仮想マシンを対向サイトに移行した後、HCX L2 延伸を経由する通信が疎通しなくなります。

Products

• VMware NSX
• VMware HCX
• VMware Cloud on AWS

Issue/Introduction

免責事項：これは英文の記事「Communication via HCX L2 Extension fails after migrating a virtual machine to the destination site.」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

• ソースサイトでは NSX の分散ファイアウォールが利用されています。
• その分散ファイアウォールのルールでは、L2 延伸のソースネットワークをグループメンバーとするグループが利用されています。
  • 例えば、「送信元」にそのグループを適用している許可ルール等
• 分散ファイアウォールの最後には Any/Any/Drop ルールが存在します。
• 移行される仮想マシンは、元々はそのソースネットワークとなっている NSX セグメントに接続されています。

 

Environment

VMware NSX
VMware HCX
VMware Cloud on AWS

Cause

これは不具合ではなく設計の問題です。

ソースサイトからデスティネーションサイトに仮想マシンが移行されたあとは、その仮想マシンは L2 延伸の宛先ネットワークに接続され、もはやソースサイト側の NSX セグメントには接続されません。

これにより、その仮想マシンはソースサイト側のグループメンバーから外れます。

仮想マシンがグループメンバーから外れることで、ソースサイトのその分散ファイアウォールルールの適用外となり、最後のドロップルールで通信は遮断されます。

Resolution

NSX セグメントをグループメンバーとするグループの設計を見直してください。

暫定対処として、移行する仮想マシンの IP アドレスを含む IP アドレスレンジをグループメンバーとしてグループに追加してください。