vSphere 可用性 - VMware

Transcription

1 Update 1 VMware vsphere 6.0 VMware ESXi 6.0 vcenter Server 6.0 在本文档被更新的版本替代之前, 本文档支持列出的每个产品的版本和所有后续版本 要查看本文档的更新版本, 请访问 ZH_CN

2 最新的技术文档可以从 VMware 网站下载 : VMware 网站还提供最近的产品更新信息 您如果对本文档有任何意见或建议, 请把反馈信息提交至 : docfeedback@vmware.com 版权所有 VMware, Inc. 保留所有权利 版权和商标信息 VMware, Inc Hillview Ave. Palo Alto, CA 北京办公室北京市海淀区科学院南路 2 号融科资讯中心 C 座南 8 层 上海办公室上海市浦东新区浦东南路 999 号新梅联合广场 23 楼 广州办公室广州市天河北路 233 号中信广场 7401 室 2 VMware, Inc.

3 目录 关于 vsphere 可用性 5 1 业务连续性和最小化停机时间 7 减少计划的停机时间 7 防止非计划停机时间 8 vsphere HA 提供快速中断恢复 8 vsphere Fault Tolerance 提供连续可用性 9 2 创建和使用 vsphere HA 群集 11 vsphere HA 的工作方式 11 vsphere HA 接入控制 18 vsphere HA 互操作性 24 创建和配置 vsphere HA 群集 26 vsphere HA 群集的最佳做法 33 3 为虚拟机提供 Fault Tolerance 37 Fault Tolerance 的工作方式 37 Fault Tolerance 用例 38 Fault Tolerance 要求 限制和许可 38 Fault Tolerance 互操作性 39 为 Fault Tolerance 准备群集和主机 40 使用 Fault Tolerance 43 Fault Tolerance 的最佳做法 46 旧版 Fault Tolerance 48 索引 51 VMware, Inc. 3

4 4 VMware, Inc.

5 关于 vsphere 可用性 目标读者 vsphere 可用性 介绍提供专业连续性的解决方案, 包括如何建立 vsphere High Availability (HA) 和 vsphere Fault Tolerance 此信息专供需要通过 vsphere HA 和 Fault Tolerance 解决方案提供业务连续性的用户使用 本书的目标读者为熟悉虚拟机技术和数据中心操作且具有丰富经验的 Windows 或 Linux 系统管理员 VMware, Inc. 5

6 6 VMware, Inc.

7 业务连续性和最小化停机时间 1 无论是计划停机时间还是非计划停机时间, 都会带来相当大的成本 但是, 用于确保更高级别可用性的传统解决方案都需要较大开销, 并且难以实施和管理 VMware 软件可为重要应用程序提供更高级别的可用性, 并且操作更简单, 成本更低 使用 vsphere, 组织可以轻松提高为所有应用程序提供的基准级别, 并且以更低成本和更简单的操作来实现更高级别的可用性 使用 vsphere, 您可以 : 独立于硬件 操作系统和应用程序提供更高可用性 减少常见维护操作的计划停机时间 在出现故障时提供自动恢复 vsphere 可以减少计划的停机时间, 防止出现非计划停机, 并迅速从断电中恢复 本章讨论了以下主题 : 第 7 页, 减少计划的停机时间 第 8 页, 防止非计划停机时间 第 8 页, vsphere HA 提供快速中断恢复 第 9 页, vsphere Fault Tolerance 提供连续可用性 减少计划的停机时间 计划的停机时间通常占数据中心停机时间的 80% 以上 硬件维护 服务器迁移和固件更新均需要将物理服务器停机 为最小化此停机时间的影响, 会强制组织延迟维护, 直到出现不便且难以调度的停机时间段 通过 vsphere, 组织可以显著减少计划的停机时间 由于 vsphere 环境中的工作负载无需停机或服务中断就可以动态移动到其他物理服务器, 所以服务器维护无需应用程序和服务停机就可以执行 通过 vsphere, 组织可以执行以下任务 : 消除常见维护操作的停机时间 消除计划的维护时间段 随时执行维护, 无需中断用户和服务 由于 VMware 环境中的工作负载无需中断服务即可动态移动到不同的物理服务器或基础存储器, 所以, 通过 vsphere 中的 vsphere vmotion 和 Storage vmotion 功能, 组织可以减少计划的停机时间 管理员可以快速而完整地执行透明的维护操作, 无需强制调度不方便的维护时间段 VMware, Inc. 7

8 防止非计划停机时间 在 ESXi 主机为应用程序的运行提供稳定平台时, 组织还必须保护自身, 避免出现硬件或应用程序故障所导致的非计划停机时间 vsphere 将重要功能构建到数据中心基础架构中, 这有助于避免出现非计划停机时间 这些 vsphere 功能是虚拟基础架构的一部分, 因此, 对操作系统以及虚拟机中运行的应用程序而言是透明的 这些功能可以进行配置, 而且可供物理系统上的所有虚拟机使用, 从而降低成本并降低实现高可用性的复杂程度 vsphere 中内置的密钥可用性功能 : 共享存储器 通过在共享存储器 ( 如光纤通道 iscsi SAN 或 NAS) 上存储虚拟机文件来消除单一故障点 可以使用 SAN 镜像和复制功能将虚拟磁盘的更新副本保留在灾难恢复站点 网络接口绑定 允许单个网卡发生故障 存储多路径 允许存储路径发生故障 除了这些功能外,vSphere HA 和 Fault Tolerance 功能分别通过提供中断快速恢复和连续可用性来最小化或消除非计划停机时间 vsphere HA 提供快速中断恢复 vsphere HA 利用配置为群集的多台 ESXi 主机, 为虚拟机中运行的应用程序提供快速中断恢复和具有成本效益的高可用性 vsphere HA 通过以下方式保护应用程序可用性 : 通过在群集内的其他主机上重新启动虚拟机, 防止服务器故障 通过持续监控虚拟机并在检测到故障时对其进行重新设置, 防止应用程序故障 通过在仍然有权访问其数据存储的其他主机上重新启动受影响的虚拟机, 可防止出现数据存储可访问性故障 如果虚拟机的主机在管理或 Virtual SAN 网络上被隔离, 它会通过重新启动这些虚拟机来防止网络隔离 即使网络已分区, 仍会提供此保护 与其他群集解决方案不同,vSphere HA 提供基础架构并使用该基础架构保护所有工作负载 : 无需在应用程序或虚拟机内安装特殊软件 所有工作负载均受 vsphere HA 保护 配置 vsphere HA 之后, 不需要执行操作即可保护新虚拟机 它们会自动受到保护 可以将 vsphere HA 与 vsphere Distributed Resource Scheduler (DRS) 结合使用以防止出现故障, 以及在 群集内的主机之间提供负载平衡 与传统的故障切换解决方案相比,vSphere HA 具有多个优势 : 最小化设置减少了硬件成本和设置提高了应用程序的可用性 DRS 和 vmotion 集成 设置 vsphere HA 群集之后, 群集内的所有虚拟机无需额外配置即可获得故障切换支持 虚拟机可充当应用程序的移动容器, 可在主机之间移动 管理员会避免在多台计算机上进行重复配置 使用 vsphere HA 时, 必须拥有足够的资源来对要通过 vsphere HA 保护的主机数进行故障切换 但是,vCenter Server 系统会自动管理资源并配置群集 虚拟机内运行的任何应用程序的可用性变得更高 虚拟机可以从硬件故障中恢复, 提高了在引导周期内启动的所有应用程序的可用性, 而且没有额外的计算需求, 即使该应用程序本身不是群集应用程序也一样 通过监控和响应 VMware Tools 检测信号并重新启动未响应的虚拟机, 可防止客户机操作系统崩溃 如果主机发生了故障, 并且在其他主机上重新启动了虚拟机, 则 DRS 会提出迁移建议或迁移虚拟机以平衡资源分配 如果迁移的源主机和 / 或目标主机发生故障, 则 vsphere HA 会帮助从该故障中恢复 8 VMware, Inc.

9 第 1 章业务连续性和最小化停机时间 vsphere Fault Tolerance 提供连续可用性 vsphere HA 通过在主机出现故障时重新启动虚拟机来为虚拟机提供基本级别的保护 vsphere Fault Tolerance 可提供更高级别的可用性, 允许用户对任何虚拟机进行保护以防止主机发生故障时丢失数据 事务或连接 Fault Tolerance 通过确保主虚拟机和辅助虚拟机的状态在虚拟机的指令执行的任何时间点均相同来提供连续可用性 如果运行主虚拟机的主机或运行辅助虚拟机的主机发生故障, 则会发生即时且透明的故障切换 正常运行的 ESXi 主机将无缝变成主虚拟机的主机, 而不会断开网络连接或中断正在处理的事务 使用透明故障切换, 不会有数据损失, 并且可以维护网络连接 在进行透明故障切换之后, 将重新生成新的辅助虚拟机, 并将重新建立冗余 整个过程是透明且全自动的, 并且即使 vcenter Server 不可用, 也会发生 VMware, Inc. 9

10 10 VMware, Inc.

11 创建和使用 vsphere HA 群集 2 vsphere HA 群集允许 ESXi 主机集合作为一个组协同工作, 这些主机为虚拟机提供的可用性级别比 ESXi 主机单独提供的级别要高 当规划新 vsphere HA 群集的创建和使用时, 您选择的选项会影响群集对主机或虚拟机故障的响应方式 在创建 vsphere HA 群集之前, 应清楚 vsphere HA 标识主机故障和隔离以及响应这些情况的方式 还应了解接入控制的工作方式以便可以选择符合故障切换需要的策略 建立群集之后, 不但可以通过高级选项自定义其行为, 还可以通过执行建议的最佳做法优化其性能 注意尝试使用 vsphere HA 时可能会获得错误消息 有关与 vsphere HA 相关的错误消息的信息, 请参见位于 的 VMware 知识库文章 本章讨论了以下主题 : 第 11 页, vsphere HA 的工作方式 第 18 页, vsphere HA 接入控制 第 24 页, vsphere HA 互操作性 第 26 页, 创建和配置 vsphere HA 群集 第 33 页, vsphere HA 群集的最佳做法 vsphere HA 的工作方式 vsphere HA 可以将虚拟机及其所驻留的主机集中在群集内, 从而为虚拟机提供高可用性 群集中的主机均会受到监控, 如果发生故障, 故障主机上的虚拟机将在备用主机上重新启动 创建 vsphere HA 群集时, 会自动选择一台主机作为首选主机 首选主机可与 vcenter Server 进行通信, 并监控所有受保护的虚拟机以及从属主机的状态 可能会发生不同类型的主机故障, 首选主机必须检测并相应地处理故障 首选主机必须可以区分故障主机与处于网络分区中或已与网络隔离的主机 首选主机使用网络和数据存储检测信号来确定故障的类型 Sphere HA 群集 ( bctid=ref:vspherehaclusters) VMware, Inc. 11

12 首选主机和从属主机 在将主机添加到 vsphere HA 群集时, 代理将上载到主机, 并配置为与群集内的其他代理通信 群集中的每台主机作为首选主机或从属主机运行 如果为群集启用了 vsphere HA, 则所有活动主机 ( 未处于待机或维护模式的主机或未断开连接的主机 ) 都将参与选举以选择群集的首选主机 挂载最多数量的数据存储的主机在选举中具有优势 每个群集通常只存在一台首选主机, 其他所有主机都是从属主机 如果首选主机出现故障 关机或处于待机模式或者从群集中移除, 则会进行新的选举 群集中的首选主机具有很多职责 : 监控从属主机的状况 如果从属主机发生故障或无法访问, 首选主机将确定需要重新启动的虚拟机 监控所有受保护虚拟机的电源状况 如果有一台虚拟机出现故障, 首选主机可确保重新启动该虚拟机 使用本地放置引擎, 首选主机还可确定执行重新启动的位置 管理群集主机和受保护的虚拟机列表 充当群集的 vcenter Server 管理界面并报告群集健康状况 从属主机主要通过本地运行虚拟机 监控其运行时状况和向首选主机报告状况更新对群集发挥作用 首选主机也可运行和监控虚拟机 从属主机和首选主机都可实现虚拟机和应用程序监控功能 首选主机执行的功能之一是协调受保护虚拟机的重新启动 在 vcenter Server 观察到为响应用户操作, 某虚拟机的电源状况由关闭电源变为打开电源之后, 该虚拟机会受到首选主机的保护 首选主机会将受保护虚拟机的列表保留在群集的数据存储中 新选的首选主机使用此信息来确定要保护哪些虚拟机 注意如果断开主机与群集之间的连接, 则所有向该主机注册的虚拟机均不受 vsphere HA 保护 主机故障类型和检测 vsphere HA 群集的首选主机负责检测从属主机的故障 根据检测到的故障类型, 在主机上运行的虚拟机可能需要进行故障切换 在 vsphere HA 群集中, 检测三种类型的主机故障 : 故障 - 主机停止运行 隔离 - 主机与网络隔离 分区 - 主机失去与首选主机的网络连接 首选主机监控群集中从属主机的活跃度 此通信通过每秒交换一次网络检测信号来完成 当首选主机停止从从属主机接收这些检测信号时, 它会在声明该主机已出现故障之前检查主机活跃度 首选主机执行的活跃度检查是要确定从属主机是否在与数据存储之一交换检测信号 请参见第 17 页, 数据存储检测信号 而且, 首选主机还检查主机是否对发送至其管理 IP 地址的 ICMP ping 进行响应 如果首选主机无法直接与从属主机上的代理进行通信, 则该从属主机不会对 ICMP ping 进行响应, 并且该代理不会发出被视为已出现故障的检测信号 会在备用主机上重新启动主机的虚拟机 如果此类从属主机与数据存储交换检测信号, 则首选主机会假定它处于某个网络分区或隔离网络中, 因此会继续监控该主机及其虚拟机 请参见第 17 页, 网络分区 当主机仍在运行但无法再监视来自管理网络上 vsphere HA 代理的流量时, 会发生主机网络隔离 如果主机停止监视此流量, 则它会尝试 ping 群集隔离地址 如果仍然失败, 主机将声明自己已与网络隔离 首选主机监控在独立主机上运行的虚拟机, 如果发现虚拟机的电源已关闭, 而且该首选主机负责这些虚拟机, 则会重新启动这些虚拟机 注意如果您确保网络基础结构具有足够的冗余度且至少有一个网络路径始终可用, 则主机网络隔离应该在极少数情况下才出现 12 VMware, Inc.

