auch gelesen, dass es virtuelle Router bei VMware geben kann?!

Ein Artikel aus 2018 stützt meine Vermutung (Link: https://www.windowspro.de/thomas-drilling/traffic-flow-vswitches-wann-la ...). Aber der ist eben aus 2018 und in 2 Jahren passiert ja viel in der IT. Von daher meine Frage an die Profis :-) face-smile. Vielleicht ist das ja auch ein Lizenzabhängiges FEature bei VMware, ich hab keine Ahnung.

Danke euch halbwegs schöne Weihnachtszeit.
Grüße
NeeBee
Mitglied: StefanKittel
LÖSUNG 05.12.2020 um 16:30 Uhr
Hallo,

im Prinzip ist es das gleiche.
Wichtig ist hier vor allem die Zuordnung der VMs zu den physikalischen Netzwerkkarten.
Dort verlässt der Traffic den Host nicht. 2 VMs können also mit mehr als 1GBit kommunizieren auch wenn die NIC nur 1GBit kann.

Wenn die beiden VMs auf unterschiedlichen NICs liegen greifen die normalen Regeln.

Stefan
Bitte warten ..
Mitglied: maretz
05.12.2020 um 17:25 Uhr
Warum sollte es auf virtueller Hardware anders laufen als auf realer? Du hast beim ESX halt switches - baust du dir jetzt ne VM als router dann kannst du die verbinden (oder eben mit nem richtigem Router).

Eigentlich ist es ganz einfach... Schau mal in deinen VM-Server rein. Sitzt da ne frau mit spitzem Hut die aufm Besen fliegt? Oder nen Kerl my schwarzem Zylinder der Karnickel ausm Hut holt? Wenn nicht dann kann wohl ne VM auch nich zaubern und wird sich entsprechend der realen Hardware verhalten (man könnte sich auch überlegen das der Erfolg von VMs wohl kaum da wäre wenn die sich komplett anders verhalten würden und jeder Admin dann div. verschiedene Infra-Strukturen zu verwalten hätte... )
Bitte warten ..
Mitglied: Ad39min
LÖSUNG 05.12.2020 um 18:24 Uhr
Zitat von NewBee2018:

Hallo zusammen,

Hi,

Mich interessiert wie das auf einem Virtualisierungshost aussieht. Auf so einem physischen ESXi entsteht ja ein eigener "Mikrokosmos" inkl. Netzwerk. Wenn ich jetzt auf einem einzelnen ESXi z.B. 10xVMs in VLAN10 und 10xVMs in VLAN20 habe, und dann VLAN 10 mit VLAN 20 Daten austauschen möchte, verlässt dann der Traffic den Host, oder kann dass auch irgendwie innerhalb von dem ESXi "geroutet" werden? Eigentlich heißt das Device im ESXi ja vSwitch, also würde ich erst einmal sagen, der Traffic muss raus aus dem Host auf das physische Netzwerk (dort wird dann geroutet) und dann zurück in den Host. Jetzt hab ich aber auch gelesen, dass es virtuelle Router bei VMware geben kann?!

Beim ESXi selber ist jeder virtuelle Switch erstmal ein Layer2-Switch und hat somit keine Ahnung von IP, bzw. kennt nur MAC und leitet auch nur MAC weiter.

Deine Frage, ob sich auch Layer3-Features (wie IP-Forwarding) virtualisieren lassen, kann man mit Ja beantworten, jedoch nicht mit ESXi alleine.
Aus dem VMware-Hause gibt es hierfür "NSX" (kostenpflichtig).
Jedoch hindert Dich auch niemand daran in Deinem ESXi-Test-Lab(Annahme) virtuell ein Betriebssystem einzusetzen, mit dem man Layer3-Funktionen bereit stellen kann, und das NIC in VLAN4095(=Trunk-Port) aufzunehmen. Ein typischer Kandidat wäre hier "Vyos" oder jedes dumme Linux mit ein bisschen Bastelei.

Danke euch halbwegs schöne Weihnachtszeit.
Grüße
NeeBee

Ebenso und Gruß

Alex
Bitte warten ..
Mitglied: NewBee2018
05.12.2020 um 19:03 Uhr
Hi Stefan,

danke für deine Antwort. Ich hab mal ein Bild aus einem VMware Videotraining beigefügt.
vms_vlan-routing - Klicke auf das Bild, um es zu vergrößern

Da scheint die InterVLan-Kommunikation den Host aber zu verlassen, geht in den physichen L3-Switch und wird da geroutet.
Mein gefundener Link sagt das Gleiche zu diesem Szenario:

Auszug:
Im zweiten Szenario hängen VM1 und VM2 am gleichen vSwitch namens vSwitch1, aber VM1 ist mit einer Portgruppe namens TestDev und VM2 mit der Portgruppe Production verbunden. Beide laufen auf dem gleichen Host mit dem Namen ESX1.

