![分割虚拟网络流量](https://linux22.com/image/607600/%E5%88%86%E5%89%B2%E8%99%9A%E6%8B%9F%E7%BD%91%E7%BB%9C%E6%B5%81%E9%87%8F.png)
我在 IT 安全上发布了此内容但我觉得在这里可能更合适。我仍然不确定交叉发布礼仪,所以任何有足够高声誉的人,请随意迁移这个问题
我对 VLAN 及其与网络分段相关的优缺点有基本的了解,但我想知道在进入虚拟化环境时从哪里开始。
从安全角度来看,传统的 VLAN 分段如何与专注于虚拟环境的产品/解决方案(如 VMWare 的 vCloud 网络和安全产品)相抗衡?当您使用共置 VM 时,您依靠什么策略/技术来分段 VM 流量?
我知道这可能过于宽泛,但任何起点都会非常有帮助。不过,为了回答一个具体的问题,也许一个好的说法是 - 您是否认为虚拟网络安全产品在分割网络流量方面至少与传统 VLAN 一样好?
答案1
当您提到 vCloud 网络和安全时,您指的是 VXLAN 还是 VCDNI?
从技术上讲,它们都隔离了第 2 层网络,VLAN 也是如此,但人们必须了解 VCDNI 和 VXLAN 如何实现第 2 层的隔离。人们还必须了解 VCDNI 和/或 VXLAN 的用途。从很高的层面上讲,它们都希望扩展 VLAN 的可扩展性,而 VLAN 的理论上限为 4096(就最大 VLAN 数量而言,尽管实际上它少于 4096)。
我目前还不能对 VXLAN 进行深入的讨论,因为我只在实验室环境中尝试过一点,但我建议你看一下 IETF 草案 @http://blog.ioshints.info/2011/04/vcloud-director-networking.html。我自己已经能够证实那里的发现,至少关于从“受保护”网络进行多播的全局广播。通常,设置一个 VCDNI“网络池”(使用 vCloud Director 的术语)和一个传输 VLAN。可以轻松设置一台笔记本电脑,使其位于所有虚拟机管理程序/主机所在的物理交换机上,将所述笔记本电脑配置为位于此传输 VLAN 上,并且基本上能够获取“受保护”虚拟机的真实 MAC 地址和/或 IP 地址。
话虽如此,如果有人可以在数据中心的物理交换机环境中设置一台笔记本电脑,那么您可能需要处理比 VCDNI 或 VXLAN 的复杂性更大的问题 :)