13 第 2 章创建和使用 vsphere HA 群集 确定对主机问题的响应 如果主机发生故障而必须重新启动虚拟机, 您可使用虚拟机重新启动优先级 设置控制重新启动虚拟机的顺序 您也可使用主机隔离响应设置, 配置主机与其他主机失去管理网络连接时 vsphere HA 的响应方式 发生故障后,vSphere HA 重新启动虚拟机时还将考虑其他因素 以下设置适用于主机发生故障或主机隔离时群集内的所有虚拟机 此外, 也可以为特定虚拟机配置异常 请参见第 33 页, 自定义单个虚拟机 虚拟机重新启动优先级 虚拟机重新启动优先级确定主机发生故障后为虚拟机分配资源的相对顺序 系统会将这些虚拟机分配到具有未预留容量的主机, 首先放置优先级最高的虚拟机, 然后是那些低优先级的虚拟机, 直到放置了所有虚拟机或者没有更多的可用群集容量可满足虚拟机的预留或内存开销为止 然后, 主机将按优先级顺序重新启动分配给它的虚拟机 如果没有足够的资源,vSphere HA 将等待, 直到更多的未预留容量变得可用 ( 例如, 由于主机重新联机 ), 然后重试放置这些虚拟机 要降低此状况发生的可能性, 请配置 vsphere HA 接入控制以便针对故障预留更多的资源 接入控制允许您控制为虚拟机预留的群集容量, 如果发生故障, 这些容量无法用于满足其他虚拟机的预留和内存开销 此设置的值为 : 已禁用 低 中 ( 默认 ) 和高 vsphere HA 的虚拟机 / 应用程序监控功能会忽略 已禁用 设置, 因为该功能可保护虚拟机免受操作系统级别故障而不是虚拟机故障 当出现操作系统级别故障时,vSphere HA 将重新引导操作系统, 而虚拟机将在同一台主机上继续运行 您可更改各个虚拟机的这种设置 注意虚拟机重置会导致客户机操作系统硬重新引导, 但是不会重新启动虚拟机 虚拟机的重新启动优先级设置因用户需求而有所不同 请为提供最重要服务的虚拟机分配较高的重新启动优先级 例如, 在多层应用程序中, 可以根据虚拟机上所托管的功能来对分配进行排序 高 为应用程序提供数据的数据库服务器 中等 使用数据库中的数据并在网页上提供结果的应用程序服务器 低 接收用户请求 将查询传递到应用程序服务器并将结果返回给用户的 Web 服务器 如果主机发生故障,vSphere HA 将尝试向活动主机注册已打开电源且重新启动优先级设置为 已禁用 或已关闭电源的受影响虚拟机 主机隔离响应 主机隔离响应确定当 vsphere HA 群集内的某个主机失去其管理网络连接但仍继续运行时出现的情况 您可使用隔离响应使 vsphere HA 关闭独立主机上运行的虚拟机电源, 然后在非独立主机上将其重新启动 主机隔离响应要求启用 主机监控状态 如果 主机监控状态 处于禁用状态, 则主机隔离响应将同样被挂起 当主机无法与其他主机上运行的代理通信且无法 ping 其隔离地址时, 该主机确定其已被隔离 然后, 主机会执行其隔离响应 响应为 关闭虚拟机电源再重新启动虚拟机 或 关闭再重新启动虚拟机 还可以为各个虚拟机自定义此属性 注意如果虚拟机的重新启动优先级设置为 已禁用, 则不会做出任何主机隔离响应 要使用 关闭再重新启动虚拟机 设置, 必须在虚拟机的客户机操作系统中安装 VMware Tools 将虚拟机关机的优点在于可以保留其状况 关机操作优于关闭虚拟机电源操作, 关闭虚拟机不会将最近的更改刷新到磁盘中, 也不会提交事务 在关机完成时, 正在关机的虚拟机需要更长时间进行故障切换 未在 300 秒内或在高级选项 das.isolationshutdowntimeout 中指定的时间内关机的虚拟机将被关闭电源 创建 vsphere HA 群集后, 可以替代特定虚拟机的 重新启动优先级 和 隔离响应 的默认群集设置 此替代操作对于用于特殊任务的虚拟机很有帮助 例如, 可能需要先打开提供基础架构服务 ( 如 DNS 或 DHCP) 的虚拟机电源, 再打开群集内的其他虚拟机电源 VMware, Inc. 13

14 如果主机已从主主机隔离或分区, 或主主机无法使用检测信号数据存储与该主机通信, 则可能会发生虚拟机 裂脑 情况 在这种情况下, 主主机无法确定该主机处于活动状态, 因此声明其已停止运行 然后, 主主机尝试重新启动已隔离或已分区主机上正在运行的虚拟机 如果虚拟机仍在已隔离 / 已分区主机上运行, 且该主机在隔离或分区时失去对虚拟机数据存储的访问权限, 则此尝试将成功 然后, 便会发生裂脑情况, 因为存在两个虚拟机实例 但是, 只有一个实例能够读取或写入虚拟机的虚拟磁盘 虚拟机组件保护可用于防止发生此裂脑情况 使用激进设置启用 VMCP 时, 它会监控已打开电源的虚拟机的数据存储可访问性, 并关闭失去对其数据存储访问权限的虚拟机 为了从此情况中恢复,ESXi 会针对已丢失磁盘锁的虚拟机生成一个问题 ( 关于主机何时摆脱隔离状态且无法重新获取磁盘锁 ) vsphere HA 将自动回答该问题, 这就使已丢失磁盘锁的虚拟机实例关闭电源, 只留下具有磁盘锁的实例 重新启动虚拟机要考虑的因素 发生故障后, 群集的主主机会确定一个可打开受影响虚拟机电源的主机, 从而尝试重新启动这些虚拟机 选择此类主机时, 主主机会考虑许多因素 文件可访问性虚拟机与主机的兼容性资源预留主机限制功能限制 在可启动虚拟机之前, 必须能够从可通过网络与主主机通信的某个活动群集主机中访问该虚拟机的文件 如果存在可访问的主机, 则虚拟机必须至少与其中一个主机兼容 为虚拟机设置的兼容性包括任何所需虚拟机 - 主机关联性规则的影响 例如, 如果某个规则仅允许虚拟机在两个主机上运行, 则会考虑将其放置在这两个主机上 在可运行虚拟机的主机中, 必须至少有一个主机具有足够的未预留容量以满足虚拟机的内存开销及任何资源预留 将考虑四种类型的预留 :CPU 内存 vnic 和虚拟闪存 此外, 必须提供足够的网络端口, 才能打开虚拟机电源 除了资源预留之外, 一个虚拟机只能放置在一个主机上 ( 如果这样做不会违反允许的虚拟机最大数量或正在使用的 vcpu 数量 ) 如果已设置需要 vsphere HA 强制执行虚拟机 - 虚拟机反关联性规则的高级选项, 则 vsphere HA 不会违反此规则 此外,vSphere HA 不会违反为容错虚拟机配置的任何每主机限制 如果没有任何主机满足上述注意事项, 则主主机会发布一个事件指出没有足够的资源让 vsphere HA 来启动虚拟机, 并会在群集状况发生更改时进行重试 例如, 如果虚拟机不可访问, 则主主机会在文件可访问性发生更改后进行重试 虚拟机重新启动尝试限制 如果 vsphere HA 主代理尝试重新启动虚拟机 ( 包括注册虚拟机并打开其电源 ) 失败, 将会在延迟后重试此重新启动 vsphere HA 会尝试重新启动允许的最大尝试次数 ( 默认值为 6), 但并非所有重新启动失败都根据此最大值进行计数 例如, 重新启动尝试失败的最可能原因是虚拟机仍在另一台主机上运行, 或者 vsphere HA 在虚拟机发生故障后立即重新启动它 在这种情况下, 主代理会在上次尝试后所实施延迟的两倍时间后进行重试, 最少延迟 1 分钟, 最多延迟 30 分钟 因此, 如果将延迟时间设为 1 分钟且在 T=0 时进行初始尝试, 则其他尝试将发生在 T=1 (1 分钟 ) T=3(3 分钟 ) T=7(7 分钟 ) T=15(15 分钟 ) 和 T=30(30 分钟 ) 每次尝试都根据限制进行计数, 且默认情况下只进行六次尝试 其他重新启动失败会导致可计算的重试, 但具有不同的延迟间隔 一个示例方案是, 当选择重新启动虚拟机的主机在主代理做出选择后失去对某个虚拟机数据存储的访问权限时 在这种情况下, 会在默认延迟 2 分钟后进行重试 此尝试也会根据限制进行计数 最后, 某些重试不会进行计数 例如, 如果要重新启动虚拟机的主机在主代理发出重新启动请求之前发生故障, 则会在 2 分钟后进行重试, 但此故障不会根据最大尝试次数进行计数 14 VMware, Inc.

15 第 2 章创建和使用 vsphere HA 群集 虚拟机重新启动通知 当正在针对群集中的虚拟机进行故障切换操作时,vSphere HA 会生成群集事件 该事件还会在群集摘要选项卡中显示配置问题, 其报告了正在重新启动的虚拟机数量 这些虚拟机分为四种不同的类别 正在放置的虚拟机 :vsphere HA 正在尝试重新启动这些虚拟机 等待重试的虚拟机 : 之前的重新启动尝试已失败, 并且 vsphere HA 正在等待超时到期, 然后再重试 需要其他资源的虚拟机 : 重新启动这些虚拟机所需资源不足 vsphere HA 将在更多资源可用 ( 如主机恢 复联机 ) 后重试 不可访问的 Virtual SAN 虚拟机 :vsphere HA 无法重新启动这些 Virtual SAN 虚拟机, 因为它们不可访 问 它将在可访问性发生更改后重试 当观察到正对其执行重新启动操作的虚拟机数量发生更改时, 这些虚拟机计数会进行动态更新 当 vsphere HA 已重新启动所有虚拟机或放弃尝试时, 会清除配置问题 在 vsphere 5.5 或更低版本中, 会针对尝试重新启动虚拟机失败触发每虚拟机事件 此事件在 vsphere 6.x 中默认为禁用状态, 且可通过将 vsphere HA 高级选项 das.config.fdm.reportfailoverfailevent 设置为 1 来启用 虚拟机和应用程序监控 如果在设置的时间内没有收到单个虚拟机的 VMware Tools 检测信号, 虚拟机监控将重新启动该虚拟机 同样, 如果没有收到虚拟机正在运行的应用程序的检测信号, 应用程序监控也可以重新启动该虚拟机 可以启用这些功能, 并配置 vsphere HA 监控无响应时的敏感度 启用虚拟机监控后, 虚拟机监控服务 ( 使用 VMware Tools) 将通过检查正在客户机内运行的 VMware Tools 进程的常规检测信号和 I/O 活动来评估群集内的每个虚拟机是否正在运行 如果没有收到检测信号或 I/O 活动, 则很有可能是客户机操作系统出现故障, 或未分配给 VMware Tools 用来完成任务的时间 在这种情况下, 虚拟机监控服务会先确定虚拟机已发生故障, 然后决定重新引导虚拟机以还原服务 有时, 仍然正常工作的虚拟机或应用程序会停止发送检测信号 为了避免不必要的重置, 虚拟机监控服务还监控虚拟机的 I/O 活动 如果在故障时间间隔内未收到任何检测信号, 则会检查 I/O 统计间隔 ( 群集级别属性 ) I/O 统计间隔确定在前两分钟 (120 秒 ) 内是否已发生与虚拟机有关的任何磁盘或网络活动 如果没有, 则重置该虚拟机 可以使用高级选项 das.iostatsinterval 更改此默认值 (120 秒 ) 要启用应用程序监控, 必须先获取相应的 SDK( 或使用可支持 VMware 应用程序监控的应用程序 ), 然后使用它来设置要监控的应用程序的自定义检测信号 完成此操作后, 应用程序监控的工作方式将与虚拟机监控的工作方式大致相同 如果在指定时间内没有收到应用程序的检测信号, 将重新启动其虚拟机 您可以配置监控敏感度的级别 高敏感度监控可以更快得出已发生故障的结论 然而, 如果受监控的虚拟机或应用程序实际上仍在运行, 但由于资源限制等因素导致未收到检测信号, 高敏感度监控可能会错误地认为此虚拟机发生了故障 低敏感度监控会延长实际故障和虚拟机重置之间服务中断的时间 请选择一个有效折衷满足需求的选项 表 2 1 介绍了监控敏感度的默认设置 也可以通过选中自定义复选框来指定监控敏感度和 I/O 统计间隔的自定义值 表 2 1 虚拟机监控设置 设置故障时间间隔 ( 秒 ) 重置期 高 30 1 小时 中 小时 低 天 VMware, Inc. 15

16 检测到故障后,vSphere HA 会重置虚拟机 重置可确保这些服务仍然可用 为了避免因非瞬态错误而反复重置虚拟机, 默认情况下, 在某个可配置的时间间隔内将对虚拟机仅重置三次 在对虚拟机执行过三次重置后, 指定的时间结束之前,vSphere HA 不会在后续故障出现后进一步尝试重置虚拟机 可以使用每个虚拟机的最大重置次数自定义设置来配置重置次数 注意当关闭虚拟机电源然后再次打开虚拟机电源时, 或使用 vmotion 将虚拟机迁移到其他主机时, 重置统计信息将被清除 这将导致客户机操作系统重新引导, 但不同于虚拟机电源状况发生更改的 重新启动 如果虚拟机存在数据存储访问故障 ( 全部路径异常或永久设备丢失 ), 则虚拟机监控服务会挂起该虚拟机, 直到故障得到排除 虚拟机组件保护 如果启用虚拟机组件保护 (VMCP),vSphere HA 可以检测到数据存储可访问性故障, 并为受影响的虚拟机提供自动恢复 VMCP 可防止发生数据存储可访问性故障, 这些故障可能会影响 vsphere HA 群集中主机上正在运行的虚拟机 当发生数据存储可访问性故障时, 受影响的主机无法再访问特定数据存储的存储路径 您可以确定 vsphere HA 将对此类故障作出的响应, 从创建事件警报到虚拟机在其他主机上重新启动 注意使用虚拟机组件保护功能时,ESXi 主机的版本必须为 6.0 或更高版本 故障类型 存在两种类型的数据存储可访问性故障 : PDL APD PDL( 永久设备丢失 ) 是在存储设备报告主机无法再访问数据存储时发生的不可恢复的可访问性丢失 如果不关闭虚拟机的电源, 此状况将无法恢复 APD( 全部路径异常 ) 表示暂时性或未知的可访问性丢失, 或 I/O 处理中的任何其他未识别的延迟 此类型的可访问性问题是可恢复的 配置 VMCP 在 vsphere Web Client 中配置虚拟机组件保护 转到配置选项卡并单击 vsphere 可用性和编辑 在故障和响应下, 可以选择处于 PDL 状态的数据存储或处于 APD 状态的数据存储 您可选择的存储保护级别以及可用的虚拟机修复操作根据数据库可访问性故障的类型而异 PDL 故障 APD 故障 在处于 PDL 状态的数据存储下, 可以选择发布事件或关闭虚拟机电源再重新启动虚拟机 响应 APD 事件是更加复杂的, 相应地配置是更加精细的 可以选择发布事件 关闭虚拟机电源再重新启动虚拟机 - 保守的重新启动策略或关闭虚拟机电源再重新启动虚拟机 - 激进的重新启动策略 注意如果禁用 主机监控 或 虚拟机重新启动优先级 设置,VMCP 将无法执行虚拟机重新启动 但是, 仍可监控存储运行状况, 且可发布事件 16 VMware, Inc.