Hier fließt der Netzwerk­verkehr zwischen VM1 und VM2 über eine an vSwitch1 angeschlossene physische NIC und dann an einen physischen Switch. Anschließend wird er zu einer physischen NIC auf vSwitch1 und anschließend zu VM2 zurückgeleitet.



Aber wie Alex weiter unter geschrieben hat, ist dann wohl das Feature VMWare NSX.
Bitte warten ..
Mitglied: NewBee2018
05.12.2020 um 19:06 Uhr
Zitat von maretz:

Warum sollte es auf virtueller Hardware anders laufen als auf realer? Du hast beim ESX halt switches - baust du dir jetzt ne VM als router dann kannst du die verbinden (oder eben mit nem richtigem Router).

Eigentlich ist es ganz einfach... Schau mal in deinen VM-Server rein. Sitzt da ne frau mit spitzem Hut die aufm Besen fliegt? Oder nen Kerl my schwarzem Zylinder der Karnickel ausm Hut holt? Wenn nicht dann kann wohl ne VM auch nich zaubern und wird sich entsprechend der realen Hardware verhalten (man könnte sich auch überlegen das der Erfolg von VMs wohl kaum da wäre wenn die sich komplett anders verhalten würden und jeder Admin dann div. verschiedene Infra-Strukturen zu verwalten hätte... )



vielleicht versteh ich Internet-Sarkasmus oder Humor nicht ... aber trotzdem danke ...
Bitte warten ..
Mitglied: aqui
05.12.2020 um 22:28 Uhr
....geht in den physichen L3-Switch und wird da geroutet.
Das ist richtig !
Das Bild geht fest davon aus der der "physical Switch" ein Layer 3 Switch ist, also einer der routen kann.
Ist das der Fall läuft das Routing zweifelsohne natürlich über den Switch.
Ist der "physical Switch" aber nur ein reiner Layer 2 VLAN Switch braucht es immer noch einen Router dazu wie im VLAN_Tutorial oben beschrieben ist !
Bitte warten ..
Mitglied: maretz
05.12.2020 um 23:02 Uhr
Nein - das soll einfach verdeutlichen das deine virtuelle Hardware eben nix anderes - und nix magisches - macht als physikalische. Es ist dabei unerheblich ob du den virtuellen Computer nimmst oder nen Switch oder sonstwas. Der Switch bei VMWare verhält sich eben wie ein ganz normaler L2-Switch. Dabei ist es egal ob du jetzt einen physikalischen nimmst oder einen virtuellen - du musst in jedem Fall ein Routingfähiges Gerät ranhängen. Du KANNST das wie auf deinem Bild mit nem L3-Switch machen. Du KANNST nen Linux rankorken was das für dich macht. Du KANNST auch nen Router (sofern der VLANs kennt) davor hauen... Egal was du machst - es ist dabei unerheblich ob du reale oder virtuelle Hardware nutzt, die TECHNIK bleibt gleich...
Bitte warten ..
Mitglied: aqui
06.12.2020 um 12:04 Uhr
Ist natürlich absolut richtig. Man kann natürlich auch mit einer Linux, Winblows oder Firewall VM zwischen den vSwitches rein Hypervisor intern routen.
Es gibt viele Wege nach Rom... ;-) face-wink
Bitte warten ..
Mitglied: NewBee2018
06.12.2020 um 12:58 Uhr
Ok, danke für eure Antworten! Ich habe ehrlich gesagt nicht daran gedachte eine VM als Router zu verwenden.
Was mich dann zu der Frage bringt, ob dass den aus Security-Sicht ein vernüftiges Design ist, wobei ich ja vermutlich mit einer FW-VM auch eine gewisse Sichtbarkeit reinbringen kann. In einem großen Netzwerk stell ich mir das nur irgendwie schwierig vor. Die Netzwerker sollen eigentlich Netzwerk und Überwachung machen und dann machen die Server-Leute auch noch bisschen Routing und kümmern sich um die vSwitche und dann sieht keiner mehr durch. Also alles was mit Netzwerk zu tun hat, würde ich dann auch in den Händen der Netzwerker belassen - gehört da im Zweifel eine Bastel-VM mit Routing-Funktion dazu? Vermutlich eine Sache der Definition.
Bitte warten ..
Mitglied: aqui
LÖSUNG 06.12.2020, aktualisiert um 13:13 Uhr
Ich habe ehrlich gesagt nicht daran gedachte eine VM als Router zu verwenden.
Mmmhh...daran denkt man doch zuallererst zumal es sowas schon fix und fertig mit Klicki Bunti GUI gibt in Form von Firewalls usw:
https://docs.netgate.com/pfsense/en/latest/recipes/virtualize-esxi.html
https://www.pfsense.org/download/
bzw. Grundlagen hier:
https://administrator.de/tutorial/preiswerte-vpn-fähige-firewall-ei ...
Die Netzwerker sollen eigentlich Netzwerk und Überwachung machen
Richtig, deshalb gehört sowas auch eigentlich immer auf dediziertes Blech. Allein schon aus Security Gründen.
Zwingend ist das aber wie du oben siehst ja nicht.
Also alles was mit Netzwerk zu tun hat, würde ich dann auch in den Händen der Netzwerker belassen
Solch eine Einstellung geht einem Netzwerk Admin natürlich runter wie Öl. Ist aber leider nicht immer üblich.
Aber auch wenn nicht....eine Firewall VM hat ja immer ein getrenntes Konfig GUI was der netzwerker ja dann nach Vorgaben konfiguriert. Wo diese FW werkelt ist dem Netzwerker dann mehr oder minder egal solange er die Netzwerke, IP Adressen und regelwerke kennt die an so einem Router oder Firewall gelten sollen.
Na ja...wie immer alles eine Frage der Politik. ;-) face-wink

