हाइपर- V एक्स्टेंसिबल स्विच, विंडोज सर्वर 2012 में हाइपर-वी का एक प्रमुख घटक है, एक दूसरे स्तर का एक्स्टेंसिबल प्रबंधित स्विच है। एक्स्टेंसिबिलिटी का मतलब है कि डेवलपर्स के लिए हाइपर-वी में एम्बेडेड मॉड्यूल बनाने और विश्लेषण, फ़िल्टरिंग और अग्रेषण पैकेज के लिए मानक कार्यक्षमता को संशोधित / विस्तारित करना। प्रबंधक्षमता का अर्थ है कि पॉवरशेल या हाइपर-वी प्रबंधक कंसोल के माध्यम से प्रशासक को उपलब्ध सेटिंग्स का एक पूरा सेट होना, जो वर्चुअल मशीनों (वीएम) को चलाने, अलगाव, सुरक्षा और निगरानी के आवश्यक स्तर प्रदान करता है। पिछली पोस्ट में, मैंने हाइपर- V एक्स्टेंसिबल स्विच में निजी वीएलएएन (PVLAN) तकनीक के कार्यान्वयन का वर्णन किया। आज हम कई अतिरिक्त विशेषताओं को देखते हैं।

शब्दावली के संदर्भ में, हाइपर- V स्विच (या वर्चुअल स्विच) की अवधारणा ने विंडोज सर्वर 2008/2008 R2 में एक वर्चुअल नेटवर्क (वर्चुअल नेटवर्क) की अवधारणा को बदल दिया है। यदि पहले, एक दूसरे के साथ या बाहरी दुनिया के साथ वीएम इंटरैक्शन सुनिश्चित करने के लिए, आपने तीन प्रकारों में से एक का एक वर्चुअल नेटवर्क बनाया था - बाहरी, आंतरिक, निजी - अब आप एक वर्चुअल स्विच बनाते हैं, जो एक ही तीन प्रकार का हो सकता है और इसमें नीचे बताई गई सभी क्षमताएं हैं । इसके अलावा, इन क्षमताओं को वर्चुअल स्विच के एक विशिष्ट पोर्ट के लिए सेट किया गया है (अंजीर देखें।), और पोर्ट, बदले में, वर्चुअल मशीन के नाम से पहचाना जाता है जो इस पोर्ट से जुड़ा है, या बल्कि, वर्चुअल नेटवर्क एडेप्टर का नाम, क्योंकि वीएम पर कई ऐसे एडेप्टर हो सकते हैं।



इसके अलावा, मैंने हाइपर- V एक्स्टेंसिबल स्विच के लिए सेटिंग्स को तीन श्रेणियों में जांचा: सुरक्षा और अलगाव, निगरानी और गलती सहिष्णुता।

सुरक्षा और अलगाव

हाइपर-वी प्रबंधक कंसोल में, वर्चुअल नेटवर्क एडेप्टर के गुणों में एक नई उन्नत सुविधाएँ उपधारा दिखाई देती हैं। इस विंडो में पहले तीन सेटिंग्स सीधे सुरक्षा और अलगाव से संबंधित हैं।



मैक एड्रेस स्पूफिंग

डिफ़ॉल्ट रूप से, हाइपर-वी मैक एड्रेस स्पूफिंग को प्रतिबंधित करता है। दूसरे शब्दों में, यदि वीएम आउटगोइंग पैकेट में प्रेषक के मैक पते को बदलने की कोशिश करता है, तो इसका मैक एड्रेस इस मशीन के वर्चुअल नेटवर्क एडेप्टर के साथ एक अन्य मैक एड्रेस, हाइपर-वी जैसे पैकेट को ब्लॉक करता है। क्रमशः ऊपरी चेकबॉक्स सेट करना, स्पूफिंग की अनुमति देता है। हमेशा की तरह, हाइपर-वी मैनेजर कंसोल में आप जो कुछ भी कर सकते हैं और पावरशेल में और अधिक किया जा सकता है। चित्र में दिखाए गए SRV4 नाम के एक VM के लिए, मैक एड्रेस स्पूफिंग का समावेश निम्नलिखित कमांड द्वारा लागू किया गया है:

Set-VMNetworkAdapter -VMName srv4 -MacAddressSpoofing On 

डीएचसीपी सुरक्षा (डीएचसीपी गार्ड)

यह सेटिंग VM के अंदर चल रहे अनधिकृत DHCP सर्वर को ब्लॉक करने के लिए उपयोग की जानी चाहिए। तकनीकी रूप से, इस चेकबॉक्स को स्थापित करते समय, हाइपर-वी ब्लॉक डीएचसीपी को इस वीएम से पैकेट स्वीकार करता है और डीएचसीपी ग्राहकों को इस वीएम से आईपी सेटिंग्स प्राप्त करने से रोकता है।