17 第 2 章创建和使用 vsphere HA 群集 网络分区 在 vsphere HA 群集发生管理网络故障时, 该群集中的部分主机可能无法通过管理网络与其他主机进行通信 一个群集中可能会出现多个分区 已分区的群集会导致虚拟机保护和群集管理功能降级 请尽快更正已分区的群集 虚拟机保护 vcenter Server 允许虚拟机打开电源, 但仅当虚拟机与负责它的首选主机在相同的分区中运行时, 才能对其进行保护 首选主机必须与 vcenter Server 进行通信 如果首选主机以独占方式锁定包含虚拟机配置文件的数据存储上的系统定义的文件, 则首选主机将负责虚拟机 群集管理 vcenter Server 可以与首选主机通信, 但仅可与从属主机的子集通信 因此, 只有在解决分区之后, 配置中影响 vsphere HA 的更改才能生效 此故障可能会导致其中一个分区在旧配置下操作, 而另一个分区使用新的设置 数据存储检测信号 当 vsphere HA 群集中的首选主机无法通过管理网络与从属主机通信时, 首选主机将使用数据存储检测信号来确定从属主机是否出现故障, 是否位于网络分区中, 或者是否与网络隔离 如果从属主机已停止数据存储检测信号, 则认为该从属主机出现故障, 并且其虚拟机已在别处重新启动 vcenter Server 选择一组首选数据存储集用于检测信号 这种选择会使有权访问检测信号数据存储的主机数最大, 也会使数据存储由同一 LUN 或 NFS 服务器支持的可能性最小 可以使用高级选项 das.heartbeatdsperhost 更改 vcenter Server 为每个主机选择的检测信号数据存储的数量 默认值为 2, 最大有效值为 5 vsphere HA 将在用于数据存储检测信号和保留受保护的虚拟机集的每个数据存储的根目录中创建一个目录, 目录名称为.vSphere-HA 请勿删除或修改存储在此目录中的文件, 因为这可能会对操作产生影响 由于多个群集可能使用一个数据存储, 因此将针对每个群集创建该目录的子目录 根用户拥有这些目录和文件, 并且只有根用户可以读写这些目录和文件 vsphere HA 使用的磁盘空间取决于多个因素, 包括所用的 VMFS 版本以及将数据存储用于信号检测的主机数 使用 vmfs3 时, 最大使用量约为 2 GB, 典型使用量约为 3 MB 使用 vmfs5 时, 最大使用量和典型使用量约为 3 MB vsphere HA 使用数据存储增加的开销很小, 并且对其他数据存储操作的性能没有影响 vsphere HA 会限制配置文件可在单个数据存储中的虚拟机数量 有关更新的限制, 请参见 最高配置 如果将超过该数量的虚拟机置于数据存储中并打开其电源, 则 vsphere HA 只保护这一上限数量的虚拟机 注意 Virtual SAN 数据存储无法用于数据存储检测信号 因此, 如果群集中的所有主机均无法访问其他共享存储, 则无法使用任何检测信号数据存储 但是, 如果您拥有的存储可以通过独立于 Virtual SAN 网络的备用网络路径访问, 则可以将其用于设置检测信号数据存储 vsphere HA 安全性 多个安全功能增强了 vsphere HA 选择已打开的防火墙端口 使用文件系统权限保护的配置文件 vsphere HA 对代理至代理的通信使用 TCP 和 UDP 端口 8182 防火墙端口将自动打开和关闭, 确保仅在需要时打开端口 vsphere HA 在本地存储器或 ramdisk( 如果没有本地数据存储 ) 上存储配置信息 使用文件系统权限保护这些文件, 且仅 root 用户可以访问它们 不具有本地存储器的主机只有在由 Auto Deploy 管理时才受支持 VMware, Inc. 17

18 详细的日志记录 vsphere HA 放置日志文件的位置取决于主机版本 对于 ESXi 5.x 主机,vSphere HA 默认仅写入 syslog, 因此, 日志放置在 syslog 所配置的放置位置 vsphere HA 日志文件名前置 fdm(fdm 代表故障域管理器,vSphere HA 中的一种服务 ) 对于旧版 ESXi 4.x 主机,vSphere HA 写入本地磁盘上的 /var/log/vmware/fdm 以及 syslog( 如果已配置 ) 对于旧版 ESX 4.x 主机,vSphere HA 写入 /var/log/vmware/fdm 安全 vsphere HA 登录 安全通信 需要验证主机 SSL 证书 vsphere HA 使用 vcenter Server 创建的用户帐户 vpxuser 登录到 vsphere HA 代理 此帐户与 vcenter Server 用于管理主机的帐户相同 vcenter Server 为此帐户创建随机密码, 并定期更改密码 时间段由 vcenter Server VirtualCenter.VimPasswordExpirationInDays 设置进行设置 对主机的根文件夹具有管理特权的用户可登录到代理 vcenter Server 和 vsphere HA 代理之间的所有通信都是通过 SSL 完成的 除选举消息以外 ( 通过 UDP 完成 ), 代理至代理的通信也使用 SSL 选举消息通过 SSL 进行验证, 因此, 恶意代理只能阻止在其上运行代理的主机被选为首选主机 在这种情况下, 将发出群集的配置问题, 以便用户了解问题 vsphere HA 要求每个主机都具有一个经过验证的 SSL 证书 每个主机在首次引导时都会生成一个自签署证书 然后, 可以重新生成或使用机构颁发的证书替换该证书 如果证书被替换, 需要重新配置主机上的 vsphere HA 如果主机在其证书更新后断开与 vcenter Server 的连接, 且重新启动 ESXi 或 ESX 主机代理, 则主机重新连接到 vcenter Server 时将自动重新配置 vsphere HA 如果此时因禁用 vcenter Server 主机 SSL 证书验证而没有断开连接, 请验证新证书并重新配置主机上的 vsphere HA vsphere HA 接入控制 vcenter Server 使用接入控制来确保群集内具有足够的资源, 以便提供故障切换保护并确保考虑虚拟机资源预留 有三种类型的接入控制可用 主机 资源池 vsphere HA 确保主机有足够资源来满足其上运行的所有虚拟机的预留 确保资源池有足够资源来满足与其关联的所有虚拟机的预留 份额和限制 确保预留了足够的群集资源, 以便在主机发生故障时恢复虚拟机 接入控制对资源使用施加一些限制, 违反这些限制的任何操作将不被允许 可能被禁止的操作的示例包括 : 打开虚拟机电源 将虚拟机迁移到主机 群集或资源池中 增加虚拟机的 CPU 或内存预留 对于这三种接入控制类型, 只有 vsphere HA 接入控制可以被禁用 但是, 如果禁用 VMware HA 接入控制, 将无法保证有预期数量的虚拟机能够在故障之后重新启动 请勿永久禁用接入控制, 但可能由于以下原因, 需要临时将其禁用 : 当没有足够资源来支持故障切换操作时, 您需要违反故障切换限制 ( 例如, 如果您打算将主机置于待机模式以测试它们能否与 Distributed Power Management (DPM) 一起使用 ) 如果自动过程需要执行一些操作, 而这些操作可能会暂时违反故障切换限制 ( 例如, 在 vsphere Update Manager 执行的 ESXi 主机升级或修补过程中 ) 18 VMware, Inc.

19 第 2 章创建和使用 vsphere HA 群集 如果需要执行测试或维护操作 接入控制可以留出容量, 但当发生故障时,vSphere HA 会将使用任意可用于重新启动虚拟机的容量 例如, vsphere HA 在一台主机上放置的虚拟机数量要多于用户发起的打开电源所允许的接入控制 注意禁用 vsphere HA 接入控制后, 即使 DPM 已启用并且可将所有虚拟机整合到单个主机上,vSphere HA 仍可确保群集中至少有两个主机已打开电源 这是为了确保可进行故障切换 群集允许的主机故障数目 接入控制策略 可以将 vsphere HA 配置为允许指定的主机故障数目 使用 群集允许的主机故障数目 接入控制策略,vSphere HA 允许指定数目的主机出现故障, 同时可以确保群集内留有足够的资源来对这些主机上的虚拟机进行故障切换 使用 群集允许的主机故障数目 策略,vSphere HA 以下列方式执行接入控制 : 1 计算插槽大小 插槽是内存和 CPU 资源的逻辑表示 默认情况下, 会调整插槽的大小来满足群集中任何已打开电源虚拟机的要求 2 确定群集内每台主机可以拥有的插槽数目 3 确定群集的当前故障切换容量 这是可以发生故障并仍然有足够插槽满足所有已打开电源虚拟机的主机的数目 4 确定 当前故障切换容量 是否小于 配置的故障切换容量 ( 由用户提供 ) 如果是, 则接入控制不允许执行此操作 注意您可以从 vsphere Web Client 中 vsphere HA 设置的接入控制部分设置 CPU 和内存的特定插槽大小 插槽大小计算 vsphere HA 插槽大小和接入控制 ( bctid=ref:video_vsphere_slot_admission_control) 插槽大小由两个组件 (CPU 和内存 ) 组成 vsphere HA 计算 CPU 组件的方法是先获取每台已打开电源虚拟机的 CPU 预留, 然后再选择最大值 如果没有为虚拟机指定 CPU 预留, 则系统会为其分配一个默认值 32 MHz 可以使用 das.vmcpuminmhz 高级选项更改此值 ) vsphere HA 计算内存组件的方法是先获取每台已打开电源虚拟机的内存预留和内存开销, 然后再选择最 大值 内存预留没有默认值 如果群集内虚拟机的预留值大小不一致, 则会影响插槽大小的计算 为避免出现这种情况, 可以使用 das.slotcpuinmhz 或 das.slotmeminmb 高级选项分别指定插槽大小的 CPU 或内存组件的上限 请参见第 31 页, vsphere HA 高级选项 您也可以通过查看需要多个插槽的虚拟机数来确定群集中资源碎片的风险 可以从 vsphere Web Client 中 vsphere HA 设置的接入控制部分对此进行计算 如果已使用高级选项指定了固定插槽大小或最大插槽大小, 则虚拟机可能需要多个插槽 使用插槽数目计算当前故障切换容量 计算出插槽大小后,vSphere HA 会确定每台主机中可用于虚拟机的 CPU 和内存资源 这些值包含在主机的根资源池中, 而不是主机的总物理资源中 可以在 vsphere Web Client 中主机的摘要选项卡上查找 vsphere HA 所用主机的资源数据 如果群集中的所有主机均相同, 则可以用群集级别指数除以主机的数量来获取此数据 不包括用于虚拟化目的的资源 只有处于连接状态 未进入维护模式且没有任何 vsphere HA 错误的主机才列入计算范畴 VMware, Inc. 19

20 然后, 即可确定每台主机可以支持的最大插槽数目 为确定此数目, 请用主机的 CPU 资源数除以插槽大小的 CPU 组件, 然后将结果化整 对主机的内存资源数进行同样的计算 然后, 比较这两个数字, 较小的那个数字即为主机可以支持的插槽数 通过确定可以发生故障并仍然有足够插槽满足所有已打开电源虚拟机要求的主机的数目 ( 从最大值开始 ) 来计算当前故障切换容量 高级运行时信息 如果选择 群集允许的主机故障数目 接入控制策略, 高级运行时信息窗格会在 vsphere Web Client 中群集的监控选项卡上的 vsphere HA 区域中显示 该窗格将显示以下关于群集的信息 : 插槽大小 群集内的插槽总数 群集内正常主机所支持的插槽总数 已使用的插槽数 分配给已打开电源的虚拟机的插槽数目 如果已使用高级选项定义插槽大小的上限, 则此数目可以大于已打开电源的虚拟机的数目 这是因为有些虚拟机会占用多个插槽 可用插槽数 可用于打开群集内其他虚拟机的电源的插槽数量 vsphere HA 保留故障切换所需的插槽数 量 剩余的插槽可用于打开新虚拟机电源 故障切换插槽数 除已使用的插槽和可用插槽之外的插槽总数 群集中已打开电源虚拟机的总数 群集中的主机总数 群集内正常主机的总数 处于连接状态 未进入维护模式而且没有 vsphere HA 错误的主机数目 示例 : 使用 群集允许的主机故障数目 策略的接入控制 示例中展示了使用此接入控制策略计算和使用插槽大小的方式 对群集进行如下假设 : 群集包括三台主机, 每台主机上可用的 CPU 和内存资源数各不相同 第一台主机 (H1) 的可用 CPU 资源和可用内存分别为 9 GHz 和 9 GB, 第二台主机 (H2) 为 9 GHz 和 6 GB, 而第三台主机 (H3) 则为 6 GHz 和 6 GB 群集内存在五个已打开电源的虚拟机, 其 CPU 和内存要求各不相同 VM1 所需的 CPU 资源和内存分别为 2 GHz 和 1 GB,VM2 为 2 GHz 和 1 GB,VM3 为 1 GHz 和 2 GB,VM4 为 1 GHz 和 1 GB,VM5 则为 1 GHz 和 1 GB 群集允许的主机故障数目 设置为 1 20 VMware, Inc.

