vmWare ESXi eigenes Netzwerk

TuberPlays

Lt. Junior Grade
Registriert
Jan. 2016
Beiträge
439
Hallo,

gibt es in vmWare ESXi 6.5 eine Möglichkeit die VMs in ein eigenes Netzwerk zu verfrachten?

Das heißt, die VMs bekommen einen eigenen IP-Adress Bereich (der Host selber bleibt aber im Hauptnetz, da dieser ja erreichbar sein muss). Auch sollen die VMs aus "ihrem" Netzwerk nicht rauskommen.

Gibt es da einen Weg?

Danke schon mal und noch eine schöne Woche!
 
Grundsätzlich kannst du mehrere Netzwerke definieren und die Netzwerkkarte einer VM in ein solches reinhängen. Dieses Netzwerk hat dann z.B. auch eine gateway-VM, die zwei Netzwerkkarten besitzt: Eine für die Kommunikation mit den "eingezäunten" VMs, eine für die Kommunikation mit dem "Host" im anderen Netzwerk.

Alternativ kannst du PVLANs benutzen, um VMs abzugrenzen, das geht auch, wenn sie im selben Netzwerk sind.
 
Jo klar. Du kannst mehrere virtuelle Switch konfigurieren und nach belieben Netzwerkadapter drauf binden.
Dann einfach dem gewünschten vSwitch das Management zuweisen.
 
Hallo,

danke für Deine Antwort. Ich habe jetzt in ESXi eine neue Portgruppe, sowie einen neuen virtuellen Switch angelegt.

JuJediF.png
SKIS64m.png

Allerdings kommt die VM nun nicht mehr ins Internet, da sie keine IP-Konfigurationen mehr bekommt.

Eventuell kannst du mir eine kleine Musteranleitung geben, wenn ich Dir sage, was ich will :D

Mein Hauptnetz ist 192.168.2.X / 255.255.255.0
die VMs sollen in das Netzwerk 192.168.50.X / 255.255.0.0
so sollen die Vms komplett abgeschirmt sein. Die Frage ist nur, wo bekomme ich einen "internen ESXi" DHCP Server her, der dann die neuen IPs vergibt? Oder gibt es so was generell nicht. Wenn es wichtig ist: der Server ist mit 2 Netzwerkkarten angebunden.

Schon mal danke (glaub sowas kommt davon, wenn man auf der Arbeit die ESX-Hosts seinen Kollegen überlässt, aber sich dann zu Hause einen hinstellt :D).
 
Zeige bitte deine komplette Netzwerk-Config des ESXi. Also ALLE(!) Portgruppen, vSwitche, usw. usf. und hast du einen VLAN-fähigen Switch zuhause? Falls nein: Einfach der Portgruppe ein VLAN zuweisen und dann sollten diese abgekapselt sein. VLANs arbeiten aber idR auf Layer 2, ob und welche IPs du dann in den VLANs vergibst ist dir überlassen und wenn du nicht alles von Hand eintragen willst bleibt dir nur ein DHCP pro VLAN oder ein DHCP-Server, der NICs in jedem VLAN hat oder bei mehreren Switchen und VLANs dann eben einen DHCP helper.

Wenn du das Ding privat betreibst gehe ich davon aus, dass du die kostenlose Version verwendest? Dann weißt du (hoffentlich), dass du nur beschränkte Backup-Funktionalitäten hast oder eben alles von innerhalb der VMs sichern.
 
snaxilian schrieb:
Zeige bitte deine komplette Netzwerk-Config des ESXi
uwdTknz.png
8SdJc74.png
bktXOAv.png
m0F0zej.png

snaxilian schrieb:
hast du einen VLAN-fähigen Switch zuhause?
Jein. Ich habe direkt vor dem Server einen Netgear GS105Ev2. Dieser kann zwar V-LANS, aber leider keinn VLAN spezifischen DHCP Server (genauer gesagt gar keinen). Der physikalische Server mit seinen 3 Netzwerkkarten (2 sind normale Netzwerkkarten und eine ist für HPs iLO) ist auch schon in einem eigenen V-LAN. Dies dient aber nur dazu den Server von meinem zweiten Server abzuschotten. Auf die Geräte, die "vor" dem Switch sind, sind aber ja trotzdem weiterhin erreichbar.

