在备考 VMware vSphere Foundation Administrator (2V0-16.25) 认证时很多朋友会发现官方大纲和培训材料内容繁多尤其是涉及 vSphere 核心管理、运维和故障排查的部分知识点零散且实践性强。本文作为系列教程的第二部分将聚焦于 vSphere 日常运维、高级配置、性能监控与安全加固等核心实战技能旨在帮助大家将零散的知识点串联成可操作的运维体系。无论你是正在备考的学员还是需要提升 vSphere 管理水平的系统管理员都能从本文中找到可直接复用的配置步骤、排错思路和最佳实践。1. vSphere 高级运维与资源管理核心概念vSphere 不仅仅是虚拟化平台更是一个企业级的资源管理与运维平台。通过 vCenter Server 对 ESXi 主机集群进行集中管理管理员可以实现计算、存储、网络资源的抽象、池化和自动化分配。理解其核心运维概念是高效管理的基础。资源池与 DRS资源池Resource Pool是 vSphere 中用于对 CPU 和内存资源进行逻辑分区和层次化管理的容器。它允许管理员将物理资源按业务需求分配给不同的部门、应用或团队并设置份额Shares、预留Reservation和限制Limit。分布式资源调度DRS则基于资源池和集群的整体负载自动执行虚拟机的初始放置Initial Placement和负载均衡Load Balancing迁移确保资源利用最优化。理解份额、预留、限制三者的关系至关重要预留是保证的最小资源限制是允许的最大资源而份额则是在资源争用时决定优先级的高低。存储策略与管理vSphere 的存储架构复杂且强大。核心概念包括数据存储Datastore用于存放虚拟机文件、存储协议如 NFS、iSCSI、FC、以及 VMware 独有的存储技术如 vSAN超融合存储和 VVols基于存储策略的管理。存储策略Storage Policy Based Management, SPBM是 vSphere 6.0 之后引入的革命性特性它将存储服务的功能如性能、可用性、加密抽象为策略管理员只需为虚拟机磁盘选择策略系统会自动将其放置在符合要求的存储上极大简化了存储管理。网络与安全vSphere 网络分为标准交换机vSS和分布式交换机vDS。vDS 提供了跨多个 ESXi 主机的统一网络配置和管理能力是生产环境的推荐选择。安全方面除了传统的防火墙规则vSphere 还提供了加密 vMotion、虚拟机加密、安全启动Secure Boot和可信平台模块TPM等高级功能以满足现代数据中心的安全合规要求。2. 实验环境准备与版本说明在进行后续的配置和操作前一个稳定、隔离的实验环境是必不可少的。强烈建议不要在生产环境中直接尝试本文的操作。环境组件与版本vCenter Server Appliance (VCSA) 本文示例基于 vSphere 7.0 U3 版本。VCSA 是 vCenter 的推荐部署形式集成了 PostgreSQL 数据库管理更简便。请确保已正确部署并能够通过https://vcenter-fqdn/ui访问 Web Client。ESXi 主机 至少需要两台 ESXi 7.0 U3 主机并已加入 vCenter 管理。单台主机可用于学习大部分功能但 DRS、vMotion 等集群功能需要多台主机。虚拟机 准备几台测试用的虚拟机如 Linux 和 Windows用于演示资源调整、迁移和策略应用。存储 实验环境可以使用本地存储或共享存储如通过一台服务器搭建的 NFS 共享。若要体验 vSAN则需要至少两台 ESXi 主机每台主机带有闪存盘和容量盘。网络 确保管理网络、vMotion 网络、存储网络如果使用和 VM 网络物理隔离或通过 VLAN 逻辑隔离。重要提示 VMware 产品迭代较快部分界面和选项可能在 vSphere 8.x 中有细微变化但核心概念和操作逻辑基本一致。操作前请务必确认自己环境的版本并参考对应版本的官方文档。所有操作应在维护窗口或非业务时间在测试环境中验证。3. 高级资源管理与 DRS 集群配置实战资源管理是 vSphere 管理员的核心职责之一。下面我们通过一个完整的实战流程来配置一个启用 DRS 的集群并设置资源池。3.1 创建集群并启用 DRS 与 HA首先我们需要创建一个集群并为其启用关键服务。登录 vSphere Client 使用管理员账户登录。创建集群在左侧导航栏右键点击数据中心选择“新建集群”。为集群命名例如Prod-Cluster。在“服务”部分勾选“打开 DRS”和“打开 vSphere HA”。