云計算虛擬化技術(shù)與應(yīng)用-Chap10-第十章網(wǎng)絡(luò)和存儲虛擬化應(yīng)用

第10章網(wǎng)絡(luò)和存儲虛擬化應(yīng)用（課時數(shù)：6課時）《云計算虛擬化技術(shù)與應(yīng)用》主要內(nèi)容1虛擬專用網(wǎng)絡(luò)（VPN）2虛擬局域網(wǎng)（VLAN）3SAN和VSAN4NAS本章內(nèi)容簡介本章介紹虛擬網(wǎng)絡(luò)和虛擬存儲設(shè)備的應(yīng)用，分別介紹在WindowsServer系統(tǒng)中進(jìn)行“軟件VPN”服務(wù)器端和客戶端的配置,實現(xiàn)虛擬網(wǎng)絡(luò)VLAN，包括標(biāo)準(zhǔn)VLAN原理、VMware虛擬VLAN的配置實現(xiàn)和混合VLAN的原理，比較SAN、VSAN、NAS的異同，介紹IP-SAN（iSCSI）在vSphere平臺下的配置實現(xiàn)。學(xué)習(xí)目標(biāo)：（1）掌握虛擬專用網(wǎng)絡(luò)VPN的部署與使用方法，包括硬件VPN和軟件VPN。（2）掌握虛擬局域網(wǎng)（VLAN）的部署與使用方法，包括標(biāo)準(zhǔn)VLAN、VMwareVLAN和混合VLAN。（3）掌握虛擬存儲設(shè)備的配置與應(yīng)用，包括IP-SAN在vSphere平臺的掛載方法。一、虛擬專用網(wǎng)絡(luò)（VPN）（一）硬件VPNVPN是企業(yè)網(wǎng)在因特網(wǎng)等公共網(wǎng)絡(luò)上的延伸。VPN通過一個私有的通道來創(chuàng)建一個安全的私有連接，將遠(yuǎn)程用戶、公司分支機(jī)構(gòu)、公司的業(yè)務(wù)伙伴等跟企業(yè)網(wǎng)連接起來，形成一個擴(kuò)展的公司企業(yè)網(wǎng)。一、虛擬專用網(wǎng)絡(luò)（VPN）（一）硬件VPN在通信協(xié)議分層中，網(wǎng)絡(luò)層是可能實現(xiàn)端到端安全通信的最底層，它為所有應(yīng)用層數(shù)據(jù)提供透明的安全防護(hù)，用戶無需修改應(yīng)用層協(xié)議?；贗PSec的VPN解決方案能夠解決以下問題：（1）數(shù)據(jù)源身份認(rèn)證：證實數(shù)據(jù)是所聲稱的發(fā)送者發(fā)出的。（2）數(shù)據(jù)完整性：證實數(shù)據(jù)報文的內(nèi)容在傳輸過程中沒有被修改過，無論是被故意改動或者是發(fā)生了隨機(jī)的傳輸錯誤。（3）數(shù)據(jù)保密：隱藏明文的信息，通?？考用軄韺崿F(xiàn)。（4）重放攻擊保護(hù)：保證攻擊者不能截獲數(shù)據(jù)報文，且稍后某個時間再發(fā)放數(shù)據(jù)報文。（5）自動的密鑰管理和安全關(guān)聯(lián)管理：通過自動密鑰管理，只需少量或根本不需要手工配置，就可以在擴(kuò)展的網(wǎng)絡(luò)上方便精準(zhǔn)地實現(xiàn)公司的內(nèi)部網(wǎng)絡(luò)使用。一、虛擬專用網(wǎng)絡(luò)（VPN）（一）硬件VPN通過VPN進(jìn)行數(shù)據(jù)加密傳輸過程如下圖所示。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN通過WindowsServer操作系統(tǒng)自帶的路由和遠(yuǎn)程訪問功能來實現(xiàn)NAT共享上網(wǎng)和VPN網(wǎng)關(guān)的功能，實現(xiàn)在異地通過VPN客戶端訪問總部局域網(wǎng)各種服務(wù)器資源。服務(wù)器硬件：雙網(wǎng)卡，一塊接外網(wǎng)，一塊接局域網(wǎng)。在Windows2003中VPN服務(wù)稱之為“路由和遠(yuǎn)程訪問”，默認(rèn)狀態(tài)已經(jīng)安裝。只需對此服務(wù)進(jìn)行必要的配置使其生效即可。