在 VMM 網狀架構中設定 SDN 網路控制站

本文說明如何在 System Center Virtual Machine Manager （VMM） 網狀架構中設定軟體定義網路控制站 （SDN） 網路控制站。

SDN 網路控制站是可調整且高可用性的伺服器角色，可讓您將網路基礎結構設定自動化，而不是執行手動網路裝置設定。 深入了解。

如需絕佳的簡介， 請觀看提供網路控制站部署概觀的影片 （~ 5 分鐘）。

必要條件

• 規劃軟體定義網路 （SDN）。 深入了解。

• 規劃 SDN 網路控制站安裝和部署。 深入了解。

在您開始使用 Intune 之前

若要在 VMM 網狀架構中設定 SDN，您需要下列專案：

• 服務範本：VMM 會使用服務範本將網路控制站部署自動化。 網路控制站的服務範本支援第 1 代和第 2 代 VM 上的多節點部署。
• 虛擬硬碟：服務範本需要匯入 VMM 連結庫的備妥虛擬硬碟。 此虛擬硬碟用於網路控制站 VM。
  • 虛擬硬碟必須執行已安裝最新修補程式的適用 Windows Server 版本。
  • 它可以是 VHD 或 VHDX 格式。
• 管理邏輯網路：為 VMM 主機、網路控制站主機和租使用者 VM 主機的實體管理網路連線建立模型。
• 邏輯交換器：為管理邏輯網路提供與網路控制站 VM 的連線能力。
• SSL 憑證：驗證 VMM 伺服器與網路控制站之間的通訊。
• HNV 提供者邏輯網路和租使用者 VM 網路：若要驗證網路控制站部署。
• 其他必要條件： 驗證 其他需求。

部署步驟

以下是設定 SDN 網路控制站所需的動作：

1. 設定主機和實體網路基礎結構：您需要存取實體網路裝置，以設定 VLAN、路由和其他專案。 您也需要 Hyper-V 主機來裝載 SDN 基礎結構和租使用者 VM。 深入了解。

2. 準備虛擬硬碟：您可以針對您選擇的服務範本產生，針對 VHD 或 VHDX 格式的網路控制站服務範本準備虛擬硬碟。

3. 下載服務範本：下載網路控制站服務範本，並將其匯入 VMM 連結庫。

4. 設定 Active Directory 安全組：您需要 Active Directory 安全組以進行網路控制站管理，以及另一個網路安全組供網路控制站用戶端使用。 每個群組至少需要一個用戶帳戶。

5. 設定 VMM 連結庫共用。 您可以有選擇性的連結庫檔案共享來保留診斷記錄。 網路控制站會存取此連結庫共用，以在其存留期內儲存診斷資訊。

6. 設定 VMM 主機群組：為所有 SDN Hyper-V 主機設定專用主機群組。

   注意

   主機必須執行已安裝最新修補程式且已啟用 Hyper-V 角色的適用 Windows Server。

7. 建立管理邏輯網路：建立邏輯網路，以鏡像 VMM 主機、網路控制站主機和租使用者 VM 主機的管理網路連線。 如果您想要從集區配置靜態 IP 位址，請在此邏輯網路上建立集區。

8. 建立及部署管理邏輯交換器：您可以建立邏輯交換器，並將其部署在網路控制站主機上，以提供網路控制站 VM 管理網路的連線。

9. 設定憑證：您需要SSL憑證，才能與網路控制站進行安全/HTTPS 通訊。

10. 匯入範本：匯入和自定義網路控制站服務範本。

11. 部署服務：使用服務範本部署網路控制站服務。 然後將它新增為 VMM 服務。

準備虛擬硬碟

1. 根據您想要使用的範本類型準備 VHD 或 VHDX。
2. 準備硬碟之後，請安裝最新的適用 Windows Server 更新，以及如果您有非英文環境所需的任何語言套件。
3. 將 VHD/VHDX 檔案匯入 VMM 連結庫。 深入了解。

