我在 IT 安全上发布了此内容但我觉得在这里可能更合适。我仍然不确定交叉发布礼仪，所以任何有足够高声誉的人，请随意迁移这个问题
我对 VLAN 及其与网络分段相关的优缺点有基本的了解，但我想知道在进入虚拟化环境时从哪里开始。
从安全角度来看，传统的 VLAN 分段如何与专注于虚拟环境的产品/解决方案（如 VMWare 的 vCloud 网络和安全产品）相抗衡？当您使用共置 VM 时，您依靠什么策略/技术来分段 VM 流量？
我知道这可能过于宽泛，但任何起点都会非常有帮助。不过，为了回答一个具体的问题，也许一个好的说法是 - 您是否认为虚拟网络安全产品在分割网络流量方面至少与传统 VLAN 一样好？
答案1
当您提到 vCloud 网络和安全时，您指的是 VXLAN 还是 VCDNI？
从技术上讲，它们都隔离了第 2 层网络，VLAN 也是如此，但人们必须了解 VCDNI 和 VXLAN 如何实现第 2 层的隔离。人们还必须了解 VCDNI 和/或 VXLAN 的用途。从很高的层面上讲，它们都希望扩展 VLAN 的可扩展性，而 VLAN 的理论上限为 4096（就最大 VLAN 数量而言，尽管实际上它少于 4096）。
我目前还不能对 VXLAN 进行深入的讨论，因为我只在实验室环境中尝试过一点，但我建议你看一下 IETF 草案 @http://blog.ioshints.info/2011/04/vcloud-director-networking.html。我自己已经能够证实那里的发现，至少关于从“受保护”网络进行多播的全局广播。通常，设置一个 VCDNI“网络池”（使用 vCloud Director 的术语）和一个传输 VLAN。可以轻松设置一台笔记本电脑，使其位于所有虚拟机管理程序/主机所在的物理交换机上，将所述笔记本电脑配置为位于此传输 VLAN 上，并且基本上能够获取“受保护”虚拟机的真实 MAC 地址和/或 IP 地址。
话虽如此，如果有人可以在数据中心的物理交换机环境中设置一台笔记本电脑，那么您可能需要处理比 VCDNI 或 VXLAN 的复杂性更大的问题 :)