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（1）關(guān)閉Windows防火墻和Internet共享服務(wù)在“開始”→“程序”→“管理工具”→“服務(wù)”里面把WindowsFirewall/InternetConnectionSharing(ICS)停止，并設(shè)置啟動類型為“禁用”一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（2）開啟VPN和NAT服務(wù)依次選擇“開始”→“程序”→“管理工具”→“路由和遠(yuǎn)程訪問”，打開“路由和遠(yuǎn)程訪問”服務(wù)窗口。再在窗口左邊右擊本地計算機(jī)名，選擇“配置并啟用路由和遠(yuǎn)程訪問”選項。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（2）開啟VPN和NAT服務(wù)在彈出的“路由和遠(yuǎn)程訪問服務(wù)器安裝向?qū)А敝袉螕簟跋乱徊健?，進(jìn)入“路由和遠(yuǎn)程訪問服務(wù)器安裝向?qū)А钡摹芭渲谩苯缑?。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（2）開啟VPN和NAT服務(wù)由于要實現(xiàn)NAT共享上網(wǎng)和VPN撥入服務(wù)器的功能，所以在“路由和遠(yuǎn)程訪問服務(wù)器安裝向?qū)А钡摹芭渲谩苯缑胬镞x擇“自定義配置”選項，然后單擊“下一步”，進(jìn)入“自定義配置”界面。勾選“VPN訪問”和“NAT和基本防火墻”選項，單擊“下一步”一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（2）開啟VPN和NAT服務(wù)在彈出的對話框中單擊“完成”按鈕，系統(tǒng)會提示是否啟動服務(wù)，單擊“是”，系統(tǒng)會按剛才的配置啟動路由和遠(yuǎn)程訪問服務(wù)。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（3）配置NAT服務(wù)右擊“NAT/基本防火墻”選項，選擇“新增接口”選項，如下圖所示。彈出“網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）的新接口”界面。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（3）配置NAT服務(wù)在這里需要根據(jù)具體的網(wǎng)絡(luò)環(huán)境選擇連接Internet的接口，本例選擇“wan”接口。單擊“確定”按鈕，彈出“網(wǎng)絡(luò)地址轉(zhuǎn)換-wan屬性”對話框。這個網(wǎng)卡是連接外網(wǎng)的，所以選擇“公用接口連接到Internet”→“在此接口上啟用NAT”選項以及“公用接口連接到Internet”→“在此接口上啟用基本防火墻”選項一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（3）配置NAT服務(wù)單擊“服務(wù)和端口”選項卡以設(shè)置服務(wù)器，允許對外提供PPTPVPN服務(wù)。在“服務(wù)和端口”界面里點“VPN網(wǎng)關(guān)(PPTP)”，在彈出的“編輯服務(wù)”對話框中對“公用地址”、“專用地址”等進(jìn)行配置。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（3）配置NAT服務(wù)配置完參數(shù)，單擊“確定”按鈕，回到“服務(wù)和端口”選項卡，勾選“VPN網(wǎng)關(guān)(PPTP)”，如圖10-12所示，單擊“確定”按鈕完成配置。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（4）設(shè)置VPN服務(wù)①設(shè)置連接數(shù)。在“路由和遠(yuǎn)程訪問”界面，右擊右邊樹形目錄里的端口選項，選擇屬性，彈出“端口屬性”對話框。雙擊“WAN微型端口(PPTP)”選項，在彈出的對話框里根據(jù)自己的需要設(shè)置所需的連接數(shù)。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（4）設(shè)置VPN服務(wù)②設(shè)置IP地址。右鍵右邊樹形目錄里的本地服務(wù)器名，選擇“屬性”并切換到IP選項卡。