下載網路控制站服務範本

1. 從 Microsoft SDN GitHub 存放庫 下載 SDN 資料夾，並將範本從 VMM> 範本>NC 複製到 VMM 伺服器上的本機路徑。

2. 將內容解壓縮到本機電腦上的資料夾。

3. 重新整理連結庫，您稍後會匯入服務範本。

   注意

   設定網路控制站和其他 SDN 元件時，會使用自訂資源文件（軟體負載平衡器、RAS 閘道）。

   NC 資料夾包含四個服務範本和五個自訂資源資料夾。 下表摘要說明：

範本和資源檔

設定 Active Directory 群組

建立網路安全組以進行網路控制站管理和用戶端。

1. 在 Active Directory 使用者和電腦 中，建立網路安全組以進行網路控制站管理。

   • 在群組中，新增具有設定網路控制站許可權的所有使用者。 例如，建立名為 Network Controller Admins 的群組。
   • 您新增至此群組的所有用戶也必須是 Active Directory 中網域使用者群組的成員。
   • 網路控制站管理的群組必須是網域本地組。 此群組的成員將能夠建立、刪除及更新已部署的網路控制站組態。
   • 建立至少一個屬於此群組成員的用戶帳戶，並具有其認證的存取權。 部署網路控制站之後，VMM 可以設定為使用用戶帳戶認證來建立與網路控制站的通訊。

2. 為網路控制站用戶端建立另一個安全組。

   • 新增具有許可權的使用者，以使用網路控制站設定和管理網路。 例如，建立名為 Network Controller Users 的群組。
   • 您新增至新群組的所有用戶也必須是 Active Directory 中 Domain Users 群組的成員。
   • 所有網路控制站組態和管理都是使用表示狀態傳輸 （DNS） 來執行。
   • 群組必須是網域本地組。 部署網路控制站之後，此群組的任何成員將有權透過 REST 型介面與網路控制站通訊。
   • 建立至少一個屬於此群組成員的用戶帳戶。 部署網路控制站之後，VMM 可以設定為使用用戶帳戶認證來建立與網路控制站的通訊。

建立用於記錄的連結庫共用

1. 選擇性地 在 VMM 連結庫中建立檔案共用 ，以保留診斷記錄。
2. 請確定網路控制站可以存取共用。 網路控制站會存取共用來儲存診斷資訊。 請注意具有共用寫入許可權之帳戶的認證。

設定主機群組

1. 為將由 SDN 管理的 Hyper-V 主機建立專用主機群組 。
2. 確定 Hyper-V 主機正在執行已安裝最新修補程式的 Windows Server 2016。

建立管理邏輯網路

您可以在 VMM 中建立管理邏輯網路，以鏡像實體管理網路。

• 邏輯網路提供 VMM 主機、網路控制站主機和租使用者 VM 主機的網路連線設定。
• 建議您特別建立此邏輯網路，以提供網路控制站所管理之基礎結構 VM 的連線能力。
• 如果您已經有使用 [建立具有相同名稱的 VM 網络] 設定的 VMM 邏輯網路 ，以允許虛擬機直接存取此邏輯網路，則可以重複使用此邏輯網路來提供網路控制站的管理連線。

使用下列程式來建立管理邏輯網路：

1. 選取 [網狀架構>網络]。 以滑鼠右鍵按兩下 [邏輯網路>建立邏輯網络]。
2. 指定 [名稱 ] 和選擇性 [描述]。

4. 選取 [ 網站>新增]。 針對將由網路控制站管理的主機選取主機群組。 插入您的管理網路IP子網詳細數據。 此網路必須已經存在，而且必須在實體交換器中設定。
5. 檢閱 [ 摘要 資訊]，然後選取 [ 完成 ] 以完成。

建立 IP 位址集區

如果您想要將靜態 IP 位址配置給網路控制站 VM，請在管理邏輯網路中建立 IP 位址池。 如果您使用 DHCP，您可以略過此步驟。

1. 在 VMM 控制台中，以滑鼠右鍵按下管理邏輯網路，然後選取 [ 建立 IP 集區]。

2. 提供 集區的名稱 和選擇性描述，並確定已為邏輯網路選取管理網路。

3. 在 [網站] 面板中，選取此IP位址池將服務的子網。

4. 在 [IP 位址範圍] 面板中，輸入起始和結束 IP 位址。

5. 若要使用IP作為REST IP，請在要保留給其他用途的IP位址方塊中，輸入指定範圍中的其中一個IP位址。 如果您想要使用 REST 端點，請略過此步驟。

   • 請勿使用您可用子網的前三個IP位址。 例如，如果您的可用子網從 .1 到 .254，請從 .4 或更新範圍開始。
   • 如果節點位於相同的子網中，您必須提供 REST IP 位址。 如果節點位於不同的子網中，您必須提供 REST DNS 名稱。

