SDDC의 관리 네트워크 대역 IP 할당

SDDC를 배포할때 사전에 반드시 정해놓아야 하는 것중에 하나는 관리 네트워크 대역입니다.

이 관리 네트워크는 배포후에 변경될 수 없음으로 반드시 사전에 신중에 신중을 기해 결정해야 합니다.

 

관리 네트워크는 배포되는 SDDC의 관리 목적으로만 사용됩니다.

내부 호스트에 구성되는 ESXi를 비롯하여, , vMotion, vCenter, NSX, HCX, SRM 등

VMware Cloud on AWS에 사용될 서비스의 SDDC의 모든 IP 구성을 포함하고 있으며,

사용자가 특정 IP를 특정 서비스에 할당하거나, 할당된 IP를 임의로 변경할 수 없습니다.

또한, 일반 워크로드용 가상머신에 해당 IP 대역을 할당할 수 없습니다.

 

즉, 처음부터 모든 IP는 각자의 사용 목적이 지정되어 있으며,

할당된 IP의 사용 및 관리는 사용자가 아닌 VMware에 의해 이루어집니다.

만약 SRM을 사용하지 않는다 하더라도, 예약된 SRM 대역을 다른 용도로 사용할 수 없습니다.

 

SDDC의 관리 네트워크 대역은 아무 네트워크가 가능한 것이 아니라, 반드시 /16, /20, /23 중에서 선택해야 합니다.

각 서브넷별로 이미 최대 관리 범위가 정해져 있어, 확장가능한 호스트수를 예상하여 선정해야 하며,

/16은 ESXi 호스트 4,091대까지, /20을 사용한다면 251대까지, /23을 사용한다면 27대까지 확장이 가능합니다.

 

실질적으로 SDDC 내 최대 호스트의 수가 현재 300대로 제한되어 있음으로,

/16은 아직까지 큰 의미는 가지지 못하며, 향후 제한이 풀릴경우에 확장을 고려한다고 볼 수 있습니다.

 

/23의 경우에는 특정한 목적이나 확장이 전혀 고려되지 않는 경우

또는 일정 기간 사용후 폐기 예정인 SDDC에서만 배포하는 것을 권장합니다.

또한, HCX나 SRM을 이용한 DR 구성시에 /23을 사용하게 되면 HCX나 SRM site paring이 40개까지로 제한됩니다.

물론 40개의 수량으로도 충분한 확장성을 제공하지만,

여러개의 싸이트를 구성하는데 있어서는 확장에 제약이 될 수 있습니다.

 

따라서, 일반적인 배포환경의 관리 네트워크는 /20을 사용하기를 권장합니다.

 

관리 서브넷	단일 AZ 기준	멀티 AZ 기준
/16	4,091 호스트	300 호스트
/20	251 호스트	246 호스트
/23	27 호스트	22 호스트

 

단, 클러스터당 1~2대의 호스트는 장애 및 유지보수 상황에 대비하여 예약되어 있습니다.

산술적으로 /23의 경우 동일 SDDC 내에 ESXi 호스트 기준으로 27대까지 구성 가능하지만,

현재 클러스터 구성상 16대까지만 구성이 가능함으로 2개 클러스터로 나누어 구성해야 합니다.

이 경우, 각 클러스터별로 2개의 예비 호스트가 지정되어 총 4개의 IP대역을 사용할 수 없으며,

2개 클러스터를 합쳐 총 23대의 호스트만 구성이 가능합니다.

 

관리 네트워크는 RFC1918에서 정의된 사설 네트워크에 포함되어야 합니다.

이 중에 일부 네트워크는 VMware Cloud on AWS 내부 관리 목적으로 예약되어 있음으로

해당 IP 대역을 제외하면서, 기업 환경에서 기존 사용 중인 IP 대역과 충돌되지 않는 대역을 사용해야 합니다.

 

subnet Class	가능대역	예약 대역
10.0.0.0/8	10.2.0.0 ~ 10.255.255.255	10.0.0.0~10.1.255.555 (10.0.0.0/15)
172.16.0.0/12	172.16.0.0 ~ 172.30.255.255	172.31.0.0~172.31.255.255 (172.31.0.0/16)
192.168.0.0/16	192.168.0.0 ~ 192.168.255.255

 

구성 이후, On-premise와의 연결에 있어 L3 라우팅 프로토콜인 BGP를 통해 서로의 정보를 교환합니다.

만약 route-based VPN을 통해 on-premises와 연결한다면, 해당 구성된 /16, /20, /23 대역이 BGP를 통해 광고되겠지만,

Direct Connect를 통해 연결된다면, BGP 광고대역은 3개의 작은 네트워크 단위로 쪼개져 광고되게 됩니다.

보안을 위해 BGP access-list가 구성되어 있을 경우 이 부분에 대한 예외가 필요합니다.

 

관리 대역	route-based VPN 광고 대역	DX 광고 대역
10.2.0.0/16	10.2.0.0/16	10.2.0.0/17 10.2.128.0/19 10.2.192.0/18
10.2.0.0/20	10.2.0.0/20	10.2.0.0/21 10.2.8.0/23 10.2.12.0/22
10.2.0.0/23	10.2.0.0/23	10.2.0.0/24 10.2.1.0/26 10.2.1.128/25