[cmer81]

Salut,

Voila pour toi

[arpamaje]

Bonjour à tous,

Je viens de découvrir ce thread, qui parle d'une de mes problématiques de partage d'un réseau local entre les 2 hosts de mon PCC, avec un proxy pour accès extérieur. Mais malheureusement quelques éléments de réponses sont manquants dans les posts.

La configuration qui fonctionne est d'avoir des VM 1 NIC (VM Network + VMXNET 3) en sous-réseaux 192.168.x.0 et une VM Proxy 2 NIC (VM Network + VMXNET 3)

Je doute de la bonne sécurité de la configuration si toutes les VM sont sur VM Network, et je cherche des solutions.

Freemaster, post 08/04/2012 : Peux-tu indiquer comment tu crées ton switch virtuel "vm local" ?

cmer81, post 08/04/2012 : Peux-tu remettre à disposition l'image du lien http://miroir.cmer.fr/cmer/reseaux.PNG ?

steph10200, post 08/04/2012 : Peux-tu remettre à disposition l'image du lien http://demo.ovh.net/fr/859f5794a382a...fce58831e6ab8/
?

Merci,

[Math33]

oles a donné quelques indices dans le thread suivant :
http://forum.ovh.com/showthread.php?t=81925

Plus particulièrement :

La négociation avec Cisco avance mieux et on pense
inclure Nexus 1000v dans l'offre par défaut. On doit
maintenant réfléchir comment le faire, en terme de
prix, la migration de l'existant mais surtout plein
de nouvelles fonctionnalités. La liste est longe et
plein de choses nouvelles sont possible comme par
exemple la revente jusqu'à 4000 infrastructures
privées sur un même pCC. Vos clients peuvent vous
commander 5GHz de CPU avec 12Go de RAM sur 14VM
dans un réseau isolé avec un /27 privé et vous
pouvez gérer jusqu'à 4000 clients comme ça.

[neyz]

Bonjour,

y a t-il du nouveau concernant tout ce qui est vDS, vShield et Nexus 1000v ?

Merci !

[cmetge]

Bonjour,
Je viens aux nouvelles concernant l'installation d'un firewall dans l'offre private_cloud, une date? Cisco ASA?

Merci

[HeleneC]

Pour le moment on a désactivé la fonctionnalité vDS du pCC : elle n'est pas stable sur l'infra qu'on propose et n'est plus supportée telle qu'elle par VMware.
Il y avait trop de plantages qui rendaient indisponibles les infras des clients.

Pour le moment pas de solution alternative, mais le Cisco 1000v arrive très bientôt sur pCC, donc ca permettra de mieux gérer ses configurations réseaux.

[Freemaster]

si tu as plusieurs hôtes esx, effectivement les switch locaux ne seront pas utiles...
il te faudra passer par un swicth distribué, encore faut-il que ta licence le permet
http://www.vmware.com/fr/technical-r...resources.html

sinon VPN

[steph10200]

Bonjour,

Merci pour tes infos,

oui, mais ça reprend ce que j'ai dis plus haut, tant que tu as tes VM sur le même hôte tu peux utiliser le switch local group, mais j'ai plusieurs hôtes esx ( pcc ), qui ont chacun leur local port group indépendant.

Dans mon lan, j'ai créé un vlan avec un vswitch avec un idvlan, pas de souci, mais la, sur les esx du pcc j'ai pas la main pour créer un nouveau vswitch avec un nouvel id vlan indépendant du vlan "public", je n'ai donc aucun moyen de mettre mon LAN privé sur d'autres vswitch si je souhaite toujours bénéficier de l'interconnexion de mes X hotes esx de mon datacenter virtuel.


Schema réseau de l'infra avec 2 hotes :
http://demo.ovh.net/fr/859f5794a382a...fce58831e6ab8/


Non ? je fais fausse route ?

[Freemaster]

Je fonctionne comme cela

http://miroir.cmer.fr/cmer/reseaux.PNG

c'est exactement comme ça que je le voyais !