6. 指定預設閘道位址，並選擇性地設定 DNS 和 WINS 設定。

7. 在 [ 摘要 ] 頁面中，檢閱設定，然後選取 [ 完成 ] 以完成精靈。

建立及部署管理邏輯交換器

您必須在管理邏輯網路上部署邏輯交換器。 交換器提供管理邏輯網路與網路控制站 VM 之間的連線。

1. 在 VMM 控制台中，選取 [網狀架構>網络>建立邏輯交換器]。 檢閱用戶入門資訊，然後選取 [ 下一步]。

2. 提供 名稱和 選擇性描述。 選取 [沒有上行連結小組]。 如果您需要小組，請選取 [內嵌小組]。

   注意

   請勿使用 Team。

3. 針對最小頻寬模式，請選擇 [ 權數] 選項。

4. 在 [ 擴充功能] 中，清除所有切換延伸模組。 這很重要。 如果您在此階段選取任何交換器擴充功能，則稍後可能會封鎖網路控制站上線。

5. 您可以選擇性地新增虛擬埠配置檔，然後選擇主機管理的埠分類。

6. 選取現有的上行通訊埠配置檔，或選取 [新增>上行通訊埠配置檔]。 提供 名稱和 選擇性描述。 使用負載平衡演算法和小組模式的預設值。 選取管理邏輯網路中的所有網站。

7. 選取 [ 新增網络適配器]。 這會將主機虛擬網路適配器 （vNIC） 新增至邏輯交換器和上行通訊埠配置檔，以便在您將邏輯交換器新增至主機時，vNIC 會自動新增。

8. 提供 vNIC 的名稱。 確認管理 VM 網络已列在 [連線] 中。

9. 選取 [此網络適配器將用於主機管理>繼承主機適配卡的連線設定]。 這可讓您從主機上已存在的適配卡取得 vNIC 配接器設定。 如果您稍早建立了埠分類和虛擬埠配置檔，您可以立即加以選取。

10. 在 [ 摘要] 中，檢閱信息，然後選取 [ 完成 ] 以完成精靈。

部署邏輯交換器

您必須在您想要部署 NC 的所有主機上部署管理邏輯交換器。 這些主機必須是您稍早建立的 VMM 主機群組的一部分。 深入了解。

設定安全性憑證

您需要 SSL 憑證，以用於與網路控制站的安全/HTTPS 通訊。 您可以使用下列方法：

• 自我簽署憑證：您可以產生自我簽署憑證，並使用以密碼保護的私鑰導出憑證。
• 證書頒發機構單位 （CA） 憑證：您可以使用 CA 簽署的憑證。

使用自我簽署憑證

下列範例會建立新的自我簽署憑證，而且必須在 VMM 伺服器上執行。

匯出自我簽署憑證

以 .pfx 格式匯出憑證及其私鑰。

1. 開啟 [ 憑證 ] 嵌入式管理單元 （certlm.msc），並在 [個人/憑證] 中找出憑證。

2. 選取 [所有工作匯出]>憑證。>

3. 選取 [ 是]，匯出私鑰 選項，然後選取 [ 下一步]。

4. 選擇 [個人資訊交換 - PKCS #12 (.PFX)]，並接受 [盡可能包含憑證路徑中的所有憑證] 預設值。

5. 指派您要匯出之憑證的使用者 /群組 和密碼;選取 [ 下一步]。

6. 在 [ 要匯出 的檔案] 頁面上，流覽您要放置匯出檔案的位置，併為其命名。

7. 同樣地，在 中導出憑證。CER 格式

   注意

   若要匯出至 。CER 格式，取消核取 [ 是]，匯出私鑰 選項。

8. 將 .PFX 複製到 ServerCertificate.cr 資料夾。

9. 將 .CER 檔案複製到 NCCertificate.cr 資料夾。

完成時，請重新整理這些資料夾，並確定您已複製這些憑證。

使用 CA

1. 要求 CA 簽署的憑證。 針對以 Windows 為基礎的企業 CA， 請使用憑證要求精靈來要求憑證。

2. 請確定憑證包含 OID 1.3.6.1.5.5.7.3.1 所指定的伺服器Auth EKU。 此外，憑證主體名稱必須符合網路控制站的 DNS 名稱。

3. 將 .PFX 複製到 ServerCertificate.cr 資料夾。

4. 將 .CER 檔案複製到 NCCertificate.cr 資料夾。

5. 在中複製 CA 的公鑰。要 TrustedRootCertificate.cr 的 CER 格式。

   注意

   確定企業 CA 已設定為憑證自動註冊。

增強金鑰使用方式

1. 如果 Hyper-V 主機上的 Personal （My – cert：\localmachine\my） 證書存儲具有一個以上的 X.509 憑證，且主體名稱 （CN） 為主機完整功能變數名稱 （FQDN），請確定 SDN 使用的憑證具有具有 OID 1.3.6.1.4.1.311.95.1.1.1.1.1.1 的額外自定義增強密鑰使用屬性。 否則，網路控制卡與主機之間的通訊可能無法運作。

