VMWARE-NETZWERKE → STACKIT · ARCHITEKTUR
Von vSwitches und VLANs zu STACKIT-Netzwerksegmenten
Unter VMware besteht Segmentierung aus virtuellen Switches, Portgruppen und VLAN-IDs. Auf STACKIT sind es Netzwerke, ein Projekt-Router und Security Groups an der Netzwerkschnittstelle. StackToIT macht aus jeder Portgruppe ein Netzwerk und lässt die Topologie-Entscheidung offen. Diese Seite legt die Optionen dar, mit einer Demo-Umgebung aus zehn Maschinen, deren Lauf zeigt, wo der Entwurf endet.
Vier Wege, die Segmentierung zu übertragen
| Option | Wie es auf STACKIT aussieht | Was Sie abwägen |
|---|---|---|
| A · Ein Netzwerk je Portgruppe | Jede Portgruppe wird ein Netzwerk mit eigenem Adressbereich. Verkehr zwischen Netzwerken eines Projekts läuft über den Projekt-Router, und Security Groups an der Netzwerkschnittstelle entscheiden, was hereinkommt. | Am nächsten am heutigen Aufbau und am Entwurf von StackToIT. Mehr Präfixe zu vergeben, mehr Regeln zwischen den Schichten zu schreiben. |
| B · Weniger Netzwerke, Security Groups als Grenze | Mehrere Schichten teilen sich ein Netzwerk. Die Trennung wird durch Security Groups ausgedrückt, die nach der geschützten Funktion benannt sind. | Weniger Adressplanung, aber die Isolation hängt vollständig von der Regelqualität ab. Eine Layer-2-Grenze sichert sie nicht mehr zusätzlich ab. |
| C · Ein Projekt je Zone, verbunden über eine Network Area | Zonen wie Produktion und Management liegen in getrennten Projekten. Projekte in einer STACKIT Network Area sind implizit verbunden, und der Verkehr dazwischen muss weiterhin durch Security Groups erlaubt werden. | Starke administrative Trennung. Bestehende Netzwerkbereiche einer Area lassen sich später nicht ändern, und laut Dokumentation arbeitet eine Network Area derzeit innerhalb einer Region. |
| D · Firewall-Appliance beibehalten | Eine mehrbeinige VM wie fw-dmz01 behält je ein Bein in jeder Zone. Ein Server kann bis zu 5 Netzwerkschnittstellen haben. | Behält Regelwerk und Werkzeuge. Sie betreiben und patchen die Appliance, und fünf Beine sind die Obergrenze. |
Die Optionen lassen sich kombinieren, etwa eine Firewall-Appliance vor der DMZ und dahinter Option A. Aussagen zu Netzwerken, Routing, Security Groups und Network Area folgen der STACKIT-Dokumentation zu Core Networking in den Quellen.
Was die Engine entwirft: ein Netzwerk je Portgruppe
Ein Export mit zehn Maschinen, für diese Seite geschrieben und am 4. November 2026 von StackToIT bewertet. Links die Präfix-Variable, die der Entwurf für das DMZ-Netzwerk deklariert. Rechts die Entscheidung zu dieser Portgruppe in assessment.json.
variable "network_PG_DMZ_ipv4_prefix" {
type = string
description = "IPv4 prefix (CIDR) for the network replacing port group PG-DMZ. Addresses seen on it: 198.51.100.10, 198.51.100.11."
}{
"id": "network.PG-DMZ",
"result": {
"class": "RECONFIGURE",
"confidence": "MEDIUM",
"target": {
"service": "STACKIT network"
},
"reason": "A port group becomes a STACKIT network. VLAN IDs and virtual switches have no meaning on STACKIT; the IP prefix has to be set explicitly (RVTools does not export subnet masks) and kept if the VMs keep their addresses."