snaxilian schrieb:
ob und welche IPs du dann in den VLANs vergibst ist dir überlassen
Ich habe in dem neu angelegten Switch und Portgruppe VLAN 4 eingetragen. Jedoch bekomme ich dann gar keine Verbindung mehr hin. Weder wenn ich die per Hand eintrage (192er, 172er und 10er IPs probiert) und per DHCP erst recht nicht.

snaxilian schrieb:
Wenn du das Ding privat betreibst gehe ich davon aus, dass du die kostenlose Version verwendest? Dann weißt du (hoffentlich), dass du nur beschränkte Backup-Funktionalitäten hast
Ich weiß, dass ich eine Lizenz eingetragen habe (siehe Screenshot unten), jedoch weiß ich nicht, wie viele Backups ich da anlegen kann. Kannst Du mir das eventuell noch schnell rüberfunken, wenn du die Lizenzeigenschaften auswendig kennst?
1bO2at9.png

Trotzdem danke Dir für deine Hilfe!
 
Switche können im Normalfalle alle gar kein DHCP, maximal den sogenannten DHCP-Helper. Erklärung dazu liefert dir Google, da brauch ich nicht abschreiben.
Du hast also auf dem Switch die zwei Ports des ESXi in ein VLAN gepackt. Schön. Das bedeutet aber "nur", dass Pakete vom ESXi alle dieses VLAN Tag bekommen und alle Pakete vom Switch kommend Richtung ESXi verlieren bei Verlassen der Ports diese VLAN Tags.
Dies dient aber nur dazu den Server von meinem zweiten Server abzuschotten. Auf die Geräte, die "vor" dem Switch sind, sind aber ja trotzdem weiterhin erreichbar.
Oben, unten, links, rechts, vor, hinter. Bringt uns nix, stellt sich jeder etwas anderes darunter vor. Wir können nur wissen, was du uns mitteilst. Daher: Zeichnung bitte.

Dass du VMs in der Portgruppe "VMs" nicht siehst ist genau das, was du eingerichtet hast (oder damit angefangen hast). Alle Pakete von VMs an/in dieser Portgruppe bekommen das VLAN Tag 4 gesetzt und verlassen damit dann ggf. auch den vSwitch Richtung Uplink-Port. Dieser ist also mit dem Netgear verbunden. Der Port des Netgear muss in den Fall auf Trunk/tagged stehen damit der Switch weiß, dass hier bereits Pakete mit einem VLAN Tag ankommen. Aber selbst dann müssen auch andere Systeme im VLAN 4 sein, wenn diese mit deiner VM kommunizieren soll. Wenn die Systeme nicht im gleichen VLAN sein sollen brauchst du einen Router, der entsprechend zwischen den VLANs routet.
Ein VLAN trennt einen oder mehrere physische in mehrere logische Switche auf. Du musst dich also im gleichen VLAN befinden da VLANs und Switche eben nur Layer 2 sind. Beim OSI Modell kommt danach in Layer 3 erst die IPs und du brauchst dann einen Router, der zwischen den VLANs/Netzen vermittelt. Selbst wenn du also deinem PC eine IP aus den Systemen in der Portgruppe VLAN 4 bringt es dir nix solange die Layer 2 Config nicht in Ordnung ist.

Grundlagen VLANs solltest bzw musst du dir dringend(!) anlesen wenn du damit rumspielen willst. Aber damit bist du nicht allein, nicht gerade wenige angehende Fachinformatiker scheitern daran und ich schließe mich da nicht von aus. Der gemeine Haus- und Hofadmin in kleinen Firmen kommt damit nun mal nicht in Berührung oder traut sich da nicht ran. Das Thomas-Krenn-Wiki hat ein paar gute Artikel dazu, ansonsten auch das Elektronik-Kumpendium.