这是生产集群的标准配置。DRS 自动化级别 对于实验环境可以选择“部分自动化”这样系统会给出迁移建议但需要手动确认。生产环境通常选择“全自动化”。HA 设置 接受默认设置即可后续可根据需要调整准入控制策略如基于插槽或百分比。将主机添加到集群 创建集群后将准备好的 ESXi 主机拖拽或通过“添加主机”向导加入到新创建的集群中。3.2 配置资源池并管理资源分配集群创建好后我们来创建资源池模拟为不同业务部门如 Web 和 DB分配资源。创建顶级资源池右键点击集群Prod-Cluster选择“新建资源池”。名称输入Web-Servers。CPU 资源预留 设置为4000 MHz。这表示保证分配给该资源池下所有虚拟机的 CPU 资源总和至少为 4GHz。限制 设置为8000 MHz。表示该资源池最多只能使用 8GHz 的 CPU 资源。份额 选择“高”例如 4000 shares。在发生资源争用时份额高的资源池会获得更多资源。内存资源 类似地设置预留为4096 MB限制为16384 MB份额为“高”。用同样的方法创建另一个资源池DB-Servers可以设置不同的预留和限制份额设为“正常”例如 2000 shares。将虚拟机移入资源池 将测试用的 Web 服务器虚拟机拖拽到Web-Servers资源池下数据库虚拟机拖拽到DB-Servers资源池下。验证与监控在集群或资源池的“监控”选项卡下查看“资源分配”视图可以清晰看到各资源池的资源使用情况、预留和限制。尝试启动资源池内所有虚拟机并施加负载观察 DRS 是否会产生迁移建议在“建议”选项卡中查看以平衡负载。3.3 使用存储策略SPBM管理虚拟机存储假设我们有两种存储一个高性能的 SSD 数据存储和一个高容量的 NL-SAS 数据存储。我们希望数据库虚拟机的磁盘放在高性能存储上而日志磁盘放在高容量存储上。创建存储策略导航到“策略和配置文件” - “虚拟机存储策略”。点击“创建”命名策略为Gold-Storage-Policy。在“规则集”中点击“添加规则集”然后“添加存储规则”。规则类型选择“标签”。你需要提前为你的 SSD 数据存储打上标签例如ssd-tier。这里选择标签ssd-tier。完成创建。用同样方法创建一个名为Silver-Storage-Policy的策略关联到标签capacity-tier对应 NL-SAS 存储。为虚拟机磁盘应用策略右键点击一台数据库虚拟机选择“编辑设置”。找到虚拟硬盘在“虚拟机存储策略”下拉框中选择Gold-Storage-Policy。对于该虚拟机的第二个虚拟硬盘用于日志可以将其策略改为Silver-Storage-Policy。保存更改。vSphere 会自动检查当前磁盘位置是否符合策略如果不符合会提示“不合规”并可以执行“重新应用策略”来迁移磁盘到合规的存储上。# 以下是通过 PowerCLIVMware 的 PowerShell 模块执行类似操作的示例供自动化参考 # 连接 vCenter Connect-VIServer -Server vcsa.example.com -User administratorvsphere.local -Password YourPassword # 获取存储策略和标签 $goldPolicy Get-SpbmStoragePolicy -Name Gold-Storage-Policy $ssdTag Get-Tag -Name ssd-tier # 为虚拟机磁盘应用策略 Get-VM -Name DB-VM01 | Get-HardDisk -Name Hard disk 1 | Set-HardDisk -StoragePolicy $goldPolicy4. vSphere 网络高级配置与分布式交换机vDS管理标准交换机vSS配置简单但管理分散。分布式交换机vDS提供了集中化、跨主机的网络管理是复杂环境的必选。4.1 创建并配置分布式交换机创建分布式交换机导航到“网络”视图右键点击数据中心或 vCenter选择“Distributed Switch” - “New Distributed Switch”。命名选择版本与 ESXi 主机版本兼容通常选最新设置上行链路数量例如 2对应每台主机两个物理网卡。向 vDS 添加主机创建完成后右键点击新 vDS选择“添加和管理主机”。选择“添加主机”然后选择集群中的所有主机。在“管理物理适配器”步骤将主机上的物理网卡如 vmnic0, vmnic1分配为 vDS 的上行链路。