 Set-VMNetworkAdapter -VMName srv4 -DhcpGuard On 

राउटर गार्ड

डीएचसीपी गार्ड के साथ समानता से, इस वीएम से इस चेकबॉक्स को पुनर्निर्देशित पैकेट और राउटर विज्ञापन (पुनर्निर्देशन और राउटर विज्ञापन) को स्थापित करना। इस प्रकार, वीएम नेटवर्क पर अन्य कंप्यूटरों के राउटिंग टेबल को प्रभावित नहीं कर पाएगा।

 Set-VMNetworkAdapter -VMName srv4 -RouterGuard On 

पोर्ट एक्सेस कंट्रोल लिस्ट (पोर्ट एसीएल)

प्रत्येक हाइपर-वी एक्स्टेंसिबल स्विच पोर्ट के लिए, आप अतिरिक्त सुरक्षा नियम और वीएम आइसोलेशन स्तर सेट करने के लिए एक या अधिक एक्सेस कंट्रोल लिस्ट (एसीएल) को कॉन्फ़िगर कर सकते हैं। सभी ACL सेटिंग केवल PowerShell के माध्यम से सेट की गई हैं; सूची प्रबंधन हाइपर- V प्रबंधक कंसोल में उपलब्ध नहीं है। आप कमांड के साथ सूचियों की वर्तमान स्थिति देख सकते हैं:

 Get-VMNetworkAdapterAcl -VMName srv4 

किसी सूची को जोड़ना और हटाना क्रमशः Add-VMNetworkAdapterAcl और Remove-VMNetworkAdapterAcl कमांड द्वारा किया जाता है। दोनों कमांड का सिंटैक्स समान है। प्रत्येक ACL के लिए, आपको निर्दिष्ट करना होगा:

• स्थानीय या दूरस्थ आईपी पता या मैक पता
• कार्रवाई की दिशा: आने वाला ट्रैफ़िक, आउटगोइंग ट्रैफ़िक, दोनों दिशाएँ (इनबाउंड, आउटबाउंड, दोनों)
• वास्तव में कार्रवाई: अनुमति, निषेध, उपाय (अनुमति दें, इनकार, मीटर)

डिफ़ॉल्ट रूप से, कोई ACL सेट नहीं है, और इस प्रकार किसी भी ट्रैफ़िक की अनुमति है। नीचे दिया गया उदाहरण SRV4 नामक VM के लिए IP पते 192.168.1.143 से / के लिए किसी भी यातायात को प्रतिबंधित करता है:

 Add-VMNetworkAdapterAcl -VMName srv4 -RemoteIPAddress 192.168.1.143 -Direction Both -Action Deny 

आईपी ​​पते के संबंध में, आप न केवल एक विशिष्ट पते को निर्दिष्ट कर सकते हैं, बल्कि एक सबनेट भी:

 Add-VMNetworkAdapterAcl -VMName srv4 -RemoteIPAddress 192.168.1.0/24 -Direction Both -Action Deny 

यदि ACL दोनों सबनेट और इस सबनेट से विशिष्ट पते के लिए सेट किए गए हैं, तो पते के लिए ACL की उच्च प्राथमिकता है, अर्थात, "अधिक विशिष्ट" नियम का अधिक प्रभाव पड़ता है। उदाहरण के लिए, निम्न Get-VMNetworkAdapterAcl कमांड का परिणाम दिखाता है:



जैसा कि आप देख सकते हैं, 192.168.1.0/24 सबनेट पर प्रतिबंध निर्धारित है, और साथ ही, पते 192.168.1.143 के लिए यातायात की अनुमति है। नतीजतन, आईपी ट्रैफ़िक पूरे सबनेट से केवल 143 वें पते पर संभव है।

मीटर कार्रवाई आपको संबंधित एसीएल बनाने के क्षण से एक निर्दिष्ट आईपी या मैक पते के लिए आने वाले और / या बाहर जाने वाले ट्रैफ़िक की मात्रा को मापने की अनुमति देती है, उदाहरण के लिए, निम्न आदेश में पता 192.168.1.143 से आने वाले ट्रैफ़िक का माप शामिल है:

 Add-VMNetworkAdapterAcl -VMName srv4 -RemoteIPAddress 192.168.1.143 -Direction Inbound -Action Meter 

परिणाम एक ही Get-VMNetworkAdapterAcl का उपयोग करके देखा जा सकता है:

निगरानी

पोर्ट मिररिंग तंत्र की बदौलत ट्रैफिक मॉनिटरिंग को लागू किया जा सकता है। मिररिंग को कॉन्फ़िगर करने के लिए, आपको हाइपर- V प्रबंधक में जानकारी का स्रोत निर्दिष्ट करना होगा, यह यहाँ किया गया है:



