vCenter Server是維持整個vSphere架構中所有主機、虛擬機器、容器、應用程式以及服務正常運行的重要基礎,因此建議所有剛完成vSphere部署的IT人員優先熟悉的它的各種維護技巧,並且完成各種必要的設定。為此,本文將詳細解說vCenter Server 8實務管理術。
當vSphere在獨立ESXi主機的運行模式下,是不需要部署vCenter Server來集中控管,雖然維護管理起來很簡單,不過相對地也無法運行許多進階的功能,這包括Cluster、HA、FT、DRS、vSAN以及部署vSphere Replication等等,而這些應用都關係到私有雲下各種應用系統與服務的運行效能、可用性、可靠度的表現。
話說在正式運行的網路環境中,很多IT人員會在完成vSphere部署的初期,就開始專注於虛擬機器的部署,而忽略了對於vCenter Server的管理與維護,如此一來,很有可能會在往後vSphere整體的維運過程中遭遇棘手且難以處理的問題,例如管理員無法登入vCenter Server Appliance或是vCenter Server無法啟動等問題。
想要讓vCenter Server的運行穩固不間斷,除了部署之前介紹過的vCenter HA熱備援架構外,就是在平日的定期維護中做好關於它的監視、更新以及備份。其中監視的範圍涵蓋了效能、服務、事件以及Log,只要有發現任何可能影響整體運行的問題便需要優先解決。
更新管理的部分,建議每一季進行一次,以便讓所有已知的安全問題或Bug可以完成修正。至於備份部分,則建議每天一次,以便能夠在vCenter Server系統無法正常運行時執行復原任務,而備份的工具可以選擇內建的備份功能,或是第三方的虛擬機器備份軟體。
接下來,說明剛完成vCenter Server部署的初期,所需要進行的任務與注意事項,以及針對平日定期維護的檢查重點有哪些。
自動啟動vCenter Server
無論部署的是單一台vCenter Server還是vCenter HA的熱備援架構,只要所在的ESXi主機開機後,就應該隨之自動啟動,如此才能夠讓此vSphere架構下的叢集、主機以及虛擬機器正常運行,而不是等待IT人員手動啟動,因為據了解許多人員經常會忙於工作而忘了啟動vCenter Server Appliance。
可以在登入ESXi Host Client網站後,依序點選虛擬機器「動作」選單中的【自動啟動】→【啟用】選項來啟用此功能,讓此虛擬機器可以在ESXi主機啟動不久後自動啟動。不過必須注意的是,若僅完成此項設定,並沒有真正完成自動啟動功能,繼續往下看更多的細部配置講解。
接下來,點選「動作」選單中的【自動啟動】→【設定】選項,來開啟「設定自動啟動」配置。如圖1所示,在此除了可設定開始延遲的秒數外,還能夠另外設定停止延遲、停止動作以及是否要等待活動訊息。值得注意的是,所謂的「開始延遲」是指在ESXi主機開啟第一個虛擬機器的電源後,ESXi主機會等待指定的延遲時間過後,再開啟下一個自動啟動的虛擬機器電源。設定完畢,記得按下〔儲存〕按鈕。
最後,切換到「管理」節點下的「系統」→「自動啟動」頁面中,如圖2所示,確認「已啟用」已設定為「是」,因為在系統預設狀態下的設定為「否」。一旦完成此功能的啟用後,就可以在此頁面中加入更多虛擬機器的自動啟動。
vCenter Server主控台
由於vCenter Server Appliance也是以一台虛擬機器的方式運行,因此它就如同ESXi主機一樣也會有自己的伺服端主控台(DCUI),只要從ESXi Host Client網站的介面中,透過虛擬機器的節點就能找到並開啟它。
如圖3所示,便是vCenter Server Appliance 8.0的伺服端主控台主頁面,在此首先可以查看到vCenter Server管理網站的連線位址,若在此頁面中按下〔F2〕鍵,就能夠開啟系統配置頁面,按下〔F12〕鍵則可以進行關機或重新啟動。
圖4所示是按下〔F2〕鍵後所開啟的「System Customization」頁面,由上至下的選項功能分別為修改root密碼、配置管理網路、重新啟動管理網路、故障排除模式選項、查看支援資訊。以修改root密碼為例,只要在選取「Configure Root Password」並按下〔Enter〕鍵後,再完成一次舊密碼的輸入,以及兩次新密碼的輸入,即可完成密碼變更。