21 第 2 章创建和使用 vsphere HA 群集 图 2 1 使用 群集允许的主机故障数目 策略的接入控制示例虚拟机 1 虚拟机 2 虚拟机 3 虚拟机 4 虚拟机 5 2 GHz 1 GB 2 GHz 1 GB 1 GHz 2 GB 插槽大小 2 GHz 2 GB 1 GHz 1 GB 1 GHz 1 GB H1 9 GHz 9 GB H2 9 GHz 6 GB H3 6 GHz 6 GB 4 个插槽 3 个插槽 3 个插槽 如果 H1 出现故障则剩余 6 个插槽 1 比较虚拟机的 CPU 和内存要求, 然后选择最大值, 从而计算出插槽大小 最大 CPU 要求 ( 由 VM1 和 VM2 共享 ) 为 2 GHz, 而最大内存要求 ( 针对 VM3) 为 2 GB 根据上述情况, 插槽大小为 2 GHz CPU 和 2 GB 内存 2 由此可确定每台主机可以支持的最大插槽数目 H1 可以支持四个插槽 H2 可以支持三个插槽 ( 取 9GHz/2GHz 和 6GB/2GB 中较小的一个 ),H3 也可以支持三个插槽 3 计算出当前故障切换容量 最大的主机是 H1, 如果它发生故障, 群集内还有六个插槽, 足够供所有五个已打开电源的虚拟机使用 如果 H1 和 H2 都发生故障, 群集内将仅剩下三个插槽, 这是不够用的 因此, 当前故障切换容量为 1 群集内可用插槽的数目为 1(H2 和 H3 上的六个插槽减去五个已使用的插槽 ) 预留的群集资源的百分比 接入控制策略 可以将 vsphere HA 配置为通过预留特定百分比的群集 CPU 和内存资源来执行接入控制, 用于从主机故障中进行恢复 使用 预留的群集资源的百分比 接入控制策略,vSphere HA 可确保预留 CPU 和内存资源总量的指定百分比以用于故障切换 使用 预留的群集资源 策略,vSphere HA 可强制执行下列接入控制 : 1 计算群集内所有已打开电源虚拟机的总资源要求 2 计算可用于虚拟机的主机资源总数 3 计算群集的 当前的 CPU 故障切换容量 和 当前的内存故障切换容量 4 确定 当前的 CPU 故障切换容量 或 当前的内存故障切换容量 是否小于对应的 配置的故障切换容 量 ( 由用户提供 ) 如果是, 则接入控制不允许执行此操作 VMware, Inc. 21

22 vsphere HA 将使用虚拟机的实际预留 如果虚拟机没有预留 ( 即预留量为 0), 则会应用默认设置 (0MB 内存和 32MHz CPU) 注意 预留的群集资源的百分比 接入控制策略还会检查群集中是否至少有两个已启用 vsphere HA 的主机 ( 不包括正在进入维护模式的主机 ) 如果只有一个已启用 vsphere HA 的主机, 即使可以使用足够的资源百分比, 也不允许执行此操作 进行此次额外检查的原因在于如果群集中只有一个主机, 则 vsphere HA 无法进行故障切换 计算当前故障切换容量 已打开电源的虚拟机的总资源要求由两个组件组成, 即 CPU 和内存 vsphere HA 将计算这些值 CPU 组件值的计算方法是 : 加总已打开电源虚拟机的 CPU 预留 如果没有为虚拟机指定 CPU 预留, 则系统会为其分配一个默认值 32MHz( 可以使用 das.vmcpuminmhz 高级选项更改此值 ) 内存组件值的计算方法是 : 加总每台已打开电源虚拟机的内存预留 ( 以及内存开销 ) 计算出主机的 CPU 和内存资源总和, 从而得出虚拟机可使用的主机资源总数 这些值包含在主机的根资源池中, 而不是主机的总物理资源中 不包括用于虚拟化目的的资源 只有处于连接状态 未进入维护模式而且没有 vsphere HA 错误的主机才列入计算范畴 先用主机 CPU 资源总数减去总 CPU 资源要求, 然后再用这个结果除以主机 CPU 资源总数, 从而计算出 当前的 CPU 故障切换容量 当前的内存故障切换容量 的计算方式与之相似 示例 : 使用 预留的群集资源的百分比 策略的接入控制 示例中展示了使用此接入控制策略计算和使用 当前故障切换容量 的方式 对群集进行如下假设 : 群集包括三台主机, 每台主机上可用的 CPU 和内存资源数各不相同 第一台主机 (H1) 的可用 CPU 资源和可用内存分别为 9 GHz 和 9 GB, 第二台主机 (H2) 为 9 GHz 和 6 GB, 而第三台主机 (H3) 则为 6 GHz 和 6 GB 群集内存在五个已打开电源的虚拟机, 其 CPU 和内存要求各不相同 VM1 所需的 CPU 资源和内存分别为 2 GHz 和 1 GB,VM2 为 2 GHz 和 1 GB,VM3 为 1 GHz 和 2 GB,VM4 为 1 GHz 和 1 GB,VM5 则为 1 GHz 和 1 GB CPU 和内存的已配置故障切换容量都设置为 25% 图 2 2 使用 预留的群集资源的百分比 策略的接入控制示例虚拟机 1 虚拟机 2 虚拟机 3 虚拟机 4 虚拟机 5 2 GHz 1 GB 2 GHz 1 GB 1 GHz 2 GB 资源总量要求 7 GHz 6 GB 1 GHz 1 GB 1 GHz 1 GB H1 9 GHz 9 GB H2 9 GHz 6 GB H3 6 GHz 6 GB 主机资源总量 24 GHz 21 GB 22 VMware, Inc.

23 第 2 章创建和使用 vsphere HA 群集 已打开电源的虚拟机的总资源要求为 7 GHz CPU 和 6 GB 内存 可用于虚拟机的主机资源总数为 24 GHz CPU 和 21 GB 内存 根据上述情况, 当前的 CPU 故障切换容量 为 70% ((24GHz - 7GHz)/24GHz) 同样, 当前的内存故障切换容量 为 71% ((21GB-6GB)/21GB) 由于群集的 配置的故障切换容量 设置为 25%, 因此仍然可使用 45% 的群集 CPU 资源总数和 46% 的群集内存资源打开其他虚拟机电源 指定故障切换主机 接入控制策略 在配置 vsphere HA 时可以将特定主机指定为故障切换主机 如果使用 指定故障切换主机 接入控制策略, 则在主机发生故障时,vSphere HA 将尝试在任一指定的故障切换主机上重新启动其虚拟机 如果不能使用此方法 ( 例如, 故障切换主机发生故障或者资源不足时 ), 则 vsphere HA 会尝试在群集内的其他主机上重新启动这些虚拟机 为了确保故障切换主机上拥有可用的空闲容量, 将阻止您打开虚拟机电源或使用 vmotion 将虚拟机迁移到故障切换主机 而且, 为了保持负载平衡,DRS 也不会使用故障切换主机 注意如果使用 指定故障切换主机 接入控制策略, 并指定多个故障切换主机, 则 DRS 不会尝试对正在故障切换主机上运行的虚拟机实施虚拟机 - 虚拟机关联性规则 当前故障切换主机 显示在群集摘要选项卡的 vsphere HA 区域 每个主机旁边的状态图标可以是绿色 黄色或红色 绿色 主机处于连接状态 未进入维护模式且没有 vsphere HA 错误 主机上没有任何已打开电源的虚拟机 黄色 主机处于连接状态 未进入维护模式且没有 vsphere HA 错误 但是, 主机上驻留了已打开电源的 虚拟机 红色 主机已断开连接 处于维护模式或存在 vsphere HA 错误 选择接入控制策略 应当基于可用性需求和群集的特性选择 vsphere HA 接入控制策略 选择接入控制策略时, 应当考虑的因素很多 避免资源碎片 当总计有足够资源用于虚拟机故障切换时, 将出现资源碎片 但是, 这些资源位于多个主机上并且不可用, 因为虚拟机一次只能在一个 ESXi 主机上运行 通过将插槽定义为虚拟机最大预留值, 群集允许的主机故障数目 策略的默认配置可避免资源碎片 群集资源的百分比 策略不解决资源碎片问题 使用 指定故障切换主机 策略不会出现资源碎片, 因为该策略会为故障切换预留主机 故障切换资源预留的灵活性 为故障切换保护预留群集资源时, 接入控制策略所提供的控制粒度会有所不同 群集允许的主机故障数目 策略允许设置多个主机作为故障切换级别 群集资源的百分比 策略最多允许指定 100% 的群集 CPU 或内存资源用于故障切换 通过 指定故障切换主机 策略可以指定一组故障切换主机 群集的异构性 从虚拟机资源预留和主机总资源容量方面而言, 群集可以异构 在异构群集内, 群集允许的主机故障数目 策略可能过于保守, 因为在定义插槽大小时它仅考虑最大虚拟机预留, 而在计算当前故障切换容量时也假设最大主机发生故障 其他两个接入控制策略不受群集异构性影响 注意 vsphere HA 在执行接入控制计算时会包括 Fault Tolerance 辅助虚拟机的资源使用情况 对于 群集允许的主机故障数目 策略, 将为辅助虚拟机分配一个插槽 ; 而对于 群集资源的百分比 策略, 在计算群集的可用容量时将考虑辅助虚拟机的资源使用情况 VMware, Inc. 23

24 vsphere HA 互操作性 vsphere HA 可以与其他功能进行交互操作, 如 DRS 和 Virtual SAN 在配置 vsphere HA 之前, 应了解其与其他功能或产品进行交互操作的限制 将 vsphere HA 与 Virtual SAN 配合使用 可以使用 Virtual SAN 作为 vsphere HA 群集的共享存储 启用时,Virtual SAN 会将主机上可用的指定本地存储磁盘汇聚到所有主机共享的一个数据存储中 要将 vsphere HA 与 Virtual SAN 配合使用, 必须注意针对这两种功能的互操作性的某些注意事项和限制 有关 Virtual SAN 的信息, 请参见 VMware Virtual SAN ESXi 主机要求 仅当满足以下条件时, 才能将 Virtual SAN 与 vsphere HA 群集配合使用 : 群集的所有 ESXi 主机的版本必须全部为 5.5 或更高版本 群集必须最低具有三个 ESXi 主机 网络连接差异 Virtual SAN 具有自己的网络 为同一群集启用 Virtual SAN 和 vsphere HA 时,HA 代理间流量将流经此存储网络, 而非管理网络 管理网络仅当禁用了 Virtual SAN 时才由 vsphere HA 使用 vcenter Server 将在主机上配置 vsphere HA 时选择恰当的网络 注意仅当禁用了 vsphere HA 时才能启用 Virtual SAN 如果您更改了 Virtual SAN 网络配置,vSphere HA 代理将不自动获取新网络设置 因此, 要更改 Virtual SAN 网络, 必须在 vsphere Web Client 中执行以下步骤 : 1 为 vsphere HA 群集禁用主机监控 2 更改 Virtual SAN 网络 3 右键单击群集中的所有主机, 然后选择重新配置 vsphere HA 4 重新为 vsphere HA 群集启用主机监控 表 2 2 显示了使用和不使用 Virtual SAN 时 vsphere HA 网络连接中的差异 表 2 2 vsphere HA 网络连接差异 Virtual SAN 已启用 Virtual SAN 已禁用 vsphere HA 使用的网络 Virtual SAN 存储网络管理网络 检测信号数据存储挂载到 1 台以上主机的任何数据存储, 但非 Virtual SAN 数据存储 挂载到 1 台以上主机的任何数据存储 声明已隔离的主机 隔离地址不可 ping, 并且 Virtual SAN 存储网络无法访问 隔离地址不可 ping, 并且管理网络无法访问 容量预留设置 通过接入控制策略为 vsphere HA 群集预留容量时, 必须与确保出现故障时的数据可访问性的相应 Virtual SAN 设置协商此设置 具体来说,Virtual SAN 规则集中的 允许的故障数目 设置不得低于 vsphere HA 接入控制策略预留的容量 24 VMware, Inc.

25 第 2 章创建和使用 vsphere HA 群集 例如, 如果 Virtual SAN 规则集仅允许两个故障, 则 vsphere HA 接入控制策略预留的容量必须只能等于一个或两个主机故障 如果您为具有八个主机的群集使用 预留的群集资源的百分比 策略, 则预留的容量不得超过群集资源的 25% 在同一群集中, 使用 群集允许的主机故障数目 策略时, 该设置不得大于两个主机 如果 vsphere HA 预留的容量较少, 则故障切换活动可能不可预知, 但预留太多容量则会过分限制打开虚拟机的电源和群集间 vmotion 迁移操作 结合使用 vsphere HA 和 DRS 将 vsphere HA 和 Distributed Resource Scheduler (DRS) 一起使用, 可将自动故障切换与负载平衡相结合 这种结合会在 vsphere HA 将虚拟机移至其他主机后生成一个更平衡的群集 vsphere HA 执行故障切换并在其他主机上重新启动虚拟机时, 其首要的优先级是所有虚拟机的立即可用性 虚拟机重新启动后, 其上打开虚拟机电源的主机可能会负载过重, 而其他主机的负载则相对较轻 vsphere HA 会使用虚拟机的 CPU 内存预留和开销内存来确定主机是否有足够的空闲容量容纳虚拟机 在结合使用 DRS 和 vsphere HA 并且启用了接入控制的群集内, 可能不会从正在进入维护模式的主机上撤出虚拟机 这种行为的出现是由于用于重新启动虚拟机的预留资源出现了故障 必须使用 vmotion 将虚拟机手动迁出主机 在某些情况下,vSphere HA 可能由于资源限制而无法对虚拟机进行故障切换 这种情况的出现有多种原因 禁用了 HA 接入控制, 但启用了 Distributed Power Management (DPM) 这会导致 DPM 将虚拟机整合到较少数量的主机上, 并将空主机置于待机模式, 使得没有足够的已打开电源容量来执行故障切换 虚拟机 - 主机关联性规则 ( 必需 ) 可能会限制可以容纳某些虚拟机的主机 可能有足够多的聚合资源, 但这些资源在多台主机上是资源碎片, 因此虚拟机无法使用它们进行故障切换 在这些情况下,vSphere HA 可使用 DRS 尝试调整群集 ( 例如, 通过使主机退出待机模式或者迁移虚拟机以整理群集资源碎片 ), 以便 HA 可以执行故障切换 如果 DPM 处于手动模式, 则可能需要确认主机打开电源建议 同样, 如果 DRS 处于手动模式, 可能需要确认迁移建议 如果要使用虚拟机 - 主机关联性规则, 请注意不能违反这些规则 如果执行故障切换违反这样的规则, 则 vsphere HA 将不会执行故障切换 有关 DRS 的详细信息, 请参见 vsphere 资源管理文档 vsphere HA 和 DRS 关联性规则如果为群集创建 DRS 关联性规则, 可以指定在虚拟机故障切换过程中 vsphere HA 应用此规则的方式 您可以为以下两种类型的规则指定 vsphere HA 故障切换行为 : 虚拟机反关联性规则在故障切换操作过程中强制指定的虚拟机保持分离 虚拟机 - 主机关联性规则在故障切换操作过程中将指定的虚拟机放在特定主机或一组定义主机的成员上 编辑 DRS 关联性规则时, 选中一个或多个强制执行 vsphere HA 的所需故障切换行为的复选框 HA 必须在故障切换过程中遵守虚拟机反关联性规则 -- 如果将具有此规则的虚拟机放在一起, 则将中止故障切换 HA 应在故障切换过程中遵守虚拟机 - 主机关联性规则 -- vsphere HA 尝试将具有此规则的虚拟机放在指定的主机上 ( 如果可能 ) 注意如果在设置规则后不久 ( 默认情况下, 在 5 分钟内 ) 发生主机故障,vSphere HA 可以重新启动已禁用 DRS 的群集中的虚拟机, 以替代虚拟机 - 主机关联性规则映射 VMware, Inc. 25