選擇“靜態(tài)地址池”后單擊“添加”按鈕，根據(jù)需要接入數(shù)量任意添加一個地址范圍，但是不要和本地IP地址沖突，然后單擊“確定”按鈕。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（5）設(shè)置遠(yuǎn)程訪問策略，允許指定用戶撥入①新建用戶和組。依次選擇“開始”→“程序”→“管理工具”→“計算機(jī)管理”，彈出“計算機(jī)管理”對話框。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（5）設(shè)置遠(yuǎn)程訪問策略，允許指定用戶撥入選擇“本地用戶和組”，右擊“用戶”→“新用戶”，對用戶名和密碼進(jìn)行設(shè)置。單擊“創(chuàng)建”按鈕，在彈出的“新建組”對話框新增一個用戶，添入“組名”，單擊“添加”按鈕，如圖10-18所示。在彈出的“選擇用戶”對話框中，單擊“高級”→“立即查找”，找到剛才建立的“TEST”用戶，把它加入剛才建立的組，完成組的建立。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（5）設(shè)置遠(yuǎn)程訪問策略，允許指定用戶撥入②設(shè)置遠(yuǎn)程訪問策略。在“路由和遠(yuǎn)程訪問”窗口，右擊右面樹形目錄中的“遠(yuǎn)程訪問策略”，選擇“新建遠(yuǎn)程訪問策略”。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（5）設(shè)置遠(yuǎn)程訪問策略，允許指定用戶撥入在彈出的對話框中單擊“下一步”按鈕，填入方便記憶的“策略名”，本例填入“vpn”,單擊“下一步”。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（5）設(shè)置遠(yuǎn)程訪問策略，允許指定用戶撥入擇“VPN”選項，單擊“下一步”，然后在“新建遠(yuǎn)程訪問策略向?qū)А贝翱趩螕簟疤砑印卑粹o，把剛才新建的組加入到這里，如圖所示。之后使用默認(rèn)設(shè)置參數(shù)，依次單擊“下一步”，最后單擊“完成”，就完成了遠(yuǎn)程策略的設(shè)置。后面如果有新的用戶需要使用VPN服務(wù)，只要為該用戶新建一個帳號，并將其添加到剛才建立的“vpngroup”組就可以了。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（6）VPN客戶端配置在VPN客戶端建立一個到VPN服務(wù)端的專用連接。在桌面“網(wǎng)上鄰居”圖標(biāo)單擊右鍵選擇“屬性”，在“屬性”窗口雙擊“新建連接向?qū)А保蜷_向?qū)Т翱诤髥螕簟跋乱徊健卑粹o。接著在“網(wǎng)絡(luò)連接類型”窗口里選擇“連接到我的工作場所的網(wǎng)絡(luò)”，繼續(xù)“下一步”，在如圖10-22所示的“網(wǎng)絡(luò)連接”窗口里選擇“虛擬專用網(wǎng)絡(luò)連接”，接著為此連接命名后單擊“下一步”。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（6）VPN客戶端配置在“VPN服務(wù)器選擇”窗口里，需要輸入VPN服務(wù)端的固定內(nèi)容，可以是固定IP，也可以是動態(tài)域名,如圖所示。在接著出現(xiàn)的“可用連接”窗口保持“只是我使用”的默認(rèn)選項。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（6）VPN客戶端配置最后，為方便操作，可以勾選“在桌面上建立快捷方式”選項，單擊“完成”即出現(xiàn)如圖所示的VPN連接窗口。一、虛擬專用網(wǎng)絡(luò)（VPN）（二）軟件VPN（6）VPN客戶端配置輸入訪問VPN服務(wù)端合法帳戶后的操作就跟“遠(yuǎn)程桌面”功能一樣了，連接成功后在桌面右下角狀態(tài)欄會有圖標(biāo)顯示。連接后的共享操作，一種辦法是通過“網(wǎng)上鄰居”查找VPN服務(wù)端共享目錄，另一種辦法是在瀏覽器里輸入VPN服務(wù)端固定IP地址或動態(tài)域名也可打開共享目錄資源，這其實已經(jīng)跟在同一個局域網(wǎng)內(nèi)的操作沒什么區(qū)別了。