在「Configure Management Network」頁面中,可以修改的網路配置分別有IPv4、IPv6、DNS以及DNS尾碼。以修改IPv4為例,在選取「IP Configuration」後按下〔Enter〕鍵,便可進入修改IP位址、子網路遮罩以及預設閘道。至於「IPv6 Configuration」設定頁面中,若沒有使用IPv6網路,可以將其設定為「Disable IPv6」。
關於vCenter Server Appliance網路的連線問題,在某一些情境下有人可能會懷疑僅是網路配置的修改尚未生效,或是其他暫時性的網路連線問題,則可以考慮開啟「Restart Management Network」頁面,然後按下〔F11〕鍵來重新啟動管理網路連線試試看。
如果需要使用BASH Shell命令主控台,以及SSH遠端連線進行管理,則開啟「Troubleshooting Mode Option」頁面,便可以將上述的兩項功能設定為啟用(Enable)。
vCenter Server管理網站
從vCenter Server Appliance伺服端主控台的頁面中,可以得知管理網站的連線網址(例如https://vcsa01.lab02.com:5480),連線後只要輸入root帳號與密碼即可登入。
不過,目前IT人員常遭遇的問題是如圖5所示的登入錯誤,也就是root帳號的密碼已經過期,且系統並沒有提示可以直接更新密碼,解決的方法就是透過SSH遠端連線的方式來進行更新。當成功連線時,系統將會要求輸入舊密碼以及完成兩次新密碼的輸入,即可完成更新。
成功登入vCenter Server管理網站後,首先從頁面右上方的「動作」選單中,如圖6所示依實際需要來執行重新開機、關閉、建立支援服務包或是切換佈景主題。若需要進行「登出」,可以從「root」選單中完成操作。
接下來,在「摘要」頁面中,除了目前vCenter Server的版本資訊外,還可以查看到vCenter Server運行的基本健全狀況,包括CPU、記憶體資源的使用,以及資料庫、儲存區、交換還有SSO(Single Sign-On)的執行狀態。如圖7所示,在這個範例中,發現目前有出現記憶體的警示,表示記憶體資源太過吃緊需要增加記憶,否則可能會直接影響vSphere整體的運行效能。
在「監控」頁面中,可以分別針對CPU和記憶體、磁碟、網路、資料庫以及記錄的運行狀態進行檢視,可協助管理員找出某一個時間點資源負載的使用情形,以便進一步找出可能影響效能表現的原因。
接著,在「存取」頁面中透過「編輯」超連結的點選,如圖8所示,可以決定四項功能的啟用與否,分別是SSH登入、DCUI、主控台CLI以及Bash Shell。前三項功能建議保持在啟用狀態,有利於平日的維護與管理。
如圖9所示,在「網路」頁面中,可以管理目前vCenter Server的網路連線配置,包括Proxy設定。網路連線這部分的設定,若已經在正式環境中運行了一段時間並不建議進行修改,但如果真的因為網路環境的變化而需要修改,可以點選右上方的「編輯」超連結。
開啟「編輯網路設定」後,先在「選取網路介面卡」清單中選擇目前管理網路在使用的網卡,再按下〔下一頁〕按鈕。接著,在「編輯設定」頁面中,如圖10所示分別完成主機名稱、DNS、IP位址以及閘道的設定。按下〔下一頁〕按鈕,來到「SSO認證」頁面,輸入認證密碼並按下〔下一頁〕按鈕。
如圖11所示,在「即將完成」頁面中,只要將「我確認在繼續設定我的網路之前已備份vCenter Server並解除登錄了延伸」選項勾選,便可以按下〔完成〕。必須注意的是,當網路已重新配置並且vCenter Server也完成重新啟動,還必須緊接著完成重新登錄所有已部署的外掛程式、重新產生所有自訂憑證、重新設定vCenter HA、重新建立與雲端vCenter Server的混合連結、重新加入Active Directory。
以vCenter HA為例,主要是網路連線位址的異動,可能會直接造成主要與次要vCenter Server之間連線的失敗,因此才需要重新設定vCenter HA配置。至於與Active Directory的整合驗證,如果只是修改IP位址而沒有異動主機名稱和DNS,則Active Directory是無須重新加入的。