26 其他 vsphere HA 互操作性问题 要使用 vsphere HA, 必须注意以下其他互操作性问题 虚拟机组件保护 虚拟机组件保护 (VMCP) 具有以下互操作性问题和限制 : VMCP 不支持 vsphere Fault Tolerance 如果使用 Fault Tolerance 为群集启用 VMCP, 受影响的 FT 虚拟 机将自动接收禁用 VMCP 的替代项 VMCP 不会检测到或响应位于 Virtual SAN 数据存储上文件的可访问性问题 如果虚拟机的配置和 VMDK 文件仅位于 Virtual SAN 数据存储上, 则它们不受 VMCP 保护 VMCP 不会检测或响应位于虚拟卷数据存储上的文件的可访问性问题 如果虚拟机的配置和 VMDK 文件 仅位于虚拟卷数据存储上, 则它们不受 VMCP 保护 VMCP 不会防止不可访问的裸设备映射 (RDM) IPv6 如果观察到以下注意事项, 可以将 vsphere HA 与完全受支持的 IPv6 网络配置一起使用 : 群集仅包含 ESXi 6.0 或更高版本的主机 必须使用相同的 IP 版本 (IPv6 或 IPv4) 配置群集中所有主机的管理网络 vsphere HA 群集不能同时包 含这两种类型的网络连接配置 vsphere HA 使用的网络隔离地址必须与群集用于其管理网络的 IP 版本匹配 不能在同时使用 Virtual SAN 的 vsphere HA 群集中使用 IPv6 除了之前的限制外, 不支持将以下类型的 IPv6 地址用于 vsphere HA 隔离地址或管理网络 : 本地链接 ORCHID 和具有区域索引的本地链接 此外, 不能将环回地址类型用于管理网络 注意要将现有 IPv4 部署升级到 IPv6, 必须先禁用 vsphere HA 创建和配置 vsphere HA 群集 vsphere HA 在 ESXi( 或旧版 ESX) 主机群集的环境中运行 必须创建群集, 然后用主机填充群集, 并配置 vsphere HA 设置, 才能建立故障切换保护 创建 vsphere HA 群集时, 必须配置许多可决定功能如何运行的设置 在此之前, 请确定群集的节点 这些节点是为支持虚拟机而提供资源, 并且将由 vsphere HA 用于故障切换保护的 ESXi 主机 然后应当确定如何互相连接这些节点, 以及如何将这些节点连接到虚拟机数据所在的共享存储器 在建立好网络架构后, 可以将主机添加到群集并完成 vsphere HA 配置 将主机节点添加到群集之前, 可以启用和配置 vsphere HA 但是, 在将主机添加到群集之前, 群集的所有功能并非都能运行, 部分群集设置不可用 例如, 在出现可以指定为故障切换主机的主机之前, 指定故障切换主机 接入控制策略不可用 注意为处于 ( 或移入 )vsphere HA 群集的主机上驻留的所有虚拟机禁用 虚拟机启动和关机 ( 自动启动 ) 功能 与 vsphere HA 配合使用时, 不支持自动启动 26 VMware, Inc.

27 第 2 章创建和使用 vsphere HA 群集 vsphere HA 对照表 vsphere HA 对照表包含在创建和使用 vsphere HA 群集之前必须了解的要求 在设置 vsphere HA 群集之前, 应查看此列表 有关详细信息, 请遵循相应的交叉引用 所有主机必须获得 vsphere HA 许可 群集必须至少包含两个主机 必须为所有主机配置静态 IP 地址 如果使用的是 DHCP, 必须确保每台主机的地址在重新引导期间保留 所有主机必须至少有一个共有的管理网络 最佳做法是至少有两个共有的管理网络 您应使用已启用管理流量复选框的 VMkernel 网络 这些网络必须能够相互访问, 且管理网络上的 vcenter Server 和主机必须能够相互访问 请参见 第 33 页, 网络连接的最佳做法 为了确保任何虚拟机都可以在群集内的任何主机上运行, 所有主机都必须可以访问相同的虚拟机网络和数据存储 同样, 虚拟机必须位于共享而非本地存储器上, 否则在主机出现故障时它们将无法进行故障切换 注意 vsphere HA 使用数据存储信号检测来区分已分区的主机 已隔离的主机和出现故障的主机 因此, 如果环境中有更可靠的数据存储, 请将 vsphere HA 配置为优先考虑这些数据存储 为了使虚拟机监控工作, 必须安装 VMware Tools 请参见 第 15 页, 虚拟机和应用程序监控 vsphere HA 同时支持 IPv4 和 IPv6 有关使用 IPv6 时的注意事项, 请参见第 26 页, 其他 vsphere HA 互操作性问题 为使虚拟机组件保护能够正常运行, 主机必须已启用全部路径异常 (APD) 超时功能 要使用虚拟机组件保护, 群集必须包含 ESXi 6.0 或更高版本的主机 仅可使用包含 ESXi 6.0 或更高版本主机的 vsphere HA 群集来启用 VMCP 包含早期版本主机的群集无法启用 VMCP, 且无法将此类主机添加到已启用 VMCP 的群集中 如果您的群集使用虚拟卷数据存储, 当启用了 vsphere HA 时,vCenter Server 会在每个数据存储上创建一个配置虚拟卷 vsphere HA 将其使用的文件存储在这些容器中以保护虚拟机 如果您删除这些容器, vsphere HA 将无法正常运行 每个虚拟卷数据存储仅创建一个容器 创建 vsphere HA 群集 要为群集启用 vsphere HA, 必须先创建空群集 规划群集的资源和网络架构后, 可使用 vsphere Web Client 将主机添加到群集中, 并指定群集的 vsphere HA 设置 启用了 vsphere HA 的群集是 Fault Tolerance 的必备条件 前提条件 确认所有虚拟机及其配置文件都驻留在共享存储器上 验证是否已将主机配置为访问共享存储器, 以便您可以通过使用群集中的不同主机打开虚拟机电源 确认主机配置为具有虚拟机网络的访问权限 确认正在为 vsphere HA 使用冗余管理网络连接 有关设置网络冗余的信息, 请参见第 33 页, 网络连 接的最佳做法 确认至少已为主机配置两个数据存储, 来为 vsphere HA 数据存储检测信号提供冗余 使用具有群集管理员权限的帐户将 vsphere Web Client 连接到 vcenter Server 步骤 1 在 vsphere Web Client 中, 浏览到想要群集驻留的数据中心, 然后单击创建群集 VMware, Inc. 27

28 2 完成新建群集向导 请不要打开 vsphere HA( 或 DRS) 3 单击确定关闭向导并创建空群集 4 根据您的群集资源和网络架构计划, 使用 vsphere Web Client 将主机添加到群集 5 浏览到群集并启用 vsphere HA a b 依次单击管理选项卡和设置 选择 vsphere HA, 然后单击编辑 c 选择打开 vsphere HA 6 选择主机监控 启用主机监控可允许群集中的主机交换网络监测信号, 并允许 vsphere HA 在检测到故障时采取措施 主机监控是 vsphere Fault Tolerance 恢复进程正常运行所必需的 7 为虚拟机监控选择设置 如果在设置的时间内没有收到单个虚拟机的检测信号, 请选择仅虚拟机监控以重新启动该虚拟机 也可以选择虚拟机和应用程序监控来启用应用程序监控 8 单击确定 此时即已拥有包含主机的 vsphere HA 群集 下一步根据需要为群集配置 vsphere HA 设置 错误状况和虚拟机响应 接入控制 用于检测信号的数据存储 高级选项请参见第 28 页, 配置 vsphere HA 群集设置 配置 vsphere HA 群集设置 创建 vsphere HA 群集时或配置现有群集时, 必须配置可决定功能如何运行的设置 在 vsphere Web Client 中, 您可以配置以下 vsphere HA 设置 : 错误状况和虚拟机响应接入控制用于检测信号的数据存储高级选项 此处提供 虚拟机重新启动优先级 主机隔离响应 虚拟机监控敏感度 和 虚拟机组件保护 的设置 可以为 vsphere HA 群集启用或禁用接入控制, 并选择有关其执行方式的策略 为 vsphere HA 用于数据存储监测信号的数据存储指定首选项 通过设置高级选项来自定义 vsphere HA 行为 注意您可以在 vsphere Web Client 的任务控制台中的每个主机上检查 vsphere HA 配置任务的状态 28 VMware, Inc.

29 第 2 章创建和使用 vsphere HA 群集 配置虚拟机响应 错误状况和虚拟机响应 页面可用于选择确定 vsphere HA 如何响应主机故障和隔离的设置 这些设置包括虚拟机重新启动优先级 主机隔离响应 虚拟机组件保护设置以及虚拟机监控敏感度 仅当启用了 vsphere HA 时, 虚拟机响应 页面才可编辑 步骤 1 在 vsphere Web Client 中, 浏览到 vsphere HA 群集 2 依次单击管理选项卡和设置 3 在 设置 下, 选择 vsphere HA, 然后单击编辑 4 展开错误状况和虚拟机响应以显示配置选项 选项 虚拟机重新启动优先级 针对主机隔离的响应 针对处于永久设备丢失 (PDL) 状态的数据存储的响应 针对处于全部路径异常 (APD) 状态的数据存储的响应 APD 的虚拟机故障切换延迟 针对 APD 超时后的 APD 恢复的响应 虚拟机监控敏感度 描述 重新启动优先级用于确定主机发生故障时虚拟机的重新启动顺序 优先级较高的虚拟机将首先启动 仅按照主机来应用此优先级 如果多个主机发生故障, 将首先迁移优先级最高的主机上的所有虚拟机, 然后迁移优先级第二高的主机上的所有虚拟机, 以此类推 主机隔离响应会确定当 vsphere HA 群集内的某个主机失去其控制台网络连接, 但仍在运行时发生的情况 此设置可确定 VMCP 在出现 PDL 故障的情况下执行的操作 可以选择使其发布事件或关闭虚拟机电源再重新启动虚拟机 此设置可确定 VMCP 在出现 APD 故障的情况下执行的操作 可以选择保守地或积极地使其发布事件或关闭虚拟机电源再重新启动虚拟机 此设置为 VMCP 在采取操作之前等待的分钟数 可以选择 VMCP 在此情况下是否重置虚拟机 通过移动低和高之间的滑块, 可以设置此选项 也可以选择自定义以提供自定义设置 5 单击确定 虚拟机响应设置即已生效 配置接入控制 创建群集后, 接入控制允许您指定在虚拟机违反可用性限制时是否可以启动它们 群集会预留资源, 用于在指定数量的主机上对所有正在运行的虚拟机进行故障切换 接入控制 页面仅在启用了 vsphere HA 时才会出现 步骤 1 在 vsphere Web Client 中, 浏览到 vsphere HA 群集 2 依次单击管理选项卡和设置 3 在 设置 下, 选择 vsphere HA, 然后单击编辑 4 展开接入控制以显示配置选项 VMware, Inc. 29

30 5 选择要应用于群集的接入控制策略 选项 按静态主机数量定义故障切换容量 通过预留一定百分比的群集资源来定义故障切换容量 使用专用故障切换主机 不预留故障切换容量 描述 选择可从中恢复或保证可故障切换的主机故障的上限 此外, 您还必须选择插槽大小策略 指定为支持故障切换而作为备用容量保留的 CPU 和内存资源的百分比 选择要用于进行故障切换操作的主机 如果默认故障切换主机没有足够的资源, 则仍可对群集内的其他主机进行故障切换 此选项允许执行违反可用性限制的打开虚拟机电源操作 6 单击确定 接入控制已启用, 并且您选择的策略会生效 配置用于检测信号的数据存储 vsphere HA 使用数据存储检测信号区分出现故障的主机和位于网络分区上的主机 数据存储检测信号允许 vsphere HA 在出现管理网络分区时监控主机, 以及继续对出现的故障进行响应 您可以指定要用于数据存储检测信号的数据存储 步骤 1 在 vsphere Web Client 中, 浏览到 vsphere HA 群集 2 依次单击管理选项卡和设置 3 在 设置 下, 选择 vsphere HA, 然后单击编辑 4 展开用于检测信号的数据存储以显示数据存储检测信号的配置选项 5 要指示 vsphere HA 如何选择数据存储以及如何处理首选项, 请从以下选项中选择 : 表 2 3 数据存储检测信号选项 自动选择可从以下主机访问的数据存储 仅使用指定列表中的数据存储 使用指定列表中的数据存储并根据需要自动补充 6 在可用检测信号数据存储窗格中, 选择要用于检测信号的数据存储 所列出的数据存储均由 vsphere HA 群集中的多台主机共享 选择了某个数据存储后, 下方的窗格将显示 vsphere HA 群集中可访问此数据存储的所有主机 7 单击确定 设置高级选项 要自定义 vsphere HA 行为, 请设置高级 vsphere HA 选项 前提条件 确认您具有群集管理员特权 注意因为这些选项会影响 vsphere HA 的运行, 所以更改时请小心谨慎 30 VMware, Inc.