在“管理 VMkernel 适配器”步骤可以选择将主机原有的管理、vMotion 等 VMkernel 端口迁移到 vDS 上或稍后创建。创建端口组右键点击 vDS选择“Distributed Port Group” - “New Distributed Port Group”。创建以下端口组MGMT-PG 用于 ESXi 管理流量VLAN 类型为“无”或特定管理 VLAN。VMOTION-PG 用于 vMotion 流量需启用 vMotion 服务。VLAN100-VM-PG 用于虚拟机业务网络VLAN ID 设为 100。4.2 配置网络 I/O 控制NIOCNIOC 允许你为不同类型的网络流量如 vMotion、Fault Tolerance、虚拟机、管理流量分配带宽份额和限制防止一种流量拥塞影响其他关键流量。启用 NIOC 在 vDS 的“配置”-“资源分配”中点击“启用”。配置系统流量 进入“系统流量”页面。你可以为每类系统流量如 vMotion、管理、VSAN 等设置份额和限制。例如可以将 vMotion 的份额设为“高”并为其设置一个带宽上限防止它占满所有带宽影响业务。为用户定义的网络资源池配置 你还可以创建基于端口组的网络资源池为特定业务应用如数据库集群心跳网络保障带宽。5. 性能监控、日志收集与基本故障排查一个合格的管理员必须能够快速定位性能瓶颈和故障根源。vSphere 提供了丰富的内置工具。5.1 使用性能图表进行监控导航 在 vSphere Client 中选中任何清单对象主机、虚拟机、集群等切换到“监控”-“性能”选项卡。关键指标CPUUsage (MHz),Ready (%)。Ready时间百分比过高持续超过 10%表示虚拟机在排队等待 CPU 资源是 CPU 饱和的明确信号。内存Consumed (MB),Active (MB),Balloon (MB),Swap (MB)。出现Swap或Balloon活动说明物理内存不足。磁盘Latency (ms)。平均读写延迟是衡量存储性能的关键通常应低于 20ms。Kernel Latency高可能指向存储阵列或 HBA 卡问题Device Latency高可能指向磁盘本身性能问题。网络Usage (KBps),Packet Drops。丢包通常意味着网络拥塞或配置问题。高级视图 切换到“高级”视图可以自定义要查看的计数器并将多个对象的指标放在同一图表中进行对比。5.2 收集日志文件当出现问题时日志是首要的排查依据。ESXi 主机日志通过 Host Client/Shell 登录单台 ESXi 的 Host Client 或 SSH日志位于/var/log/。关键日志包括vmkernel.log核心日志、hostd.log管理代理日志等。通过 vCenter 在 vSphere Client 中选中主机进入“监控”-“日志”-“下载”。可以打包下载所有日志。vCenter Server 日志VCSA 的日志可以通过 Web 管理界面 (https://vcsa-ip:5480) 的“日志”选项下载。关键日志路径包括/var/log/vmware/vpxd/vCenter 服务日志等。虚拟机日志 在虚拟机目录下.log文件记录了虚拟机的电源事件、BIOS 输出等。5.3 常见故障排查思路问题现象可能原因排查步骤与解决思路虚拟机无法开机资源不足、存储不可达、配置文件损坏1. 检查目标主机和资源池的 CPU/内存预留是否满足。2. 检查虚拟机配置文件.vmx所在的数据存储是否挂载且可访问。3. 查看虚拟机任务事件和主机日志寻找具体错误信息。vMotion 失败网络不通、兼容性错误、存储无权访问1. 检查源和目标主机的 vMotion VMkernel 端口是否在同一子网且能互通。2. 检查 CPU 兼容性启用 EVC 模式可避免。3. 确保目标主机有权访问虚拟机的所有磁盘所在存储。虚拟机网络中断端口组配置错误、物理网络故障、安全策略1. 检查虚拟机的网络适配器是否连接到正确的端口组。2. 检查端口组的 VLAN 配置是否正确。3. 检查分布式交换机或物理交换机的对应端口状态。存储性能差存储阵列过载、网络延迟高、队列深度不足1. 查看虚拟机和数据存储的性能图表关注延迟和队列深度。2. 检查存储网络如 iSCSI/NFS的物理链路和交换机端口。3. 联系存储管理员检查后端存储阵列的性能和负载。vCenter 连接失败服务未启动、证书问题、数据库故障1. 尝试直接连接 ESXi 主机 IP判断是 vCenter 还是主机问题。2. 登录 VCSA 管理界面 (5480)检查服务状态并尝试重启服务。3. 