ファイアウォールルールセット gdbserver との競合により、vMotionがタイムアウトエラーで失敗する

Products

• VMware vCenter Server
• VMware vSphere ESXi

Issue/Introduction

免責事項: これは英文の記事「vMotion fails with timeout error due to firewall ruleset conflict with gdbserver」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事を参照してください。

• vMotion が以下のエラーで失敗します。
  The vMotion migrations failed because the ESX hosts were not able to connect over the vMotion network.  Check the vMotion network settings and physical network configuration.
• ソース ESXi ホストから宛先ホストへの接続テスト (nc -z <ターゲット IP> 8000) が失敗します。
• vMotion VMkernel インターフェイス間の vmkping は成功します。
• 宛先ホストで ESXi ファイアウォールを無効にする (esxcli network firewall set --enabled false) と、vMotion が正常に完了します。

Environment

VMware vSphere

Cause

この問題は、gdbserver ファイアウォールルールセットが有効になっており、送信元 ESXi ホストの vMotion IP アドレスを含まない制限的な許可 IP リストが設定されている場合に発生します。

gdbserver ルールセットは、vMotion ポート（TCP 8000）を含む広範囲のポート範囲（TCP 1000～9999）を定義しています。
vMotion パケットが宛先ホストに到着すると、ファイアウォールエンジンはまず gdbserver ルールと照合します。
送信元 IP アドレスが gdbserver の許可リストに含まれていない場合、パケットはデフォルトの vMotion ルールセットで処理される前に破棄されます。

Resolution

この問題を解決するには、以下のいずれかの操作を実行してください。

• オプション 1: gdbserver ルールセットを無効にする (使用していない場合に推奨)
  影響を受ける ESXi ホストで以下のコマンドを実行します。
  esxcli network firewall ruleset set -e false -r gdbserver
  
  
• オプション 2: vMotion ネットワークを gdbserver の許可 IP リストに追加する
  gdbserver が必要な場合は、送信元ホストのネットワークを許可リストに追加します。
  esxcli network firewall ruleset allowedip add -i <送信元 vMotion ネットワーク> -r gdbserver

 

Additional Information

vMotion fails with timeout error due to firewall ruleset conflict with gdbserver