看完有關於網路配置的修改介紹後,緊接著開啟「編輯Proxy設定」頁面,如圖12所示,在此如果公司網路中有強制得經由Proxy才能連線Internet的話,那麼才需要進行設定,且通常只要啟用HTTPS的連線設定即可。
接下來是「防火牆」頁面的設定,預設並沒有任何的防火牆規則,若有網路連線安全方面的考量,可以考慮透過「新增」規則的設定讓唯一選定的IP位址才能連線,如圖13所示,一旦完成此vCenter Server的防火牆規則設定後,只要被設定成「拒絕」的IP位址,在嘗試進行連線時便會出現「無法連線這個網站」的錯誤訊息。
在「時區」頁面中,除了可以修改時區的設定外,也能夠修改時間同步的方式,只要點選「編輯」超連結即可。
在「編輯時間同步化設定」頁面中,如圖14所示,一般都會選擇「主機」模式,若改為使用「NTP」模式,則必須進一步輸入NTP伺服器的位址,例如「tock.stdtime.gov.tw」。
接著,在「服務」頁面中,如圖15所示,平日維護需要注意的是,那些「自動類型」設定為「自動」的所有服務,是否都顯示為「已啟動」的狀態,如果發現任何這類型的服務沒有正常啟動,須立即手動啟動它,因為通常這些預設為自動啟動的服務,都與系統能否完全正常運行有關。
如圖16所示,在「系統管理」頁面中則可變更root登入的密碼,以及修改密碼到期設定。必須注意的是,無論是打算透過此網站,或使用SSH、DCUI介面來變更密碼,其密碼設定都必須滿足以下原則,分別是不得為先前5個密碼中的任何一個、必須至少具有6個字元、至少包含一個大寫字母、至少包含一個小寫字母、至少包含一個數字、至少包含一個非英數字元、不允許使用字典字組,否則密碼的修改結果將會失敗。
vCenter Server備份管理
如果不打算採用第三方的備份工具來備份vCenter Server Appliance,可直接使用vCenter Server內建的備份功能。只要預先準備好用來存放備份檔案的網路儲存區,即可開始進行。它目前已支援的通訊協定分別有FTP、FTPS、SFTP、HTTP、HTTPS、NFS、SMB。在接下來的實戰講解中將以SMB為例,也就是直接使用內網中的UNC共用存放位置。
登入vCenter Server管理網站後,點選「備份」頁面中的「設定」超連結。如圖17所示,在「建立備份排程」頁面中,先於「備份位置」欄位中輸入UNC共用存放位置(例如SMB://192.168.7.223/vCenter_Backup)。在「備份伺服器認證」欄位中,則輸入可以讀寫此共用存放位置的帳號和密碼,然後設定執行此備份任務的排程週期與時間。
接著,在「加密備份(選擇性)」部分,設定用以保護此備份檔案的密碼,密碼必須至少8個字元但不超過20個字元,並且至少有1個大寫字母、1個小寫字母、1個數字,以及一個特殊字元。
最後,在「要保留的備份數目」部分,決定要保留所有備份,還是僅保留最新的幾個備份,當設定的備份數目越多,相對所需要的儲存空間就需要越大。至於是否要備份資料庫中的統計資料、事件和工作,可以自行決定。設定完畢,按下〔建立〕按鈕。
再一次回到「備份」頁面中,便可以查看到剛剛所建立的「備份排程」設定,仍然可以隨時進行修改、停用或是刪除。而在所設定的排程時間尚未到來之前,也可以如圖18所示隨時點選「立即備份」超連結來手動執行備份任務,不過這項操作仍然建議在離峰時間執行,以避免影響vSphere整體運行的效能表現。
在「立即備份」頁面中,如圖19所示,則先勾選「使用備份排程中的備份位置和使用者名稱」選項,如此一來,就不需要再手動輸入備份位置、使用者名稱、密碼。確認所有備份設定無誤後,按下〔啟動〕按鈕即可立即備份。
如圖20所示,便可以看見一個手動執行備份任務的相關資訊,包括備份位置、狀態、類型、已傳輸的資料大小、持續時間、結束時間等等。在備份任務完成後,可以從備份位置來查看備份相關檔案。
當開啟存放備份的網路位置後,便會發現系統已自動依照vCenter Server主機完整名稱(FQDN)進行資料夾分類,這樣一來,當有多部vCenter Server皆有執行備份任務並存放相同的備份位置時,也不怕備份的檔案會混雜在一起。