检查网络 DNS 解析是否正常。6. vSphere 安全加固与合规性最佳实践安全是运维的重中之重。以下是一些关键的安全加固措施。最小权限原则 使用角色Role和权限Permission系统为不同管理员创建自定义角色仅授予其完成工作所必需的最小权限。避免直接使用Administrator角色。启用 ESXi Lockdown Mode 对于由 vCenter 管理的 ESXi 主机启用 Lockdown Mode 可以禁止直接通过 ESXi Shell 或 DCUI 使用 root 账户登录所有管理操作必须通过 vCenter 进行。在主机“配置”-“安全配置文件”-“锁定模式”中设置。定期更新与修补 通过 vSphere Lifecycle Manager (vLCM) 或手动方式定期为 ESXi 主机和 vCenter 安装安全补丁和更新。vLCM 可以定义基准映像实现集群内主机的统一、自动化更新。加密敏感数据vMotion 加密 在集群设置中启用 vMotion 加密防止迁移过程中数据被窃听。虚拟机加密 使用 VM Encryption 功能对虚拟机的虚拟磁盘进行加密。这需要配置 KMS密钥管理服务器。审计与日志 确保 vCenter 的审计日志功能开启并定期将日志导出到外部的 SIEM安全信息和事件管理系统进行集中分析和长期留存。在 vCenter 的“配置”-“常规”-“编辑”中设置 Syslog 服务器。网络隔离 如前所述使用分布式交换机并将管理网络、vMotion 网络、存储网络、VM 网络进行物理或 VLAN 隔离减少攻击面。7. 自动化与 API 入门使用 PowerCLI 进行日常管理对于重复性任务自动化能极大提升效率并减少人为错误。VMware PowerCLI 是基于 PowerShell 的自动化管理工具。基础操作示例# 1. 连接与断开 Connect-VIServer -Server vcsa.example.com -User administratorvsphere.local Disconnect-VIServer -Server * -Confirm:$false # 2. 获取信息 Get-VM # 列出所有虚拟机 Get-Cluster # 列出所有集群 Get-Datastore # 列出所有数据存储 # 3. 创建虚拟机从模板 $template Get-Template -Name CentOS8-Template $vmHost Get-VMHost -Name esxi01.example.com $ds Get-Datastore -Name SSD-Datastore New-VM -Name NewWebVM -Template $template -VMHost $vmHost -Datastore $ds # 4. 批量修改虚拟机设置例如增加内存 Get-VM -Location Prod-Cluster/Web-Servers | Set-VM -MemoryGB 8 -Confirm:$false # 5. 执行快照管理 Get-VM -Name AppVM01 | New-Snapshot -Name Pre-Update-Backup -Description Snapshot before application update # 删除所有早于30天的快照 Get-VM | Get-Snapshot | Where {$_.Created -lt (Get-Date).AddDays(-30)} | Remove-Snapshot -Confirm:$false脚本化运维 你可以将一系列 PowerCLI 命令保存为.ps1脚本文件用于定期清理旧快照、生成资源报告、批量部署虚拟机等并结合任务计划实现自动化。掌握 vSphere Foundation Administrator 认证所要求的知识远不止于通过考试。其核心价值在于构建一套系统、规范、安全的虚拟化运维管理体系。从资源池的精细划分、存储策略的灵活应用到分布式网络的统一管理、性能瓶颈的精准定位再到安全基线的全面加固每一个环节都需要理论结合实践去深入理解。建议在实验环境中反复演练本文中的操作并尝试解决自己设计的一些“故障场景”这样才能在真实的运维工作中做到游刃有余。后续可以进一步学习 vSphere 的可用性特性如 vSphere HA、FT、高级监控工具如 vRealize Operations以及与其他 VMware 套件如 NSX、vSAN的集成从而构建更完整的数据中心技能栈。