2. 請確定 CA 針對南系結通訊發出的憑證具有具有 OID 1.3.6.1.1.4.1.311.95.1.1.1.1 的額外自定義增強密鑰使用方式屬性。

設定服務範本

匯入範本並更新您環境的參數。

匯入範本

將服務範本匯入 VMM 連結庫。 在此範例中，我們將匯入第 2 代範本。

1. 選取 [鏈接庫>匯入範本]。

2. 流覽至您的服務範本資料夾，選取 網路控制站生產第 2 代VM.xml 檔案。

3. 當您匯入服務範本時，請更新環境的參數。 檢閱詳細數據，然後選取 [ 匯入]。

   • WinServer.vhdx 選取您稍早準備的基底虛擬硬碟映射。
   • NCSetup.cr：對應至 VMM 連結庫中 NCSetup.cr 連結庫資源。
   • ServerCertificate.cr：對應至 VMM 連結庫中 ServerCertificate.cr 資源。 此外，請將您稍早備妥的 .pfx SSL 憑證放在此資料夾內。 請確定您在 ServerCertificate.cr 資料夾中只有一個憑證。
   • TrustedRootCertificate.cr：對應至 VMM 連結庫中的 TrustedRootCertificate.cr 資料夾。 如果您不需要受信任的跟證書，此資源仍然需要對應至CR資料夾。 不過，資料夾必須保留空白。

4. 完成後，請確定作業已完成。

自訂範本

您可以自定義服務範本，以符合與組織相關的任何特定需求，例如產品密鑰、IP 指派、DHCP、MAC 詐騙和高可用性。 您也可以自定義對象的屬性，例如主機群組、主機叢集和服務實例。

例如，以下是輸入產品金鑰、啟用 DHCP 和高可用性的步驟：

1. 在 VMM 連結庫中，選取服務範本，然後在設計工具模式中開啟它。

2. 按兩下電腦層以開啟 [Windows Server 網络控制站屬性] 頁面。

3. 若要指定產品金鑰，請選取 [OS 設定>產品金鑰]，然後指定 CCEP 共用的金鑰。

4. 若要啟用高可用性，請選取 [硬體>設定可用性]，選取 [ 讓虛擬機具有高可用性 ] 複選框。

5. 若要啟用動態IP設定並使用 DHCP 進行網路控制站管理，請選取設計工具上的網路適配器，然後將 IPV4 位址類型變更為 Dynamic。

   注意

   • 如果您自定義範本以取得高可用性，請確定您已在叢集節點上部署此範本。
   • 設定網路控制站並將 FQDN 指定為 REST 名稱時，請勿在 DNS 中預先建立主要 NC 節點的主機 A 記錄。 這可能會影響主要 NC 節點變更后的網路控制站連線能力。 即使您使用 SDN Express 或 VMM Express 腳本部署 NC，還是適用。

部署網路控制站

1. 選取網路控制站服務範本 >[設定部署]。 輸入服務名稱，然後選取服務實例的目的地。 目的地必須對應至專用主機群組，其中包含將由網路控制站管理的主機。

2. 設定部署設定，如下表所述。

3. 虛擬機實例一開始為紅色是正常的。 選取 [ 重新整理預覽 ]，讓部署服務自動尋找適合要建立之虛擬機的主機。

4. 設定這些設定之後，請選取 [部署服務 ] 開始服務部署作業。

   注意

   部署時間會根據您的硬體而有所不同，但通常介於 30 到 60 分鐘之間。 如果您未使用大量授權的 VHD\VHDX，或 VHD\VHDX 未使用回應檔案提供產品密鑰，則部署會在 網路控制站 VM 佈建期間停止在產品密鑰 頁面。 您必須手動存取 VM 桌面，然後略過或輸入產品金鑰。

5. 如果網路控制站部署失敗，請先刪除失敗的服務實例，再重試網路控制站部署。 選取 [VM 和服務所有主機>服務>]，然後刪除實例。

部署設定

將網路控制站服務新增至 VMM

成功部署網路控制站服務之後，下一個步驟是將它新增至 VMM 作為網路服務。

1. 在 [網狀架構] 中，以滑鼠右鍵按兩下 [網络>服務]，然後選取 [新增網络服務]。

2. [新增網络服務精靈] 隨即啟動。 指定名稱和選擇性描述。

3. 針對製造商選取 Microsoft ，然後針對型號選取 [Microsoft網络控制站]。

4. 在 [ 認證] 中，提供您想要用來設定網路服務的執行身分帳戶。 這必須是您包含在網路控制站用戶端群組中的相同帳戶。

5. 針對連接字串：

   • 在多節點部署中， ServerURL 必須使用 REST 端點，而 servicename 必須是網路控制站實例的名稱。
   • 在單一節點部署中， ServerURL 必須是網路控制站 FQDN， 而 servicename 必須是網路控制站服務實例名稱。 範例: serverurl=https://NCCluster.contoso.com;servicename=NC_VMM_RTM