और फिर वांछित वीएम की सेटिंग्स में, जो ट्रैफ़िक की निगरानी करेगा, उसी क्षेत्र में गंतव्य का चयन करें। PowerShell में, यह Set-VMNetworkAdapter कमांड के मापदंडों के साथ किया जाता है:

 Set-VMNetworkAdapter -VMName srv4 -PortMirroring Destination 

उसके बाद, VM SRV3 पोर्ट पर आने वाले और आने वाले सभी ट्रैफ़िक को कॉपी करके VM SRV4 पोर्ट पर भेज दिया जाता है। यह केवल SRV4 में ट्रैफ़िक विश्लेषण के लिए आवश्यक सॉफ़्टवेयर स्थापित करने के लिए बनी हुई है। एक महत्वपूर्ण शर्त यह है कि दोनों VMs को एक ही वर्चुअल स्विच से जोड़ा जाना चाहिए।

दोष सहिष्णुता

वर्चुअल नेटवर्क एडॉप्टर के उन्नत गुणों में अंतिम विकल्प समूह नेटवर्क एडेप्टर (एनआईसी टीमिंग) के समूह की तकनीक से संबंधित है, दोष सहिष्णुता से संबंधित है।



एनआईसी टीमिंग विंडोज सर्वर 2012 की एक मानक विशेषता है, जो एक अलग पद के योग्य, आम तौर पर बोल रही है। यह सुविधा आपको एक समूह में कई भौतिक नेटवर्क एडेप्टर को संयोजित करने की अनुमति देती है और एक तरफ, नेटवर्क ट्रैफ़िक की दोष सहिष्णुता प्रदान करती है जब कोई भी "नेटवर्क कार्ड" विफल हो जाता है, दूसरी ओर, समूह में शामिल एडेप्टर की बैंडविड्थ को एकत्र करता है।

विभिन्न कारणों से, आप होस्ट मशीन पर समय को सक्षम नहीं करना चाह सकते हैं। हालाँकि, यदि होस्ट में एक से अधिक भौतिक नेटवर्क एडाप्टर हैं, तो आप अतिथि OS के अंदर NIC टीमिंग का उपयोग कर सकते हैं। कल्पना कीजिए कि मेजबान पर दो नेटवर्क कार्ड हैं। यदि कुछ वीएम में दो वर्चुअल नेटवर्क एडेप्टर हैं, तो ये एडेप्टर बाहरी प्रकार के दो वर्चुअल स्विच के माध्यम से दो भौतिक कार्ड से जुड़े हैं, और विंडोज सर्वर 2012 को वीएम के अंदर स्थापित किया गया है, तो आप अतिथि ओएस के अंदर एनआईसी टीमिंग को कॉन्फ़िगर कर सकते हैं। और इस तरह के एक वीएम समय, और दोष सहिष्णुता, और बढ़ी हुई थ्रूपुट के लाभों का लाभ उठाने में सक्षम होगा। लेकिन हाइपर-वी के लिए यह समझने के लिए कि जब एक भौतिक एडाप्टर विफल हो जाता है, तो इस वीएम के लिए ट्रैफ़िक को किसी अन्य भौतिक एडाप्टर में स्थानांतरित करने की आवश्यकता होती है, समय-समय पर शामिल प्रत्येक वर्चुअल एनआईसी के गुणों में उल्लिखित चेकबॉक्स को सेट करना आवश्यक है। PowerShell में, एक समान सेटिंग निम्नानुसार निर्दिष्ट की गई है:

 Set-VMNetworkAdapter -VMName srv4 -AllowTeaming On 

ऊपर चर्चा की गई सभी सेटिंग्स VMs को चलाने के लिए सेट की जा सकती हैं और तुरंत प्रभाव डालती हैं। बेशक, यह हाइपर-वी एक्स्टेंसिबल स्विच की सभी कार्यक्षमता नहीं है। हाइपर-वी में उपलब्ध cmdlets की सूची को देखने के बाद, आप कई और दिलचस्प चीजें पा सकते हैं।

अंत में, मैं यह नोट करना चाहता हूं कि 26 नवंबर को मास्को में विंडोज सर्वर 2012 और सिस्टम सेंटर 2012 को समर्पित आईटी कैंप श्रृंखला से एक मुफ्त संगोष्ठी होगी। संगोष्ठी का संचालन मेरे सहयोगियों जॉर्जी गाज़ीव और साइमन पेरिमन (रेडमंड) द्वारा किया जाएगा। आप जिंदा उत्पादों को देख सकते हैं और सवाल पूछ सकते हैं।

आशा है कि सामग्री सहायक थी।
धन्यवाद!