31 第 2 章创建和使用 vsphere HA 群集 步骤 1 在 vsphere Web Client 中, 浏览到 vsphere HA 群集 2 依次单击管理选项卡和设置 3 在 设置 下, 选择 vsphere HA, 然后单击编辑 4 展开高级选项 5 单击添加, 然后在文本框中键入高级选项的名称 您可在 值 列的文本框中设置选项的值 6 针对要添加的每个新选项重复执行第 5 步, 然后单击确定 群集即会使用您已添加或修改的选项 下一步设置高级 vsphere HA 选项后, 它将保持不变, 直到您执行以下操作之一 : 使用 vsphere Web Client 将其值重置为默认值 从群集中所有主机上的 fdm.cfg 文件中手动编辑或删除此选项 vsphere HA 高级选项您可以设置影响 vsphere HA 群集的行为的高级选项 表 2 4 vsphere HA 高级选项 选项 das.isolationaddress[...] das.usedefaultisolationaddress das.isolationshutdowntimeout das.slotmeminmb das.slotcpuinmhz das.vmmemoryminmb das.vmcpuminmhz 描述 设置为了确定主机是否与网络隔离而要 ping 的地址 只有当未从群集内的任何其他主机接收到检测信号时才 ping 此地址 如果未指定, 则使用管理网络的默认网关 此默认网关必须是可用的可靠地址, 以便主机可以确定它是否与网络隔离 可以为群集指定多个隔离地址 ( 最多 10 个 ): das.isolationaddressx, 其中 X = 0-9 通常每个管理网络应指定一个隔离地址 如果指定的地址太多, 则进行隔离检测所需的时间将会较长 默认情况下,vSphere HA 使用控制台网络的默认网关作为隔离地址 此选项指定是否使用此默认设置 (true false) 关闭虚拟机电源之前, 系统等待虚拟机关机的时间段 只有在主机的隔离响应为 关闭虚拟机 时, 此选项才适用 默认值为 300 秒 定义内存插槽大小的最大限制 如果使用此选项, 则插槽大小小于该值, 或是小于群集内任何已打开电源虚拟机的最大内存预留以及内存开销 定义 CPU 插槽大小的最大限制 如果使用此选项, 则插槽大小小于该值, 或是小于群集内任何已打开电源虚拟机的最大 CPU 预留 定义在没有指定虚拟机内存预留或者内存预留为零时, 分配给虚拟机的默认内存资源值 用于 群集允许的主机故障数目 接入控制策略 如果未指定任何值, 则默认值为 0 MB 定义在没有指定虚拟机 CPU 预留或者内存预留为零时, 分配给虚拟机的默认 CPU 资源值 用于 群集允许的主机故障数目 接入控制策略 如果未指定任何值, 则默认值为 32 MHz VMware, Inc. 31

32 表 2 4 vsphere HA 高级选项 ( 续 ) 选项 描述 das.iostatsinterval 更改虚拟机监控敏感度的默认 I/O 统计间隔 默认值为 120 ( 秒 ) 可以设置为大于等于 0 的任何值 设置为 0 会禁用检查 注意建议不要使用小于 50 的值, 因为较小的值可能会导致 vsphere HA 意外重置虚拟机 das.ignoreinsufficienthbdatastore 如果主机不具有足够的 vsphere HA 检测信号数据存储, 则禁用创建的配置问题 默认值为 false das.heartbeatdsperhost 更改所需的检测信号数据存储的数量 有效值范围为 2 至 5, 默认值为 2 fdm.isolationpolicydelaysec das.respectvmvmantiaffinityrules das.maxresets das.maxterminates das.terminateretryintervalsec das.config.fdm.reportfailoverfailevent vpxd.das.completemetadataupdateintervalsec 在确定主机被隔离后执行隔离策略之前系统等待的秒数 最小值为 30 如果设置的值小于 30, 延迟时间将为 30 秒 确定 vsphere HA 是否强制执行虚拟机间反关联性规则 默认值为 false, 不强制执行规则 也可以设置为 true, 强制执行规则 ( 即使未启用 vsphere DRS) 在此情况下, 如果对虚拟机进行故障切换违反规则, 则 vsphere HA 不会进行故障切换, 但会发出一个事件, 报告资源不足, 无法执行故障切换 有关反关联性规则的详细信息, 请参见 vsphere 资源管理 VMCP 进行重置尝试的最大次数 如果受 APD 状况影响的虚拟机上的重置操作失败,VMCP 将在放弃之前重试此操作许多次 VMCP 进行虚拟机终止重试的最大次数 如果 VMCP 无法终止虚拟机, 这是它重试终止尝试之前系统等待的秒数 如果设置为 1, 则在 vsphere HA 尝试重新启动虚拟机失败时启用详细的每虚拟机事件生成 默认值为 0 在早于 vsphere 6.0 的版本中, 会默认生成此事件 设置虚拟机 - 主机关联性规则后的时间段 ( 秒 ), 在该时间段内,vSphere HA 可以重新启动已禁用 DRS 的群集中的虚拟机以替代此规则 默认值为 300 秒 das.config.fdm.memreservationmb 默认情况下,vSphere HA 代理运行时的配置内存限制为 250 MB 如果主机用尽可预留的容量, 主机可能不允许此预留 您可以使用此高级选项来降低内存限制以避免此问题 仅可指定大于 100( 最小值 ) 的整数 相反, 为防止在大型群集 ( 包含 6,000 至 8,000 个虚拟机 ) 的主代理选举期间出现问题, 应将此限制增加至 325 MB 注意此限制更改后, 必须为群集中的所有主机运行重新配置 HA 任务 另外, 在将新主机添加到群集或重新引导现有主机时, 应对这些主机执行此任务以便更新此内存设置 注意如果更改以下任一高级选项的值, 则必须先禁用 vsphere HA, 再重新启用它, 更改才会生效 das.isolationaddress[...] das.usedefaultisolationaddress das.isolationshutdowntimeout 32 VMware, Inc.

33 第 2 章创建和使用 vsphere HA 群集 自定义单个虚拟机 vsphere HA 群集中的每个虚拟机均分配了 虚拟机重新启动优先级 主机隔离响应 虚拟机组件保护 和 虚拟机监控 的群集默认设置 可以通过更改这些默认项来指定每个虚拟机的特定行为 如果虚拟机离开该群集, 则将丢弃这些设置 步骤 1 在 vsphere Web Client 中, 浏览到 vsphere HA 群集 2 依次单击管理选项卡和设置 3 在 设置 下, 选择虚拟机替代项, 然后单击添加 4 使用 + 按钮选择要将替代项应用到的虚拟机 5 单击确定 6 ( 可选 ) 您可以更改其他设置, 如自动化级别 虚拟机重新启动优先级 主机隔离响应 VMCP 设置 虚 拟机监控或虚拟机监控敏感度设置 注意您可先后展开相关群集设置和 vsphere HA, 查看这些设置的群集默认值 7 单击确定 现在, 对于更改的每项设置, 虚拟机的行为将不同于群集默认值 vsphere HA 群集的最佳做法 为确保获得最佳 vsphere HA 群集性能, 您应遵循某些最佳做法 本节重点介绍适用于 vsphere HA 群集的一些主要的最佳做法 您也可以参考出版物 vsphere High Availability 部署最佳做法 了解更多信息 网络连接的最佳做法 请遵守以下针对主机网卡配置和 vsphere HA 的网络拓扑的最佳做法 最佳做法包括对 ESXi 主机的建议, 以及对电缆 交换机 路由器和防火墙的建议 网络配置和维护 下列网络维护建议可以帮助您避免对由于丢失 vsphere HA 检测信号而发生故障的主机和网络隔离的意外检测 对群集 ESXi 主机所在的网络进行更改时, 请挂起主机监控功能 更改网络硬件或网络连接设置会中断 vsphere HA 用于检测主机故障的检测信号, 并且这可能导致不必要的虚拟机故障切换尝试 在 ESXi 主机上更改网络连接配置时 ( 例如, 添加端口组或移除 vswitch), 请挂起主机监控 在对网络连接配置进行更改之后, 您必须在群集中的所有主机上重新配置 vsphere HA, 从而能够重新检查网络信息 然后重新启用主机监控 注意由于网络是 vsphere HA 的一个重要组件, 因此, 如果需要执行网络维护, 请通知 vsphere HA 管理员 用于 vsphere HA 通信的网络 要识别哪些网络操作可能会中断 vsphere HA 的运行, 应当了解哪些管理网络用于检测信号和其他 vsphere HA 通信 在群集中的旧版 ESX 主机上,vSphere HA 通信通过被指定为服务控制台网络的所有网络进行传输 这些主机没有将 VMkernel 网络用于 vsphere HA 通信 要在 ESX 控制台网络子集中包含 vsphere HA 流量, 请使用 allowednetworks 高级选项 VMware, Inc. 33

34 在群集中的 ESXi 主机上, 默认情况下,vSphere HA 通信通过 VMkernel 网络进行传输 在 ESXi 主机上, 如果不使用 vcenter Server 所用的网络与 vsphere HA 的主机进行通信, 您必须明确启用管理流量复选框 若要保留已指定网络上的 vsphere HA 代理流量, 请配置主机, 以便 vsphere HA 所使用的 vmknic 不会与用于其他用途的 vmknic 共享子网 如果至少为 vsphere HA 管理流量配置了一个 vmknic, 则 vsphere HA 代理将使用与给定子网关联的任一 pnic 发送数据包 因此, 要确保网络流量分离,vSphere HA 以及其他功能所使用的 vmknic 必须位于不同的子网上 网络隔离地址 网络隔离地址是要 ping 的 IP 地址, 以确定主机是否与网络隔离 只有当主机已停止从群集内的任何其他主机接收检测信号时才 ping 此地址 如果主机可以 ping 其网络隔离地址, 则说明该主机并未与网络隔离, 并且群集内的其他主机已出现故障或网络分区 但是, 如果主机无法 ping 其隔离地址, 则可能该主机已与网络隔离, 并且不会执行故障切换操作 默认情况下, 网络隔离地址是主机的默认网关 无论已定义多少个管理网络, 都只会指定一个默认网关 应当使用 das.isolationaddress[...] 高级选项为其他网络添加隔离地址 请参见第 31 页, vsphere HA 高级选项 网络路径冗余 群集节点之间的网络路径冗余对 vsphere HA 可靠性非常重要 单个管理网络会最终成为单一故障点, 并且, 尽管只有该网络出现故障, 仍可能会导致故障切换 如果仅有一个管理网络, 那么在网络连接故障期间未保留检测信号数据存储连接时主机和群集之间的任何故障都可能会导致不必要 ( 或错误 ) 的故障切换活动 可能的故障包括网卡故障 网络电缆故障 网络电缆移除和交换机重置 考虑主机可能导致故障的上述原因, 然后尝试减少这些问题 ( 通常通过提供网络冗余来实现此目的 ) 实现网络冗余的首选方法是在网卡级别使用网卡成组 如果用两个连接到不同物理交换机的网卡组成一个网卡组, 则可以提高管理网络的可靠性 因为通过两个网卡 ( 并且通过单独的交换机 ) 连接的服务器具有两条独立的路径来发送和接收检测信号, 所以群集具有更好的弹性 要为管理网络配置网卡组, 请在活动或待机配置的 vswitch 配置中配置 vnic 推荐的 vnic 参数设置如下 : 默认的负载平衡 = 基于源虚拟端口 ID 的路由 故障恢复 = 否 在为 vsphere HA 群集中的一个主机添加网卡之后, 必须在该主机上重新配置 vsphere HA 在大多数实现中, 网卡成组可以提供足够的检测信号冗余, 但是除此之外, 您还可以创建一个连接到单独虚拟交换机的辅助管理网络连接 冗余管理网络连接能够可靠地检测故障并防止出现隔离或分区的情况, 因为检测信号可以通过多个网络发送 原始管理网络连接用于网络和管理 辅助管理网络连接创建之后,vSphere HA 会同时通过两种管理网络连接发送检测信号 如果一条路径发生故障,vSphere HA 仍可通过另一条路径发送和接收检测信号 注意在群集内的服务器之间尽量少配置硬件分段, 目的是为了限制单一故障点 此外, 跃点过多的路由可能会导致检测信号的网络数据包延迟, 并增加潜在的故障点数目 使用 IPv6 网络配置 仅应向 vsphere HA 群集使用的给定网络接口分配一个 IPv6 地址 分配多个 IP 地址会增加群集的主控主机发送的检测信号消息数量, 这其实弊大于利 34 VMware, Inc.

35 第 2 章创建和使用 vsphere HA 群集 互操作性的最佳做法 请遵守以下针对允许在 vsphere HA 和其他功能之间进行适当的互操作的最佳做法 混合群集中的 vsphere HA 和 Storage vmotion 互操作性 在包含 ESXi 5.x 主机和 ESX/ESXi 4.1 或旧版主机, 且广泛使用 Storage vmotion 或启用了 Storage DRS 的群集中, 请勿部署 vsphere HA vsphere HA 可能通过在某个 ESXi 版本 ( 不同于出现故障前运行虚拟机的主机版本 ) 的主机上重新启动虚拟机来响应主机故障 如果出现故障时虚拟机被卷进 ESXi 5.x 主机上的 Storage vmotion 操作, 而且 vsphere HA 在低于 ESXi 5.0 版本的主机上重新启动虚拟机, 则会出现问题 虽然虚拟机可能打开电源, 但针对快照操作的任何后续尝试都可能会使 vdisk 状态遭到损坏并导致虚拟机不可用 将 Auto Deploy 与 vsphere HA 配合使用 可以将 vsphere HA 与 Auto Deploy 配合使用来提高虚拟机的可用性 Auto Deploy 可在打开主机电源时置备这些主机, 您还可以将其配置为在引导过程中于这些主机上安装 vsphere HA 代理 有关详细信息, 请参见 vsphere 安装和设置 中的 Auto Deploy 文档 使用 Virtual SAN 升级群集中的主机 如果要将 vsphere HA 群集中的 ESXi 主机升级到版本 5.5 或更高版本, 而且还计划使用 Virtual SAN, 请按以下过程执行操作 1 升级所有主机 2 禁用 vsphere HA 3 启用 Virtual SAN 4 重新启用 vsphere HA 接入控制的最佳做法 请遵守以下针对 vsphere HA 接入控制的配置和使用的最佳做法 以下建议是 vsphere HA 接入控制的最佳做法 选择 预留的群集资源的百分比 接入控制策略 该策略在主机和虚拟机所需空间方面提供了极高的灵活性 配置此策略时, 选择 CPU 和内存的百分比以反映要支持的主机故障数 例如, 如果希望 vsphere HA 为两个主机故障留出资源, 并且群集中包含十个具有相同容量的主机, 则可以指定 20% (2/10) 确保设置的所有群集主机大小相等 对于 群集允许的主机故障数目 策略, 不平衡的群集会导致预留过多容量来处理故障, 因为 vsphere HA 为最大的主机预留容量 对于 群集资源的百分比 策略, 不平衡的群集要求指定的百分比大于在平衡群集情况下为预期主机故障数预留足够容量所需的百分比 如果计划使用 群集允许的主机故障数目 策略, 请尝试在所有配置的虚拟机间保持相似的虚拟机大小要求 该策略使用插槽大小来计算需要为每个虚拟机预留的容量 插槽大小取决于任一虚拟机需要的最大预留内存和 CPU 当混用 CPU 和内存要求不同的多个虚拟机时, 插槽大小计算将默认为最大可能值 ( 限制整合 ) 如果您计划使用 指定故障切换主机 策略, 请确定要支持的主机故障数, 然后将该主机数指定为故障切换主机数 如果群集不平衡, 则指定的故障切换主机至少应与群集中的非故障切换主机具有相同的大小 这可确保在万一出现故障时有足够的容量 VMware, Inc. 35

36 群集监控最佳做法 请遵守以下针对监控 vsphere HA 群集状态和有效性的最佳做法 将警报设置为监控群集更改 当 vsphere HA 或 Fault Tolerance 执行用于维护可用性的操作时 ( 例如, 虚拟机故障切换 ), 可能会向您通知此类更改 将 vcenter Server 中的警报配置为在执行这些操作时触发, 并向指定的一组管理员发送警示 ( 如电子邮件 ) 提供多个默认的 vsphere HA 警报 故障切换资源不足 ( 群集警报 ) 找不到主机 ( 群集警报 ) 正在进行故障切换 ( 群集警报 ) 主机 HA 状态 ( 主机警报 ) VM 监控错误 ( 虚拟机警报 ) 虚拟机监控操作 ( 虚拟机警报 ) 故障切换失败 ( 虚拟机警报 ) 注意默认的警报包括功能名称 vsphere HA 监控群集有效性 有效群集是尚未违反接入控制策略的群集 当已打开电源的虚拟机数超过了故障切换需求, 即当前故障切换容量小于所配置的故障切换容量时, 已启用 vsphere HA 的群集将会变为无效 如果禁用了接入控制, 则群集不会变为无效 在 vsphere Web Client 中, 从群集的监控选项卡中选择 vsphere HA, 然后选择配置问题 此时会显示当前 vsphere HA 问题的列表 如果群集是由于 vsphere HA 问题而变为红色的, 则 DRS 行为不会受到影响 36 VMware, Inc.