至於所產生的這些備份檔案,要如何在vCenter Server發生故障時執行復原任務呢?很簡單,只要再次執行和備份相同版本的vCenter Server Appliance安裝程式,例如所備份的是vCenter Server 8.0.1.00300版本的伺服器,則在準備進行還原前先取得此版本的完整ISO映像,然後在「vCenter Server 8.0 Installer」安裝頁面中點選「Restore」圖示,即可開始進行還原操作設定。
vCenter Server更新管理
在vSphere架構中,無論是單一台vCenter Server,還是在單一個SSO網域中有多點分支的vCenter Server,又或者是有部署vCenter HA熱備援機制,只要有需要升級或更新vSphere版本,都是以更新vCenter Server為優先,不過更新前可別忘了先做好完整備份。
如何知道vCenter Server有新的更新已發行呢?首先只要管理員在登入vSphere Client網站後,有看到「有新的vCenter Server更新可用」的提示訊息,便可以按下〔檢視更新〕按鈕來開啟vCenter Server的「更新」頁面。接著,就能夠檢視最新版本的發行日期、版本編號、組件編號、類型、嚴重性、是否需要重新開機以及版本說明超連結等欄位。
可以在此點選「產生報告」下的「更新前檢查」功能,進一步查看是否有潛在的問題會導致系統更新失敗,如果執行結果顯示「找不到任何問題。已通過更新前檢查」訊息,即表示可以按下〔開啟應用裝置管理〕按鈕,來自動登入「vCenter Server管理」網站。當然,可以自行在網址列輸入vCenter Server管理網站的URL進行登入。
如圖21所示,在「可用更新」清單中,可以看到目前提供更新的版本清單,每一個版本皆會顯示它的類型、發行日期、需要重新開機以及嚴重性等資訊。原則上,在此只要選取最新的版本編號即可,因為無論是更新還是修補程式,新版本內容皆已經包含了舊版內容。點選「暫存和安裝」超連結,繼續下一步驟。
如圖22所示,緊接著會出現「更新前檢查結果」提示訊息,內容中主要是告知目前是否已經完成vCenter Server檔案層級的備份任務。雖然即便還沒有完成備份任務也能夠進行更新,但建議最好已經確切完成備份後,再開始執行「暫存和安裝」的更新操作。
接下來會開啟「暫存和安裝更新」的設定頁面,只要在此分別接受「使用者授權合約」頁面說明,以及如圖23所示在「備份vCenter Server」頁面中勾選「我已備份vCenter Server及相關聯的資料庫」設定,便可以按下〔完成〕按鈕,開始進行更新任務。
更新的速度基本上取決於主機的效能,完成更新後再一次回到「更新」頁面,將可以查看到在「目前版本詳細資料」中的版本編號,如圖24所示,已經與預期更新的版本編號相同,如果已是現階段最新的版本,那麼在「可用更新」清單中將不會任何可用的更新。
關於vCenter Server的更新方式,不一定得透過vCenter Server管理網站的操作來完成,也可以經由掛載ISO更新映像,並且在SSH遠端連線登入後,依序執行「software-packages list --staged」以及「software-packages install --staged」命令來完成更新。
vCenter Server整合Syslog Server
Syslog Server是IT管理員常用的伺服器系統,舉凡網路設備(防火牆、交換器、路由器)、作業系統以及各類應用系統,皆可以整合它來進行系統運行記錄的收集與監視,方便系統管理員可以從細微的記錄中找到可能影響目標系統效能、安全以及故障問題的記錄,進而解決眼前等待排除的難題。
由於Syslog Server會收集大量的訊息記錄以供分析,因此提供一個設計友善與簡單使用的操作介面是相當重要的。目前網路上已有許多免費且設計相當不錯的Syslog Server,在此推薦一款名為Visual Syslog Server for Windows的免費軟體,可以透過Google搜尋輕易地找到它並進行下載與安裝。圖25所示便是執行安裝後的設定選項,記得勾選頁面中的「Add an exception to the Windows Firewall」設定。然後,按下〔Next〕按鈕繼續完成安裝即可。