到這里我們已經(jīng)實現(xiàn)了用一臺WindowsServer2003操作系統(tǒng)做一臺NAT和VPN遠(yuǎn)程接入服務(wù)器，實現(xiàn)了公司或家庭共享上網(wǎng)和VPN遠(yuǎn)程接入訪問本地局域網(wǎng)。二、虛擬局域網(wǎng)（VLAN）（一）標(biāo)準(zhǔn)VLAN美國電氣和電子工程師協(xié)會（IEEE）于1999年頒布了用以標(biāo)準(zhǔn)化VLAN實現(xiàn)方案的802.1Q協(xié)議標(biāo)準(zhǔn)草案。VLAN是英文VirtualLocalAreaNetwork的縮寫，即虛擬局域網(wǎng)。VLAN是一種將局域網(wǎng)設(shè)備從邏輯上劃分成一個個網(wǎng)段，從而實現(xiàn)虛擬工作組的新興數(shù)據(jù)交換技術(shù)。VLAN除了能將網(wǎng)絡(luò)劃分為多個廣播域，從而有效地控制廣播風(fēng)暴的發(fā)生，以及使網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)變得非常靈活的優(yōu)點外，還可以用于控制網(wǎng)絡(luò)中不同部門、不同站點之間的互相訪問。物理位置不同的多個主機(jī)如果劃分屬于同一個VLAN，則這些主機(jī)之間可以相互通信。物理位置相同的多個主機(jī)如果屬于不同的VLAN，則這些主機(jī)之間不能直接通信。VLAN通常在交換機(jī)或路由器上實現(xiàn)，在以太網(wǎng)幀中增加VLAN標(biāo)簽來給以太網(wǎng)幀分類，具有相同VLAN標(biāo)簽的以太網(wǎng)幀在同一個廣播域中傳送。一、虛擬局域網(wǎng)（VLAN）（二）VMwareVLANVMwarevSphere系統(tǒng)的虛擬網(wǎng)絡(luò)可為使用虛擬交換機(jī)的主機(jī)和虛擬機(jī)提供網(wǎng)絡(luò)連接。一、虛擬局域網(wǎng)（VLAN）（二）VMwareVLAN選擇ESXi主機(jī)，右側(cè)窗口選擇“配置”頁面，選擇“網(wǎng)絡(luò)”配置標(biāo)簽，可以查看虛擬網(wǎng)絡(luò)配置。默認(rèn)的標(biāo)準(zhǔn)虛擬交換機(jī)配置如圖所示。一、虛擬局域網(wǎng)（VLAN）（二）VMwareVLAN點擊虛擬交換機(jī)vSwitch0的“屬性”進(jìn)入虛擬交換機(jī)配置頁面，選擇“vSwitch”編輯配置。根據(jù)需要，可以更改標(biāo)準(zhǔn)虛擬交換機(jī)上的端口數(shù)。一、虛擬局域網(wǎng)（VLAN）（二）VMwareVLAN對于每個物理適配器，可以對虛擬交換機(jī)的工作模式進(jìn)行配置，更改速度和雙工設(shè)置。設(shè)置某些網(wǎng)卡和交換機(jī)組合的速度和雙工的界面如圖。一、虛擬局域網(wǎng)（VLAN）（二）VMwareVLANESXi支持802.1QVLAN標(biāo)記功能。ESXi通過為端口組指定VLANID提供VLAN支持，選擇“VMNetwork虛擬機(jī)端口組”編輯配置，可以設(shè)定端口組的VLANID。一、虛擬局域網(wǎng)（VLAN）（二）VMwareVLAN虛擬交換機(jī)標(biāo)記是受支持的三種標(biāo)記策略中的一種。來自虛擬機(jī)的數(shù)據(jù)包從虛擬交換機(jī)傳出時，將添加相應(yīng)的標(biāo)記。當(dāng)這些數(shù)據(jù)包返回虛擬機(jī)時，將取消對它們的標(biāo)記，虛擬交換機(jī)VLAN示意圖。二、虛擬局域網(wǎng)（VLAN）（三）混合VLAN混合VLAN指的是VLANTrunk技術(shù)(虛擬局域網(wǎng)中繼技術(shù))，是能讓連接在不同交換機(jī)上的相同VLAN中的主機(jī)互通。VLANTrunk允許VLAN數(shù)據(jù)流在交換機(jī)間傳輸，所以設(shè)備在同一VLAN，但連接到不同交換機(jī)，能夠不通過路由器來進(jìn)行通信。一個VLANtrunk不屬于某一特定VLAN，而是交換機(jī)和路由器間多個VLAN的通道。