Dass, was du da vermeintlich als Lizenz hast, ist zu 99,999% nach die Evaluation License, die nach 60 Tagen abläuft oder du hast eine nicht legale Lizenz oder du hast für privates Vergnügen mehrere tausend Euro ausgegeben, was ich doch stark bezweifel. Eine eingetragene Lizenz muss übrigens noch dem ESXi-Host zugewiesen werden und die kostenfreie Lizenz kann nur einen Bruchteil der gelisteten Features. Vergleiche der Editionen findest du z.B. ebenfalls im Netz. u.a. auch im Thomas-Krenn-Wiki und an anderer Stelle im Netz.
Wie gesagt: die kostenfreie Variante kann idR nur Vollbackups mit Dritt-Tools. Davon selbst kenne ich nur ghettoVCB, einmal richtig eingerichtet funktioniert das aber rock stable. Nachteil sind eben nur Full Backups, weder differentiell noch inkrementell. Wenn du das willst, musst du eine passende Backup-Lösung in jeder VM einrichten.
 
TuberPlays, ich glaube, du bringst ein paar Sachen durcheinander. Aus deiner Antwort auf snaxilians ziemlich präzisen Beitrag drängt sich mir der Eindruck auf, du würdest dich einfach ein wenig durchklicken. Das funktioniert im Allgemeinen bei Netzwerkthemen aber nicht. Und wenn es funktioniert, hast du meist ein Sicherheitsproblem.

Grob gesagt kannst du mehrere Dinge tun, um deine VMs abzuschotten. Ich vereinfache hier etwas und spare Details aus, da man zu jedem Stichpunkt leider sonst seitenweise Wikipedia zitieren kann (bzw Thomas Krenn - das ist eine gute Anlaufstelle für ziemlich viele Praxisthemen).
- Eigenes VLAN für den vswitch, an dem deine VMs hängen: Deine VMs werden daraufhin untereinander kommunizieren können, nicht jedoch mit solchen Geräten, die nicht im entsprechenden VLAN sind
- PVLANs auf dem Host einstellen, um die VMs unabhängig von ihrer Netzwerkeinstellung abzuschotten (ich glaube aber, das ist ein Enterprise-Plus-Feature)
- Alle VMs an einen Switch hängen, der im selben VLAN ist wie dein "Host", der laut deinem ersten Post "außen" ist.

Allen Lösungen gemein ist, dass deine VMs irgendwie IPs bekommen müssen. Entweder per manueller Einstellung auf der VM (wenn sie in einem eigenen VLAN sind, können sie identisch sein mit IPs aus anderen VLANs) oder per DHCP. Für DHCP benötigst du einen DCHP-Server. Das kann z.B. dein Router sein (wenn er sowas kann und das auch noch pro VLAN) oder eine separate VM, auf der du so einen Server aufsetzt.

Die obigen Beschreibungen beziehen sich auf die Voraussetzungen bzgl deines Netzwerkes. Du kannst dies auch anders lösen, indem du das Problem der Kommunikation von der Ebene der Netzwerktopologie auf das Betriebssystem abwälzt. Und zwar mit Firewallsoftware: Angenommen, du hast 5 VMs, deren Kommunikation du auf bestimmte Kanäle (Ports) und IPs beschränken möchtest, kannst du dies relativ einfach mit Firewallsoftware lösen. Unter Linux z.B. iptables, ufw oder im Redhat-Kontext firewalld (extrem komfortabel).

Das Problem mit der Firewall (die man eh haben sollte) ist allerdings, dass du damit zwar ein funktionierendes Szenario bekommst, aber das Problem nur abgewälzt hast. Wenn es irgendwie vermeidbar ist, solltest du nicht schon zu Beginn ein mangelhaftes Setup in Kauf nehmen.

Ich hoffe, das hilft dir etwas weiter.
 
Hallo snaxilian und plan?los!,

vielen Dank für Eure Antworten! - Ich habe mich heute Vormittag mal mit den hiesigen Antworten und mit meinem ESX-Kollegen hingesetzt und das ganze nochmal in Ruhe durchgespielt.

Unsere Lösung die sich als bestes bewährt hat: Aus dem Keller einen alten 15€ Router geholt, diesen direkt hinter den Switch gehängt, so dass 1 Netzwerkkarte noch im "normalen" Netz hängt. Darüber läuft die WebUI von vmWare. Die anderen 2 Ports hängen direkt hinter dem Billigrouter, der nun das DHCP Problem löst. Da hattet ihr übrigens recht! ESXi kann keinen DHCP Server "simulieren" und IP-Adressen verteilen.