37 为虚拟机提供 Fault Tolerance 3 可以为虚拟机利用 vsphere Fault Tolerance, 以获得比 vsphere HA 所提供的级别更高的可用性和数据保护, 从而确保业务连续性 Fault Tolerance 基于 ESXi 主机平台构建, 它通过在单独主机上运行相同的虚拟机来提供连续可用性 要获取 Fault Tolerance 的最佳结果, 应先熟悉其工作原理 如何为群集和虚拟机启用它及其最佳使用方法 虚拟机的 Fault Tolerance 保护 ( bctid=ref:video_fault_tolerance_protection_vms) 本章讨论了以下主题 : 第 37 页, Fault Tolerance 的工作方式 第 38 页, Fault Tolerance 用例 第 38 页, Fault Tolerance 要求 限制和许可 第 39 页, Fault Tolerance 互操作性 第 40 页, 为 Fault Tolerance 准备群集和主机 第 43 页, 使用 Fault Tolerance 第 46 页, Fault Tolerance 的最佳做法 第 48 页, 旧版 Fault Tolerance Fault Tolerance 的工作方式 可以为大多数任务关键虚拟机使用 vsphere Fault Tolerance (FT) FT 通过创建和维护与此类虚拟机相同且可在发生故障切换时随时替换此类虚拟机的其他虚拟机, 来确保此类虚拟机的连续可用性 受保护的虚拟机称为主虚拟机 重复虚拟机, 即辅助虚拟机, 在其他主机上创建和运行 由于辅助虚拟机与主虚拟机的执行方式相同, 并且辅助虚拟机可以无中断地接管任何点处的执行, 因此可以提供容错保护 主虚拟机和辅助虚拟机会持续监控彼此的状态以确保维护 Fault Tolerance 如果运行主虚拟机的主机发生故障, 系统将会执行透明故障切换, 此时会立即启用辅助虚拟机以替换主虚拟机, 启动新的辅助虚拟机, 并自动重新建立 Fault Tolerance 冗余 如果运行辅助虚拟机的主机发生故障, 则该主机也会立即被替换 在任一情况下, 用户都不会遭遇服务中断和数据丢失的情况 容错虚拟机及其辅助副本不允许在相同主机上运行 此限制可确保主机故障不会导致两个虚拟机都丢失 注意也可以使用虚拟机 - 主机关联性规则来确定要在其上运行指定虚拟机的主机 如果使用这些规则, 应了解对于受这种规则影响的任何主虚拟机, 其关联的辅助虚拟机也受这些规则影响 有关关联性规则的详细信息, 请参见 vsphere 资源管理 vsphere Resource Management 文档 VMware, Inc. 37

38 容错可避免 裂脑 情况的发生, 此情况可能会导致虚拟机在从故障中恢复后存在两个活动副本 共享存储器上锁定的原子文件用于协调故障切换, 以便只有一端可作为主虚拟机继续运行, 并由系统自动重新生成新辅助虚拟机 vsphere Fault Tolerance 可容纳最多具有 4 个 vcpu 的对称多处理器 (SMP) 虚拟机 早期版本的 vsphere 使用不同的 Fault Tolerance 技术 ( 现称为旧版 FT), 该技术具有不同要求和特性 ( 包括旧版 FT 虚拟机的单个 vcpu 的限制 ) 如果有必要与这些早期版本的要求相兼容, 可以改用旧版 FT 但是, 这涉及每个虚拟机的高级选项设置 有关详细信息, 请参见第 48 页, 旧版 Fault Tolerance Fault Tolerance 用例 几种典型情况可以受益于 vsphere Fault Tolerance 的使用 Fault Tolerance 可提供比 vsphere HA 更高级别的业务连续性 当调用辅助虚拟机以替换与其对应的主虚拟机时, 辅助虚拟机会立即取代主虚拟机的角色, 并会保存其整个状况 应用程序已在运行, 并且不需要重新输入或重新加载内存中存储的数据 这不同于 vsphere HA 提供的故障切换, 故障切换会重新启动受故障影响的虚拟机 更高的连续性级别以及增加的状况信息和数据保护功能可在您要部署容错时提供方案信息 需要始终保持可用的应用程序, 尤其是那些具有长时间客户端连接的应用程序, 用户希望在硬件故障期间保持这些连接 不能通过任何其他方式实现群集功能的自定义应用程序 可以通过自定义群集解决方案提供高可用性, 但这些解决方案太复杂, 很难进行配置和维护的情况 用容错保护虚拟机的另一个关键用例可以描述为按需容错 在这种情况中, 虚拟机在正常操作期间受到 vsphere HA 的充分保护 在某些关键期间, 您可能希望增强虚拟机的保护 例如, 您可能正在执行季末报告, 如果发生中断, 则可能会延迟任务关键信息的可用性 使用 vsphere Fault Tolerance, 可以在运行此报告之前保护此虚拟机, 然后在生成报告之后关闭或挂起 Fault Tolerance 可以在关键时间段使用按需容错保护虚拟机, 然后在非关键操作期间将资源置回正常状态 Fault Tolerance 要求 限制和许可 在使用 vsphere Fault Tolerance (FT) 之前, 请考虑适用于此功能的高级别要求 限制和许可 要求 以下 CPU 和网络要求适用于 FT 主机中用于容错虚拟机的 CPU 必须与 vsphere vmotion 兼容或使用增强型 vmotion 兼容性进行了改进 此外, 还需要 CPU 支持硬件 MMU 虚拟化 (Intel EPT 或 AMD RVI) 支持以下 CPU Intel Sandy Bridge 或更高版本 Avoton 不受支持 AMD Bulldozer 或更高版本 请对 FT 使用 10 Gb 日志记录网络并验证网络滞后时间是否非常短 强烈建议使用专用 FT 网络 限制 在已配置为使用 Fault Tolerance 的群集中, 分别强制执行两个限制 das.maxftvmsperhost das.maxftvcpusperhost 群集中的主机上允许的最大容错虚拟机数量 主虚拟机和辅助虚拟机计入此限制 默认值为 4 跨主机上所有容错虚拟机聚合的最大 vcpu 数量 主虚拟机和辅助虚拟机中的 vcpu 均计入此限制 默认值为 8 38 VMware, Inc.

39 第 3 章为虚拟机提供 Fault Tolerance 许可 单个容错虚拟机支持的 vcpu 数量受您针对 vsphere 购买的许可级别限制 Fault Tolerance 支持情况如下 : vsphere Standard 和 Enterprise 最多可允许 2 个 vcpu vsphere Enterprise Plus 最多允许 4 个 vcpu 注意在 vsphere Essentials 和 vsphere Essentials Plus 中不支持 FT 和旧版 FT Fault Tolerance 互操作性 vsphere Fault Tolerance 面临一些有关 vsphere 功能 设备及其可与之交互的其他功能的限制 在配置 vsphere Fault Tolerance 之前, 应当了解 Fault Tolerance 不能与之交互操作的功能和产品 Fault Tolerance 不支持的 vsphere 功能 配置群集时, 应注意并非所有 vsphere 功能都可与 Fault Tolerance 进行交互操作 容错虚拟机不支持以下 vsphere 功能 快照 在虚拟机上启用 Fault Tolerance 前, 必须移除或提交快照 此外, 不可能对已启用 Fault Tolerance 的虚拟机执行快照 注意 Fault Tolerance 支持为 vstorage APIs - Data Protection (VADP) 备份而创建的仅磁盘快照 但是, 旧版 FT 不支持 VADP Storage vmotion 不能为已启用 Fault Tolerance 的虚拟机调用 Storage vmotion 要迁移存储器, 应当先暂时关闭 Fault Tolerance, 然后再执行 Storage vmotion 操作 在完成迁移之后, 可以重新打开 Fault Tolerance 链接克隆 不能在为链接克隆的虚拟机上使用 Fault Tolerance, 也不能从启用了 FT 的虚拟机创建链接克隆 虚拟机组件保护 (VMCP) 如果您的群集已启用 VMCP, 则会为关闭此功能的容错虚拟机创建替代项 虚拟卷数据存储 基于存储的策略管理 I/O 筛选器 不与 Fault Tolerance 兼容的功能和设备 并非所有第三方设备 功能或产品都可与 Fault Tolerance 进行交互操作 要使虚拟机与 Fault Tolerance 功能兼容, 虚拟机不能使用以下功能或设备 表 3 1 不与 Fault Tolerance 兼容的功能和设备以及纠正操作 不兼容的功能或设备物理裸磁盘映射 (RDM) 由物理或远程设备支持的 CD-ROM 或虚拟软盘设备 USB 和声音设备 N_Port ID 虚拟化 (NPIV) 网卡直通 纠正操作 使用旧版 FT, 可以将具有支持物理 RDM 的虚拟设备的虚拟机重新配置为改用虚拟 RDM 移除 CD-ROM 或虚拟软盘设备, 或使用共享存储器上安装的 ISO 重新配置备用功能 从虚拟机移除这些设备 禁用虚拟机的 NPIV 配置 Fault Tolerance 不支持此功能, 因此必须将其关闭 VMware, Inc. 39

40 表 3 1 不与 Fault Tolerance 兼容的功能和设备以及纠正操作 ( 续 ) 不兼容的功能或设备热插拔设备 串行或并行端口启用了 3D 的视频设备 虚拟 EFI 固件虚拟机通信接口 (VMCI) 纠正操作 容错虚拟机的热插拔功能将自动禁用 要热插拔设备 ( 添加或移除 ), 必须临时关闭 Fault Tolerance, 完成热插拔操作, 然后重新启用 Fault Tolerance 注意使用 Fault Tolerance 时, 如果在虚拟机正在运行过程中更改虚拟网卡的设置, 该操作即为热插拔操作, 因为它要求先拔出网卡, 然后重新插入 例如, 当正在运行的虚拟机使用虚拟网卡时, 如果更改虚拟网卡所连接到的网络, 必须首先关闭 FT 从虚拟机移除这些设备 Fault Tolerance 不支持启用了 3D 的视频设备 在安装客户机操作系统之前, 请确保将虚拟机配置为使用 BIOS 固件 不受 Fault Tolerance 支持 2TB+ VMDK 2TB+ VMDK 不支持 Fault Tolerance 将 Fault Tolerance 功能与 DRS 配合使用 仅当启用增强型 vmotion 兼容性 (EVC) 功能时, 才可将 vsphere Fault Tolerance 与 vsphere Distributed Resource Scheduler (DRS) 配合使用 此过程可使容错虚拟机受益于更好的初始放置位置 当群集启用了 EVC 时,DRS 将为容错虚拟机提出初始放置位置建议, 并允许您为主虚拟机分配 DRS 自动化级别 ( 辅助虚拟机始终采用与其关联的主虚拟机相同的设置 ) 将 vsphere Fault Tolerance 用于禁用了 EVC 的群集中的虚拟机时, 将为容错虚拟机指定 DRS 自动化级别 已禁用 在此类群集中, 仅可在注册的主机上打开每个主虚拟机的电源, 并且将自动放置其辅助虚拟机 如果将关联性规则用于一对容错虚拟机, 则虚拟机 - 虚拟机关联性规则仅适用于主虚拟机, 而虚拟机 - 主机关联性规则适用于主虚拟机及其辅助虚拟机 如果为主虚拟机设置了虚拟机 - 虚拟机关联性规则, 则 DRS 会尝试解决在故障切换 ( 即主虚拟机移至新的主机 ) 后出现的任何冲突 为 Fault Tolerance 准备群集和主机 要为群集启用 vsphere Fault Tolerance, 必须满足此功能的必备条件, 然后在主机上执行特定的配置步骤 完成这些步骤并创建群集后, 还可以检查配置是否符合启用 Fault Tolerance 的要求 尝试为群集启用 Fault Tolerance 之前, 应当完成的任务包括 : 确保您的群集 主机和虚拟机满足 Fault Tolerance 对照表中所述要求 为每台主机配置网络 创建 vsphere HA 群集, 添加主机, 并检查合规性 在为群集和主机准备好 Fault Tolerance 之后, 便可为虚拟机打开 Fault Tolerance 请参见第 44 页, 打开 Fault Tolerance Fault Tolerance 对照表 以下对照表包含在使用 vsphere Fault Tolerance 之前需要了解的群集 主机和虚拟机要求 在设置 Fault Tolerance 之前, 应查看此列表 注意容错虚拟机的故障切换与 vcenter Server 无关, 但必须使用 vcenter Server 来设置 Fault Tolerance 群集 40 VMware, Inc.

