[ThinkIT] 第8回：ブレードサーバで構築するVMware ESX ServerのVLANネットワーク (3/4)

ESX Serverソフトウェアで仮想スイッチをセットアップし、全VMトラフィックにVLANタグを追加する。システム管理者は、すべてのVMで同じVLANタグを使う設定も、また、VMごと（またはVMグループごと）にVLANタグを変える設定も可能だ。VM間通信の必要性に応じて、VLANタグの付け方が変ってくる。ごく少数のVMだけが互いに通信するのであれば、これらのVMを1つのグループにまとめると良いだろう。そして、グループ内のVMから送信される全トラフィックに、同じVLAN IDタグを付けるようスイッチを構成する。トラフィックへのタグ付け処理をスイッチに任せることで、ESX Serverの性能が向上する。これは、VLANタグとパケット検査にかかる負荷や、Dell Power-Connect5316MのASIC（Application-Specific IntegratedCircuit）に処理タスクを回す負荷をESX Serverから取り除くことができるからだ。

NIC 1に接続したPowerConnect 5316Mスイッチ上でVLANをセットアップする。このスイッチは、図1の「スイッチ1」にあたる。サーバブレードに接続されている全内蔵ポートで、VMotion用のVLANを構成する（図中、VLAN ID=Aと記載された箇所）。サービス・コンソール用のNIC（NIC 0）に接続したPowerConnectスイッチ（図2の「スイッチ0」）には、このような構成はしない。

スイッチ1上で、1つの外部ポートをVLAN Aのメンバーに設定する。外部ポートの固定VLAN ID（PVID）が4095に設定されているか確認してほしい。これで、タグなしトラフィックをすべて排除することができる。あるいは別のオプションとして、VLAN未対応の外部システムから、タグなしトラフィックをポートで受信するような設定も可能だ。このときスイッチは、VMotion向けのトラフィックにタグを自動的に付加する。このオプションは、セキュリティが若干甘くなってしまうが、タグなしトラフィックをすべて排除してしまう最初のオプションに比べれば管理しやすい。この外部ポートは、VMotionトラフィックの送受信のみに利用するようお勧めする。この方法はいわば、「外部からサーバブレード宛てに送信されてきたVMotionトラフィックは、このポートを通過しなければならない」という制約を作る構成法だ。

希望に応じて、スイッチ1の残りの外部ポートを特定のVMVLANメンバーに割り当てる。ポートを特定のVM VLANに割り当てることで、各種のVMから送信されるトラフィックを切り離すことができる。