Somit habe ich nun genau das, was ich wollte. Ein Management, das weiterhin aus dem normalen Netz erreichbar ist und VMs die in einem eigenen Netzwerk nun tun uns lassen können, was sie meinen, ohne das Netz zu beeinträchtigen.

Wie gesagt nochmal vielen Dank, die auf dieses Thema geantwortet haben.

@snaxilian
Eine kleine Antwort auf deine Lizenzvermutung. Die Aussage, dass es sich um eine illegale cracked-Lizenz handeln könnte weiße ich mit Nachdruck zurück. Die Lizenz ist original von VM-Ware gekauft (und ja, sie war sauteuer). Aber wenn man gescheit arbeiten will, muss man eben mal auf eine Free-Lösung verzichten und ein paar Euro in die Hand nehmen. Habe den kauf bisher auch noch nicht bereut. :)

Grüße und Danke an alle!
 
Naja, für einen Single Host oder zum testen hätte ich einfach eine freie Alternative verwendet, wie z.B. Virtualbox oder XEN oder KVM als Hypervisor. XEN und KVM werden beide von AWS eingesetzt bzw. XEN durch KVM abgelöst, so schlecht können die also nicht sein ;)
Für KVM gäbe es z.B. mit Proxmox eine Lösung, die auch grafische Konfigurationen zulässt.
Anstatt eines billigen Routers hättest auch dd-wrt oder ipcop/ipfire oder pfsense als VM laufen lassen können um so die "getrennten" VMs erreichbar zu machen inkl. Absicherung, DHCP, etc.
Zur Lizenz: Respekt, ich werde zwar nicht verstehen warum man privat so viel Geld verbrennt aber jedem das Seine und so verständlich ist es nun einmal nicht, dass sich eine Privatperson für einen Host die Enterprise Plus gönnt. Ich administriere selbst u.a. eine größere VMware Farm beruflich und finde das auch eine gute Lösung aber sehe einfach den Anwendungszweck für privat nicht ^^
 
Nach einer Woche melde mich mich mal nochmal und erlaube mir das Thema wegen Feedback Zwecken nochmal aus.

Die Lösung mit dem Router funktioniert weiterhin einwandfrei. Deinen Vorschlag mit einem IPFire in einer VM in dem Netzwerk habe ich auch mal ausprobiert. Allerdings muss die IPF-VM ja dann in beiden Netzwerken sein, damit sie routen kann. Und genau da sitzt der Knackpunkt. Du kannst 2 geroutete Netze in ESX nicht komplett trennen. Das liegt zum Teil aber wahrscheinlich daran, dass VMWare ja sein ESX mehr an Firmenkunden richtet und es ja in Firmen genau die Server sind, auf die zwar keiner drauf darf, aber die das komplette Netzwerk im Griff haben sollen.

Meine Ergebnisse waren dann folgende:
IPFire in einer VM installiert, der das vLAN 1 und 2 (1 ist das Hauptnetz; 2 das VM-Netz) zugeordnet und die einzelnen VMs nur in das 2er. Das Ergebnis war dann das gleiche wie oben. IPFire routet in der 192.168.1.X. Der Test zeigt dann: Mit einem Netzgerät (also nicht VM) die 192.168.1.1 aufgerufen => Keine Verbindung, auch die VMs lassen sich von außen nicht pingen. Aber aus der abgeschotteten VM mal die 192.168.2.3 (das wäre dann das Hauptnetz) => Zack, Verbindung da. Also genau wie oben vermutet. Rein nein, raus ja.

Also gehe ich mal aus, dass das nicht möglich ist eben genau aus dem Grund, weil man es ja eigentlich nie braucht (zumindest fällt mir auch nach überlegen bei uns kein Kunde ein, der das braucht/will).

Und mit diesen Worten packe ich das Thema wieder in seine Staubwolke. Wollte nur nochmal kurz Feedback geben :)

Grüße!
 
Zurück
Oben