Firewall w ESXi 5.0

konrad — Thu, 10 Nov 2011 13:43:55 +0000

Mam pod opieką kilka maszynek wirtualizujących opartych o platformę VMware. Nie używam nawet vShpere – po prostu hypervisory zainstalowane na sprzęcie, podpięte do zewnętrznych zasobów dyskowych i już. Wszystkie takie serwery podłączone są do centralnego systemu „nadzorczego”, którego rolę pełni Nagios. Jeżeli chodzi o hypervisory, to tak właściwie ma on niewiele do zrobienia – bada PINGiem, czy host żyje i odpytuje o czas systemowy (ntp) sprawdzając, czy przypadkiem maszyna nie znalazła się w przyszłości.
Do tej pory wszystkie te systemy działały na wersji ESXi 3.5, jednak przyszło mi do głowy, że warto by było spróbować czegoś odrobinę nowszego. I tak pojawił się pierwszy egzemplarz wersji piątej. Po pierwszych testach okazało się, że system jest stabilny, wspiera wszystko, czego używamy i ogólnie wygląda całkiem fajnie. Tylko Nagios go wyraźnie nie polubił, bo ciągle raportował problemy z czasem. Po intensywnym klikaniu we wszystko, co się da (podejście rodem z SAPa :-)) wyszło mi, że za pomocą konsoli ESXi niewiele osiągnę.
Okazało się, że VMware gruntownie przebudował firewalla swojego supervisora i – niestety – nie uwzględnił w standardzie możliwości odpytywania hosta o czas systemowy. Rozwiązanie problemu oczywiście istnieje i nie jest nawet bardzo skomplikowane:

1. Musimy włączyć możliwość logowania się na supervisora za pomocą SSH – robi się to z konsoli systemowej w taki sposób.

2. Logujemy się jako root na naszego hosta (oczywiście za pomocą odblokowanego wcześniej SSH).

3. Tworzymy plik, który będzie opisywał „usługę” odpowiedzialną na serwer NTP na lokalnym hoście i otwierał dla nas port udp/123:cat < /etc/vmware/firewall/ntp.xml NTP server inbound udp dst 123 EOF

4. Musimy teraz przeładować konfigurację zapory:esxcli network firewall refresh

5. W konsoli administracyjnej ESXa powinna nam się pojawić nowa usługa, którą możemy teraz włączyć:

6. Warto jeszcze – tak na wszelki wypadek – sprawdzić, czy serwer NTP jest faktycznie włączony i czy będzie sam startował przy uruchamianiu systemu:~ # /etc/init.d/ntpd status ntpd is running ~ # chkconfig --list ntpd ntpd on ~ #

I to wszystko. Jeżeli wszystko się uda, to możemy cieszyć się serwerem czasu na hoście ESXi :-)

Oczywiście sam tego wszystkiego nie wymyśliłem. Skarbnicą wiedzy o hypervisorach ESXi jest ten blog. Opisana tu procedura oparta została o ten wpis.

Zarządzanie wirtualizacją

konrad — Tue, 09 Feb 2010 08:37:59 +0000

VMWare ESXi to bardzo fajne narzędzie, które pozwala zamienić fizyczną maszynę w serwer maszyn wirtualnych. Można tego użyć do upchania wielu, niezbyt obciążonych systemów w jednym fizycznym serwerze. Ograniczamy w taki sposób zużycie energii, hałas i ilość miejsca, potrzebnego do działania infrastruktury IT. W odrobinie szerszej perspektywie ograniczamy też dość poważnie koszty, bo do chłodzenia mniejszej ilości maszyn potrzeba mniej wydajnej klimatyzacji. Tańsze robi się też utrzymanie wszystkich tych gratów. Same zalety.

Problem zaczyna się w momencie, w którym mamy już kilka takich wirtualek, a nie ma kasy na kupienie całego vSphere. Zostajemy z kilkoma, niezależnymi od siebie maszynami, którymi trzeba jakoś zarządzać. A to dodać gdzieś trochę przestrzeni dyskowej, a to dołożyć pamięci. Czasami zachodzi potrzeba migracji systemu – gościa na inny serwer. W zasadzie można sobie otworzyć odpowiednią ilość konsoli do zarządzania i klikać pomiędzy nimi, ale nie jest to na dłuższą metę zbyt wygodne. W tym momencie z pomocą przychodzą programy veeam.

Firma ta zrobiła kilka naprawdę fajnych (i w dodatku darmowych) narzędzi do zarządzania serwerami działającymi pod kontrolą oprogramowania VMWare. Nie miałem jeszcze okazji testować tego z czymkolwiek innym, niż ESXi w wersji 3.5, ale sprawuje się naprawdę przyzwoicie. Szczególnie przydatną rzeczą jest Veeam Monitor Free Edition. Po dopisaniu do konfiguracji wszystkich posiadanych przez nas ESXów możemy na jednej konsoli oglądać co i gdzie siedzi, podpatrzeć wykorzystanie pamięci, dysków, procesorów przez poszczególnych gości i przejrzeć historię tych liczników. Dodatkowo, program oferuje możliwość ustawienia alarmów, które będą informować o ważnych zdarzeniach (problemach ze sprzętem, przeciążeniach CPU albo zbyt wysokich wartościach CPU ready.

Jeżeli masz więcej, niż jeden serwer ESX/ESXi i nie chcesz wydawać kasy na całą infrastrukturę vSphere, to (moim zdaniem) warto potestować rozwiązania Veeam. Naprawdę ułatwiają życie.

my personal page » vmware

Firewall w ESXi 5.0

Zarządzanie wirtualizacją