6. 在 [檢閱憑證] 中，會連線到網路控制站虛擬機以擷取憑證。 確認顯示的憑證是您預期的憑證。 請確定您已檢 閱這些憑證，而且可以匯入至信任的證書存儲方塊。

7. 在下一個畫面上，選取 [ 掃描提供者 ] 以連線到您的服務，並列出屬性及其狀態。 這也是一個很好的測試，指出服務是否已正確建立，而且您使用正確的連接字串來連線到該服務。 檢查結果，並檢查 isNetworkController = true。 成功完成時，請選取 [ 下一步]。

8. 設定網路控制站將管理的主機群組。

9. 若要完成精靈，請選取 [完成]。 將服務新增至 VMM 時，它會出現在 VMM 控制台的 [網络服務 ] 清單中。 如果未新增網路服務，請檢查 VMM 控制台中的 [作業 ] 以進行疑難解答。

驗證部署

您可以選擇性地驗證網路控制站部署。 若要這樣做：

1. 建立 HNV 提供者 網路 （後端網路），由租使用者 VM 連線的網路控制站管理。 此網路可用來驗證已成功部署網路控制站，且相同虛擬網路內的租使用者 VM 可以互相偵測。 此網路必須存在於您的實體網路基礎結構中，而且所有 SDN 網狀架構主機都必須具有實體連線能力。
2. 建立 HNV 提供網路之後，您會在上面設定兩個租使用者 VM 網路。 建立 VM 網路和 IP 位址池，然後部署租使用者 VM。 您也可以測試部署在不同主機上的兩個租使用者 VM 之間的連線能力，以確保網路控制站已正確部署。

建立 HNV 提供者網路

1. 啟動 [ 建立邏輯網络精靈]。 輸入此網路的名稱和選擇性描述。

3. 在 [網站] 中，為您的 HNV 提供者網路新增網站資訊。 這必須包含網路的主機群組、子網和 VLAN 資訊。
4. 檢閱摘要資訊並完成精靈。

建立IP位址池

設定 HNV 邏輯網路需要 IP 位址池，即使此網路上有 DHCP 可用也一樣。 如果您在設定 HNV 網路上有多個子網，請為每個子網建立集區。

1. 以滑鼠右鍵按兩下 [設定 HNV 邏輯網路 >建立IP集區]。
2. 提供名稱和選擇性描述，並確定已為邏輯網路選取 HNV 提供者邏輯網路。

4. 在 [IP 位址範圍] 中，設定起始和結束 IP 位址。 請勿使用可用子網的第一個IP位址。 例如，如果您的可用子網從 .1 到 .254，請從 .2 或更新範圍開始。

5. 接下來，設定預設網關位址。 選取 [預設閘道] 方塊旁的 [插入]，輸入位址，並使用預設計量。 選擇性地設定 DNS 和 WINS。

6. 檢閱摘要資訊，然後選取 [ 完成 ] 以完成精靈。

7. 作為網路控制站上線的一部分，您在管理邏輯網路連線的主機上部署的交換器會轉換成 SDN 交換器。 此交換器現在可用來部署網路控制站受控網路，包括 HNV 提供者邏輯網路。 請確定您在管理邏輯交換器的上行通訊埠配置檔設定中選取對應至 HNV 提供者邏輯網路的網站。

   

HNV 提供者邏輯網路現在可供網路控制站受控主機群組中的所有主機存取。

建立租使用者 VM 網路和 IP 集區

現在，為 SDN 基礎結構中的兩個租使用者建立兩個 VM 網路和 IP 集區，以測試連線能力。

1. 為每個租使用者建立 VM 網路 。

2. 為每個 VM 網路建立 IP 位址池 。

建立租用戶虛擬機

現在，您可以建立連線到租使用者虛擬網路的租用戶虛擬機。

1. 如果您想要從現有的硬碟建立 VM， 請遵循這些指示。
2. 部署至少兩部連線到網路的 VM 之後，您可以從其他租使用者虛擬機偵測一部租使用者虛擬機，以驗證網路控制站是否已成功部署為網路服務，而且它可以管理 HNV 提供者網路，讓租使用者虛擬機可以互相偵測。

下一步

建立軟體負載平衡器