在上一個安裝設定步驟中所勾選的設定,其實就是讓系統自動完成Windows防火牆的設定,以便Visual Syslog Server程式可以通過防火牆與其他網路設備或系統進行連線。可以利用Windows控制台中的「具有進階安全性的Windows Defender防火牆」工具,如圖26所示,從「輸入規則」頁面中來檢視「Visual Syslog Server」規則設定。
確認已在相同網路中完成安裝Visual Syslog Server後,接下來開啟「vCenter Server管理」網站。在「Syslog」頁面中,如圖27所示,可以發現已經新增了遠端Syslog主機的連線設定,而它預設所採用的連接埠則是TCP 514。
值得注意的是,在初次完成遠端Syslog主機的連線設定後,最好點選「傳送測試訊息」超連結。執行之後,若出現「已成功傳送測試訊息至所有Syslog伺服器」訊息,便可以回到Visual Syslog Server管理介面中來查看到此訊息。
圖28所示是Visual Syslog Server的管理介面,在此可以查看到每一筆訊息記錄的時間、IP位址、主機、訊息類型、訊息內容,並且可以點選任一欄位進行排序。若想要設定顯示字體,點選上方功能列中的「Front」即可。
由於Syslog Server收集的訊息記錄非常多,因此為了方便快速檢視到重要的訊息,通常會設定讓緊急、警示、重要以及錯誤的訊息優先顯示在最上方。可以按下「Highlighting」圖示,來開啟「Highlighting setup」頁面,如圖29所示,查看系統預設的「Default」設定內容。在此,除了能夠自行調整不同訊息類型的優先順序外,還可以配置不同的顏色、字型格式顯示,例如針對緊急的訊息記錄類型,設定顯示為紅色並採用粗體字型。
DCLI命令工具的使用
想要連線監視與管理vCenter Server,不一定得透過vCenter Server管理網站或vSphere Client,如果習慣使用遠端SSH連線的命令管理方式,那麼一定要試試DCLI(Data Center CLI)命令的使用。
關於DCLI命令工具的使用,除了可透過SSH遠端連線至vCenter Server Appliance來執行外,也可以直接在Windows、Linux以及MacOS的命令介面中執行,只要作業系統中已預先安裝好Python及DCLI的模組即可。
圖30所示便是使用SSH工具(PuTTY)遠端連線登入vCenter Server Appliance的範例,過程中會發現若系統偵測到目前root的密碼已經過期,便會要求立即變更密碼才能繼續使用,這與前面介紹中所登入的vCenter Server管理網站結果不太一樣,因為透過SSH遠端連線登入方式,是可以直接更新已過期的密碼設定。
接下來,建議先執行「dcli +i」進入到dcli提示字元,再開始各項命令參數的使用。在所要執行的命令參數中,添加略過伺服器憑證的檢查,並且完成登入帳號以及位址的設定。至於密碼的輸入,可以在看到系統提示出現後再輸入即可,通過密碼的驗證後,系統將會提示是否要儲存認證資料。一旦成功完成此命令範例的執行,就能夠立即得知vCenter Server Appliance最新的健全狀況:
appliance health system lastcheck +skip-server-verification +username Administrator@lab02.com +server vcsa01.lab02.com
緊接著,所執行的各種DCLI命令參數,將不需要再一次進行身分驗證,因為在上一個步驟中已經選擇儲存了認證資料。
接下來,學習幾個常用命令的範例。如圖31所示,先依序執行「vcenter cluster list」、「vcenter host list」、「vcenter vm list」命令參數,分別查看叢集、ESXi主機以及虛擬機器的清單。其中叢集部分,可以查看到是否已啟用DRS與HA功能,而主機方面則可查看到連線與電源狀態,而虛擬機器能夠查看到電源狀態以及CPU與記憶體的大小配置。