如果交換機(jī)1的VLAN1中的機(jī)器要訪問交換機(jī)2的VLAN1中的機(jī)器，我們可以把兩臺交換機(jī)的直連端口設(shè)置為Trunk端口，這樣，當(dāng)交換機(jī)把數(shù)據(jù)包從級聯(lián)口發(fā)出去的時候，會在數(shù)據(jù)包中做一個標(biāo)記（TAG），以使其它交換機(jī)識別該數(shù)據(jù)包屬于哪一個VLAN，這樣，其它交換機(jī)收到這樣一個數(shù)據(jù)包后，只會將該數(shù)據(jù)包轉(zhuǎn)發(fā)到標(biāo)記中指定的VLAN，從而完成了跨越交換機(jī)的VLAN內(nèi)部數(shù)據(jù)傳輸。三、SAN和VSAN（三）混合VLANSAN分為FC-SAN和IP-SAN（iSCSI），兩者同屬Block協(xié)議的SAN架構(gòu)，只不過前者透過光纖，后者藉由IP傳輸數(shù)據(jù)。VSAN是一種以vSphere內(nèi)核為基礎(chǔ)進(jìn)行開發(fā)、可擴(kuò)展的分布式存儲架構(gòu)。VSAN通過在vSphere集群主機(jī)當(dāng)中安裝閃存和硬盤來構(gòu)建VSAN存儲層。這些設(shè)備由VSAN進(jìn)行控制和管理，VSAN形成一個供vSphere集群使用的統(tǒng)一共享存儲層。下面以IP-SAN（iSCSI）為例講解vSphere平臺的存儲掛載過程。三、SAN和VSAN（1）選擇ESXi服務(wù)器“配置”菜單，選擇“存儲適配器”，單擊右上角“添加”，彈出“添加存儲適配器”對話框,單擊“確定”按鈕添加軟件iSCSI適配器。三、SAN和VSAN（2）選中上一步驟添加的iSCSI適配器，單擊右鍵→“屬性”，配置屬性。選中上一步驟添加的iSCSI適配器，單擊右鍵→“屬性”，配置屬性。三、SAN和VSAN（3）添加網(wǎng)絡(luò)適配器。在“iSCSI啟動器屬性”窗口，單擊“網(wǎng)絡(luò)配置”選項卡，然后單擊“添加”按鈕。三、SAN和VSAN（3）添加網(wǎng)絡(luò)適配器。在“與新VMkernel網(wǎng)絡(luò)適配器綁定”窗口，選擇一個“VMkernel”類型的網(wǎng)絡(luò)適配器作為綁定的虛擬網(wǎng)絡(luò)端口，然后單擊“確定”按鈕。三、SAN和VSAN（3）添加網(wǎng)絡(luò)適配器。在“iSCSI啟動器屬性”窗口，切換到“動態(tài)發(fā)現(xiàn)”選項卡，填寫iSCSI服務(wù)器IP地址和登錄認(rèn)證信息。具體填寫內(nèi)容及次序步驟如下：①“iSCSI啟動器屬性”窗口→“動態(tài)發(fā)現(xiàn)”選項卡；②“iSCSI啟動器屬性”窗口→“動態(tài)發(fā)現(xiàn)”選項卡→設(shè)置；③“發(fā)送目標(biāo)服務(wù)器設(shè)置”窗口輸入存儲的IP、端口；④“發(fā)送目標(biāo)服務(wù)器設(shè)置”窗口單擊“CHAP”進(jìn)入“CHAP憑證”窗口；⑤“CHAP憑證”窗口“雙向CHAP（主機(jī)驗證目標(biāo)身份）”選項勾選“從父項繼承”選項；⑥“CHAP憑證”窗口“雙向CHAP（機(jī)目標(biāo)驗證主身份）”輸入名稱和密鑰并勾選“從父項繼承”選項；三、SAN和VSAN（3）添加網(wǎng)絡(luò)適配器。接上頁⑦“CHAP憑證”窗口單擊“確定”按鈕，返回“發(fā)送目標(biāo)服務(wù)器設(shè)置”窗口；⑧“發(fā)送目標(biāo)服務(wù)器設(shè)置”窗口單擊“關(guān)閉”按鈕，返回“iSCSI啟動器屬性”窗口；⑨“iSCSI啟動器屬性”窗口單擊“關(guān)閉”按鈕，完成配置。三、SAN和VSAN（3）添加網(wǎng)絡(luò)適配器。接上頁，整個配置次序及步驟如圖。三、SAN和VSAN（4）iSCSI啟動器屬性配置完成后會提示是否重新掃描適配器，如需重新掃描，單擊“是按鈕。掃描成功后可以看到iSCSI遠(yuǎn)程存儲設(shè)備信息。三、SAN和VSAN（5）添加存儲器。①選擇ESXi主機(jī)，右側(cè)窗口切換到“存儲器”配置頁面，單擊“添加存儲器”，存儲器類型選擇“磁盤/LUN”，然后單擊“下一步”按鈕。三、SAN和VSAN（5）添加存儲器。②進(jìn)入“添加存儲器”窗口，選中上面步驟掃描到的iSCSIdisk設(shè)備，然后單擊“下一步