[cmer81]

et bien... crées toi un nouveau switch virtuel, relier à aucune carte physique

par exemple "vm local"

c'est ce que je fais moi

Je fonctionne comme cela

http://miroir.cmer.fr/cmer/reseaux.PNG

Apres tu peux aussi faire du VPN entre tes serveurs et le firewall je fonctionne aussi comme sa pour mes serveurs qui sont ailleur

exemple de routage pour mon serveur beta au canada

C:\Users\Cedric>tracert 91.121.63.11

Détermination de l'itinéraire vers 91-121-63-11.ovh.net [91.121.63.11]
avec un maximum de 30 sauts*:

  1    <1 ms    <1 ms    <1 ms  FREEBOX [192.168.1.254]
  2    22 ms    21 ms    23 ms  88.182.***.***
  3    22 ms    24 ms    23 ms  213.228.36.126
  4    24 ms    23 ms    23 ms  toulouse-6k-1-v800.intf.routers.proxad.net [212.
27.56.117]
  5    30 ms    31 ms    29 ms  bordeaux-crs16-1-be1005.intf.routers.proxad.net
[212.27.50.85]
  6    35 ms    35 ms    35 ms  bzn-crs16-1-be1100.intf.routers.proxad.net [212.
27.51.57]
  7    36 ms    36 ms    36 ms  th2-crs16-1-be2000.intf.routers.proxad.net [212.
27.57.209]
  8     *        *       37 ms  th2-1-6k.fr.eu [213.186.32.181]
  9    36 ms    37 ms    37 ms  gsw-g1-a9.fr.eu [91.121.128.164]
 10    40 ms    40 ms    40 ms  rbx-g1-a9.fr.eu [91.121.215.151]
 11    39 ms     *       45 ms  vss-3-6k.fr.eu [94.23.122.237]
 12    41 ms    40 ms    41 ms  firewall.cmer.fr [178.32.77.68]
 13   127 ms   126 ms   130 ms  91-121-63-11.ovh.net [91.121.63.11]

Itinéraire déterminé.

Comme tu voie l'ip 91* route sur le firewall qui ensuite part direct au quebec via un tunnel VPN

Le tout avec PFsense

[Freemaster]

et bien... crées toi un nouveau switch virtuel, relier à aucune carte physique

par exemple "vm local"

c'est ce que je fais moi

[steph10200]

Bonjour,


oui, je sais bien, sauf, que le local port group est local à chaque hote, et que je n'ai pas l'intention de n'utiliser qu'un seul host !
j'ai prévu un équilibrage en fonction de l'usage de mes différentes VM donc de pouvoir déplacer d'un hote sur un autre tout en conservant l’accès réseau.

une VM sur l'hote 1 dans le local port group ne pingera pas une VM sur l'hote 2 également dans le local port group.

au départ c'est ce que j'avais fait, mon FW entre VMNetwork et local port, mais j'ai déchanté quand j'ai basculé une VM sur un autre hôte, plus d’accès réseau.


ou alors j'ai loupé qqch ?

[Freemaster]

ça te sert à quoi un fw, si toutes tes machines sont sur le vm network ?

ton fw as 2 cartes réseaux, l'une sur la vm network avec l'ip publique
et l'autre sur local port group avec une ip privé, genre 192.168.0.1

toutes les autres machines doivent avoir une seule carte et être sur le local port group, avec comme passerelle 192.168.0.1, l'ip du fw

si ton fw fait bien routeur, et dns bien renseigné, tu dois pourvoir sortir sur le net depuis les machnines...

[steph10200]

Bonjour,

sur mon pcc, j'ai installé un firewall en frontal, pfsense pour ne pas le citer.

J'ai néanmoins une question,

mon fw dispose de 2 interfaces réseau (normal quoi).

mon FW porte toutes les adresse IP publiques et fait du NAT sur mes VM en adressage privé.

pour que toutes mes VM et le firewall puisse dialoguer quel que soit l’hôte sur lequel tournent les machines, je ne peux pas utiliser le "local port Group" qui ne permet de dialoguer entre les VM que sur un même hôte, toutes mes machines utilisent donc le "vm network"

je trouve pas ça très sécure puisqu'il est relativement facile de passer outre le firewall, toutes les VM étant dans le même réseau.


Avez vous fait ce même genre de config ?

Y a t il une autre solution pour avoir un réseau privé accessible entre mes hôtes et indépendant de mon réseau vm network privé ?

Merci de vos réponses.