41 第 3 章为虚拟机提供 Fault Tolerance Fault Tolerance 的群集要求 在使用 Fault Tolerance 之前, 必须满足以下群集要求 配置了 Fault Tolerance 日志记录和 vmotion 网络 请参见第 42 页, 为主机配置网络 vsphere HA 群集已创建并启用 请参见第 26 页, 创建和配置 vsphere HA 群集 打开容错虚拟机电源或者将主机添加到已支持容错虚拟机的群集之前, 必须启用 vsphere HA Fault Tolerance 的主机要求 在使用 Fault Tolerance 之前, 必须满足以下主机要求 主机必须使用受支持的处理器 主机必须获得 Fault Tolerance 的许可 主机必须已通过 Fault Tolerance 认证 请参见 并选择按与容错兼容的集合搜索, 确定主机是否已通过认证 在配置每台主机时, 都必须在 BIOS 中启用硬件虚拟化 (HV) 注意 VMware 建议将用于支持 FT 虚拟机的主机的 BIOS 电源管理设置设为 最高性能 或 受操作系统管理的性能 要确认群集内的主机是否兼容, 从而判断其是否支持 Fault Tolerance, 还可以按第 42 页, 创建群集和检查合规性 中所说明的那样运行配置文件合规性检查 Fault Tolerance 的虚拟机要求在使用 Fault Tolerance 之前, 必须满足以下虚拟机要求 没有不受支持的设备连接到虚拟机 请参见第 39 页, Fault Tolerance 互操作性 不兼容的功能一定不能与容错虚拟机一起运行 请参见第 39 页, Fault Tolerance 互操作性 虚拟机文件必须存储在共享存储器上 可接受共享的存储解决方案包括光纤通道 ( 硬件和软件 )iscsi NFS 和 NAS 其他配置建议 在配置 Fault Tolerance 时还应遵循以下准则 如果要使用 NFS 访问共享存储器, 请使用至少具有 1 千兆位网卡的专用 NAS 硬件, 以获取为了使 Fault Tolerance 功能正常工作所需的网络性能 在开启 Fault Tolerance 功能后, 容错虚拟机的保留内存设置为虚拟机的内存大小 确保包含容错虚拟机的资源池拥有大于虚拟机内存大小的内存资源 如果资源池中没有额外内存, 则可能没有内存可用作开销内存 每个容错虚拟机最多使用 16 个虚拟磁盘 为确保冗余和最大 Fault Tolerance 保护, 群集中应至少有三台主机 如果发生故障切换情况, 这可确保有 主机可容纳所创建的新辅助虚拟机 VMware, Inc. 41

42 为主机配置网络 在要添加到 vsphere HA 群集的每台主机上, 必须配置两个不同的网络交换机 (vmotion 和 FT 日志记录 ), 以便主机支持 vsphere Fault Tolerance 要为主机启用 Fault Tolerance, 必须为每个端口组选项 (vmotion 和 FT 日志记录 ) 均完成此步骤, 以确保有足够的带宽可供 Fault Tolerance 日志记录使用 选择一个选项, 完成该过程, 然后选择另一个端口组选项, 再执行一次该过程 前提条件 需要多个千兆位网络接口卡 (NIC) 对于支持 Fault Tolerance 功能的每台主机, 建议最少使用两个物理网卡 例如, 您需要一个网卡专门用于 Fault Tolerance 日志记录, 另一个则专门用于 vmotion 使用三个或更多网卡来确保可用性 注意 vmotion 和 FT 日志记录网卡必须位于不同子网上 如果使用的是旧版 FT, 则在 FT 日志记录网卡上不支持 IPv6 步骤 1 在 vsphere Web Client 中, 浏览到主机 2 依次单击管理选项卡和网络 3 单击添加主机网络图标 4 在 选择连接类型 页面上选择 VMkernel 网络适配器, 然后单击下一步 5 选择新建标准交换机, 然后单击下一步 6 为该交换机分配可用的物理网络适配器, 然后单击下一步 7 提供网络标签并启用所需的服务, 然后单击下一步 8 提供 IP 地址和子网掩码, 在检查您的设置后单击完成 在创建 vmotion 和 Fault Tolerance 日志记录虚拟交换机后, 可以根据需要创建其他虚拟交换机 将主机添加到群集, 并完成打开 Fault Tolerance 所需的所有步骤 下一步 注意如果将网络连接配置为支持 FT, 但随后又挂起了 Fault Tolerance 日志记录端口, 则已打开电源的容错虚拟机对将保持打开电源状态 如果出现了故障切换情况, 那么, 当主虚拟机被其辅助虚拟机替换时, 将不会启动新的辅助虚拟机, 这会导致新的主虚拟机以 不受保护 状态运行 创建群集和检查合规性 vsphere Fault Tolerance 在 vsphere HA 群集环境中使用 为每台主机配置网络连接后, 创建 vsphere HA 群集并向其中添加主机 您可查看群集配置是否正确以及是否符合启用 Fault Tolerance 的要求 步骤 1 在 vsphere Web Client 中, 浏览到群集 2 单击监控选项卡, 然后单击配置文件合规性 3 单击立即检查合规性运行合规性测试 此时将显示合规性测试结果, 并显示每台主机是合规还是不合规 42 VMware, Inc.

43 第 3 章为虚拟机提供 Fault Tolerance 使用 Fault Tolerance 在采取了为群集启用 vsphere Fault Tolerance 所需的全部步骤之后, 可以为各个虚拟机打开 Fault Tolerance 功能 在打开 Fault Tolerance 之前, 需要在虚拟机上执行验证检查 在通过这些检查并为虚拟机打开 vsphere Fault Tolerance 之后, 新选项将添加到其上下文菜单的 Fault Tolerance 区域 这包括关闭或禁用 Fault Tolerance 迁移辅助虚拟机 测试故障切换和测试辅助虚拟机重新启动的选项 打开 Fault Tolerance 时的验证检查 如果用于打开 Fault Tolerance 的选项可用, 则此任务仍然必须进行验证, 并且在未满足某些要求时可能会失败 在打开 Fault Tolerance 之前, 需要在虚拟机上执行多项验证检查 必须在 vcenter Server 设置中启用 SSL 证书检查 主机必须位于 vsphere HA 群集或包含 vsphere HA 和 DRS 的混合群集内 主机必须安装了 ESXi 6.x 或更高版本 (ESX/ESXi 4.x 或更高版本适用旧版 FT) 虚拟机不得有快照 虚拟机不得是模板 对于虚拟机不得禁用 vsphere HA 虚拟机不得有启用了 3D 的视频设备 已启动虚拟机的检查 已对已打开电源的虚拟机 ( 或正在打开电源的虚拟机 ) 执行了多项附加验证检查 容错虚拟机所驻留的主机的 BIOS 必须启用了硬件虚拟化 (HV) 支持主虚拟机的主机必须有支持 Fault Tolerance 的处理器 您的硬件应认证为与 Fault Tolerance 兼容 为了确认这点, 请使用 中的 VMware 兼容性指南 并选择按与容错兼容的集合搜索 虚拟机的配置必须有效, 以便与 Fault Tolerance 功能配合使用 ( 例如, 不得包含任何不受支持的设备 ) 辅助虚拟机放置 当为虚拟机打开 Fault Tolerance 这一操作通过验证检查时, 将创建辅助虚拟机 辅助虚拟机的放置位置和即时状态取决于在打开 Fault Tolerance 时主虚拟机是已打开电源还是已关闭电源 如果主虚拟机已打开电源 : 将复制整个主虚拟机的状况, 创建辅助虚拟机, 并将其放置在单独的兼容主机上, 而且会在通过接入控制时打开电源 虚拟机的 Fault Tolerance 状态显示为受保护 如果主虚拟机已关闭电源 : 将立即创建辅助虚拟机并在群集的主机中注册 ( 打开该虚拟机电源时, 可能会在更合适的主机上重新进行注册 ) 辅助虚拟机在主虚拟机打开电源之后打开电源 VMware, Inc. 43

44 虚拟机的 Fault Tolerance 状态显示为不受保护 虚拟机未运行 当尝试在打开 Fault Tolerance 之后打开主虚拟机的电源时, 将执行上面列出的附加验证检查 通过这些检查之后, 将打开主虚拟机和辅助虚拟机的电源, 并将其分别放置在单独的兼容主机上 虚拟机的 Fault Tolerance 状态标记为受保护 打开 Fault Tolerance 您可以通过 vsphere Web Client 打开 vsphere Fault Tolerance 在打开 Fault Tolerance 功能后,vCenter Server 会重置虚拟机的内存限制, 并将内存预留值设置为虚拟机的内存大小 当 Fault Tolerance 保持打开状态时, 不能更改内存预留 大小 限制 vcpu 数量或份额 也不能添加或移除虚拟机磁盘 在关闭 Fault Tolerance 功能后, 已更改的任何参数均不会恢复到其原始值 使用具有群集管理员权限的帐户将 vsphere Web Client 连接到 vcenter Server 前提条件 如果符合下列任一情况, 则用于打开 Fault Tolerance 的选项将不可用并变成灰色 : 虚拟机所驻留的主机并未获得使用该功能的许可证 虚拟机所驻留的主机处于维护模式或待机模式 虚拟机已断开连接或被孤立 ( 无法访问其.vmx 文件 ) 用户没有打开此功能的权限 步骤 1 在 vsphere Web Client 中, 浏览到您要为其打开 Fault Tolerance 的虚拟机 2 右键单击虚拟机并选择 Fault Tolerance > 打开 Fault Tolerance 3 单击是 4 选择用于放置辅助虚拟机配置文件的数据存储 然后, 单击下一步 5 选择要在其中放置辅助虚拟机的主机 然后, 单击下一步 6 检查选择内容, 然后单击完成 特定的虚拟机将被指定为主虚拟机, 并在另一台主机上建立辅助虚拟机 现在, 主虚拟机已启用了容错功能 关闭 Fault Tolerance 关闭 vsphere Fault Tolerance 将删除辅助虚拟机及其配置以及所有历史记录 如果您不打算重新启动 Fault Tolerance 功能, 请使用关闭 Fault Tolerance 选项 否则, 请使用挂起 Fault Tolerance 选项 注意如果辅助虚拟机所驻留的主机处于维护模式 已断开或不响应, 则不能使用关闭 Fault Tolerance 选项 在这种情况下, 应当挂起 Fault Tolerance, 然后再将其恢复 步骤 1 在 vsphere Web Client 中, 浏览到您要为其关闭 Fault Tolerance 的虚拟机 2 右键单击虚拟机, 然后选择 Fault Tolerance > 关闭 Fault Tolerance 3 单击是 选定虚拟机的 Fault Tolerance 功能将关闭 选定虚拟机的历史记录和辅助虚拟机都将被删除 44 VMware, Inc.

45 第 3 章为虚拟机提供 Fault Tolerance 挂起 Fault Tolerance 挂起虚拟机的 vsphere Fault Tolerance 也将挂起 Fault Tolerance 保护, 但会保留该虚拟机的辅助虚拟机 配置和所有历史记录 使用该选项可在将来恢复 Fault Tolerance 保护 步骤 1 在 vsphere Web Client 中, 浏览到要为其挂起 Fault Tolerance 的虚拟机 2 右键单击虚拟机并选择 Fault Tolerance > 挂起 Fault Tolerance 3 单击是 选定虚拟机的 Fault Tolerance 功能将被挂起 所选虚拟机的辅助虚拟机和所有历史记录都将保留, 并在恢复该功能时使用 下一步 挂起 Fault Tolerance 后, 要恢复功能, 请选择恢复 Fault Tolerance 迁移辅助虚拟机 在为主要虚拟机打开 vsphere Fault Tolerance 之后, 可以迁移其关联的辅助虚拟机 步骤 1 在 vsphere Web Client 中, 浏览到您要迁移其辅助虚拟机的主虚拟机 2 右键单击虚拟机并选择 Fault Tolerance > 迁移辅助虚拟机 3 完成 迁移 对话框中的选项, 并确认做出的更改 4 单击完成以应用所做的更改 与选定容错虚拟机关联的辅助虚拟机会迁移到指定的主机中 测试故障切换 可以通过诱发所选主要虚拟机的故障切换来测试 Fault Tolerance 保护 如果已关闭虚拟机电源, 则此选项不可用 ( 灰显 ) 步骤 1 在 vsphere Web Client 中, 浏览到要对其测试故障切换的主虚拟机 2 右键单击虚拟机并选择 Fault Tolerance > 测试故障切换 3 在任务控制台中查看有关故障切换的详细信息 此任务通过诱发主要虚拟机故障来确保辅助虚拟机能够替换主要虚拟机 同时会启动一个新的辅助虚拟机, 而主要虚拟机将置回受保护状态 测试重新启动辅助虚拟机 可以通过诱发辅助虚拟机发生故障以测试为所选主要虚拟机提供的 Fault Tolerance 保护 如果已关闭虚拟机电源, 则此选项不可用 ( 灰显 ) 步骤 1 在 vsphere Web Client 中, 浏览到您要对其进行测试的主虚拟机 VMware, Inc. 45

46 2 右键单击虚拟机并选择 Fault Tolerance > 测试重新启动辅助虚拟机 3 在任务控制台中查看有关测试的详细信息 此任务会导致为所选主要虚拟机提供 Fault Tolerance 保护的辅助虚拟机终止 将启动一个新的辅助虚拟机, 而主要虚拟机将置回受保护状态 升级用于 Fault Tolerance 的主机 请使用以下步骤升级用于 Fault Tolerance 的主机 前提条件 确认您具有群集管理员特权 确认拥有多组 ESXi 主机, 每组由四台或多台主机组成, 这些主机托管已打开电源的容错虚拟机 如果虚拟机已关闭电源, 则主虚拟机和辅助虚拟机可以重定位到具有不同内部版本的主机 注意此升级过程适用于至少包含四个节点的群集 更小的群集也可以遵循此说明, 不过不受保护的时间间隔将稍微长一些 步骤 1 使用 vmotion 从两台主机中迁出容错虚拟机 2 将这两台已撤出的主机升级到相同的 ESXi 内部版本 3 在主虚拟机上挂起 Fault Tolerance 4 使用 vmotion 将已挂起 Fault Tolerance 的主虚拟机移至其中一台已升级的主机上 5 针对已移动的主虚拟机恢复 Fault Tolerance 6 要在升级的主机上容纳尽可能多的容错虚拟机对, 请重复步骤 1 到步骤 5 7 使用 vmotion 重新分配容错虚拟机 群集中的所有 ESXi 主机即已升级 Fault Tolerance 的最佳做法 为确保获得最佳 Fault Tolerance 结果, 您应当遵循某些最佳做法 以下主机和网络配置建议有助于提高群集的稳定性和性能 主机配置 运行主虚拟机和辅助虚拟机的主机应当按照与处理器大致相同的频率运行, 否则辅助虚拟机可能会更频繁地重新启动 不依据工作负载进行调整 ( 例如, 为省电而执行功率封顶和强制低频率模式 ) 的平台电源管理功能可能会导致处理器频率大范围浮动 如果辅助虚拟机要定期重新启动, 请在运行容错虚拟机的主机上禁用所有的电源管理模式, 或者确保所有主机以相同电源管理模式运行 主机网络配置 您可以按照以下准则配置主机的网络, 以便在不同流量类型的组合 ( 如 NFS) 和不同数目的物理网卡的情况下支持 Fault Tolerance 将每个网卡绑定分布到两台物理交换机, 并确保这两台物理交换机之间的每个 VLAN 的 L2 域连续性 使用确定的绑定策略确保特定流量类型与特定网卡 ( 活动 / 待机 ) 或网卡集 ( 如源虚拟端口 ID) 具有关联性 46 VMware, Inc.