接著,執行「vcenter vm list」命令參數,查看目前受此vCenter Server管理的虛擬機器清單,然後準備對於選定的虛擬機器查看VMware Tools的版本狀態。例如,想查看一台名為「Windows Server 2022」的虛擬機器,就輸入「vcenter vm tools get --vm vm-8001」命令,其中vm-8001便是其唯一識別名稱。
關於這個識別名稱(vm)與在vSphere Client網站上所看到顯示名稱(name)其用途是不同的,因為在任何命令工具的管理中,若要選定某台虛擬機器進行管理,通常就必須輸入識別名稱而不是顯示名稱,原因就在於識別名稱是由系統自動產生且不會發生重複,而顯示名稱則是由管理者在新增過程中所自定義的,並且識別名稱的輸入可以與現行的名稱發生重複。
最後,對於vCenter Server Appliance進行整體的健康檢查,依序完成以下所有命令參數的執行:
appliance health system lastcheck appliance health system get appliance health load get appliance health storage get appliance health mem get appliance health swap get
如圖32所示,這裡所呈現的健康檢查結果,會與在vCenter Server管理網站的「摘要」頁面中所看到一致。
在此範例中,可以發現「appliance health mem get」的執行結果是呈現「orange」狀態,這表示有記憶體資源吃緊的問題,必須找離峰的時間將此虛擬機器正常停機來添加更多的記憶體,如此一來,便可以讓記憶體健康狀態顯示為「green」。
對於vCenter Server的監視與管理,前面已完整介紹了DCUI、DCLI以及vCenter Server管理網站的使用技巧。然而,實際上針對系統管理員最常使用的vSphere Client工具,則不僅可以用來監視與管理整個vSphere的運行,也能夠隨時透過它來得知vCenter Server Appliance本身的健全狀況。
如圖33所示,首先在vCenter Server節點的「摘要」頁面中,可以查看整個vSphere所有已發生的重要警示與問題。
若是vCenter Server本身的基本健康問題,則同樣可以在此頁面中查看,包括儲存區的容量使用量以及健全狀況。
接著,在「監控」→「問題和警示」→「所有問題」頁面中,系統管理員可以查看到所有已知的問題,包括硬體資源的使用、叢集的運行、主機的狀態、虛擬機器的狀態以及授權方面的問題,通通都可以在此一目了然。
在個別節點運行狀態的健康檢視部分,則可以切換至主機和叢集、虛擬機器、資料存放區以及網路頁面中查看,例如當某一個虛擬機器無法正常啟動時,可以查看它所屬的主機或資料存放區是否正常運行中。
結語
關於vCenter Server Appliance的平日維護,如果它也能夠像vSphere Client一樣,整合Active Directory來進行管理人員的驗證肯定會更好,這樣就不會發生前面介紹過的root密碼過期或忘記密碼的窘境,並且也能夠讓負責的IT人員有一致性的管理體驗,達成全平台的SSO驗證機制。除此之外,也發現對於目前市面上的第三方監視工具中,已有許多針對vSphere主機、叢集、資料存放區以及虛擬機器運行的監視功能,不過有趣的是居然沒有特別針對vCenter Server Appliance健康狀態的監視工具,讓管理人員只能採用一般虛擬機器的監視方式進行健診,而無法得知各項服務、效能、備份甚至於vCenter HA的健康情況等細節,期盼未來VMware的協力廠商也能夠注意到這項監視重點,讓vCenter Server運行監視更加全方位。
<本文作者:顧武雄,Microsoft MVP 2004-2016、MCITP與MCTS認證專家、台灣微軟Technet、TechDays、Webcast、MVA特約資深顧問講師、VMware vExpert 2016-217、IBM Unified Communications/Notes/Domino/Connections Certified。>