Wenns das den war
https://administrator.de/faq/32
Bitte warten ..
Mitglied: StefanKittel
06.12.2020 um 14:09 Uhr
Zitat von NewBee2018:
Ok, danke für eure Antworten ! Ich habe ehrlich gesagt nicht daran gedachte eine VM als Router zu verwenden.
Da bekommt man einen Router mit viel CPU-Leistung und 10GBit LAN (sofern die Hardware das hat) quasi zum Nulltarif.
Nur die Firewall sollte weiterhin davor in eigener Hardware liegen.
Stefan
Bitte warten ..
Heiß diskutierte Inhalte
Wünsch Dir was
Das ist ja nicht auszuhalten, dass ich für jeden googlen soll
NordicMikeVor 1 TagAllgemeinWünsch Dir was24 Kommentare

Ich beantrage, dass bei jeder Beitragserstellung eine Checkbox angeklickt werden muss, mit dem Text: Ja, ich habe bereits danach gegoogelt. Ansonsten soll der "Senden" ...

Windows 10
Wie kann ich mehrere PCs gleich aufsetzten (mit User)
dressaVor 1 TagFrageWindows 1010 Kommentare

Hallo miteinander. Wie kann ich mehrere PCs (über 200) gleich aufsetzten. Ich habe etwa 4 Modele die sich nur von der Baugeneration unterscheiden. Also ...

Festplatten, SSD, Raid
SATA Treiber für HP
gelöst ben1300Vor 23 StundenFrageFestplatten, SSD, Raid21 Kommentare

Hallo zusammen, ich habe einen PC von HP (Seriennummer: CZC3475D5D) Wollte hier Windows 7 Prof. installieren - es fehlt der SATA Treiber Leider kann ...

Hardware
Homelab - Gebrauchte Server Hardware?
gelöst kernl33Vor 1 TagFrageHardware16 Kommentare

Hallo zusammen, ich plane mir für mein Homelab einen 19 Zoll Server (2-4HE) anzulegen, es soll ein Hypervisor mit diversen VMs laufen. Hier zu ...

Cloud-Dienste
Server über zwei WAN Leitungen mit Load Balancing verfügbar machen
tobitobsnVor 1 TagFrageCloud-Dienste13 Kommentare

Moin zusammen, ich plane, einen Server im WAN über zwei Leitungen (Kabel und DSL) zwecks Ausfallsicherheit und Load Balancing verfügbar zu machen. Es sind ...

Sicherheitsgrundlagen
TI am Ende - Aus für Konnektor und elektronische Gesundheitskarte: Gematik stellt TI 2.0 vor
StefanKittelVor 1 TagInformationSicherheitsgrundlagen4 Kommentare

Hallo, nach der Großstörung in 2020 und allgemeinen Vorwürfen bezüglich der zweifelhaften Konnetktoren scheint die TI nun den Stecker ziehen zu wollen. Nachdem nun ...

Hardware
Cisco C9300 - zwei Kabel und nur 1 verbindet?
gelöst PeterGygerVor 1 TagFrageHardware14 Kommentare

Hallo Wir haben gestern ein paar C9300 im Lab aufgestellt. Spasseshalber haben wir mit 2 seriellen Kabeln über Win 10 / Putty uns mit ...

Windows Systemdateien
Sql Server 2014 mit extrem vielen DBs auf neuen Server migrieren
gelöst itnirvanaVor 1 TagFrageWindows Systemdateien6 Kommentare

SQL DB Migration auf anderen Server eigentlich ok. Management Studio export . Anderer Server Imporr. Berevhtigung neu setzen SQL User ersteölen etc Jetzt habe ...