}
}Option A ist der Standard-Entwurf
Alle 8 Portgruppen der Umgebung sind als RECONFIGURE klassifiziert und werden 8 Netzwerke in Welle 1. Die 10 Maschinen folgen in Welle 2.
Das Präfix bestimmen Sie
RVTools exportiert keine Subnetzmaske. Die Variable listet nur die an der Portgruppe gesehenen Adressen, hier die beiden DMZ-Adressen von lb01 und fw-dmz01.
VLAN-IDs und Switches enden hier
Der Begründungstext sagt es deutlich: VLAN-IDs und virtuelle Switches haben auf STACKIT keine Bedeutung. Die Segmentierungsabsicht muss von Ihnen kommen.
Derselbe Name auf zwei Switches
Aus demselben Lauf. Links die vNetwork-Zeilen der Portgruppe PG-Mgmt, die auf vSwitch0 und auf vSwitch2 existiert. Rechts die beiden Netzwerke, die der Entwurf dafür geschrieben hat.
VM,NIC label,Adapter,Network,Switch,Connected,IPv4 Address,VM UUID
fw-dmz01,Network adapter 3,Vmxnet3,PG-Mgmt,vSwitch0,True,10.60.99.5,6002-cccc-0001
bkp01,Network adapter 2,Vmxnet3,PG-Mgmt,vSwitch0,True,10.60.99.10,6002-cccc-0008
jump01,Network adapter 1,Vmxnet3,PG-Mgmt,vSwitch0,True,10.60.99.20,6002-cccc-0009
jump02,Network adapter 1,Vmxnet3,PG-Mgmt,vSwitch2,True,10.61.99.20,6002-cccc-0010resource "stackit_network" "network_PG_Mgmt_45abe3c6" {
project_id = var.project_id
name = "pg-mgmt-45abe3c6"
ipv4_prefix = var.network_PG_Mgmt_45abe3c6_ipv4_prefix
ipv4_nameservers = var.network_PG_Mgmt_45abe3c6_ipv4_nameservers
}
resource "stackit_network" "network_PG_Mgmt_8e1ad156" {
project_id = var.project_id
name = "pg-mgmt-8e1ad156"
ipv4_prefix = var.network_PG_Mgmt_8e1ad156_ipv4_prefix
ipv4_nameservers = var.network_PG_Mgmt_8e1ad156_ipv4_nameservers
}Zwei Netzwerke, nicht eines
Die Engine behandelt die beiden PG-Mgmt-Portgruppen als getrennte Einheiten. Die Netzwerknamen werden mit einem Suffix eindeutig gemacht, das aus der Adresse der Portgruppe in der Quelle abgeleitet ist; so steht es im Kommentar über jedem Block.
Die Verdrahtung bleibt Ihnen
In diesem Lauf beziehen alle Schnittstellen an dieser Portgruppe, bei fw-dmz01, bkp01, jump01 und jump02, die Netzwerk-ID aus einer Variable, statt auf eines der beiden Netzwerke zu verweisen. Sie legen fest, an welches der beiden Netzwerke jede Schnittstelle angebunden wird.
Warum das für den Entwurf zählt
Doppelte Namen deuten oft auf zwei Standorte oder zwei Cluster hin. Das ist die Gelegenheit zu entscheiden, ob daraus ein Netzwerk, zwei Netzwerke oder zwei Projekte werden.
Eine Firewall-VM mit mehreren Beinen
Aus demselben Lauf. Links die drei Adapter von fw-dmz01, rechts die drei dafür entworfenen Netzwerkschnittstellen.
VM,NIC label,Adapter,Network,Switch,Connected,IPv4 Address,VM UUID
fw-dmz01,Network adapter 1,Vmxnet3,PG-DMZ,dvs-dmz,True,198.51.100.10,6002-cccc-0001
fw-dmz01,Network adapter 2,Vmxnet3,PG-Web,dvs-prod,True,10.60.10.1,6002-cccc-0001
fw-dmz01,Network adapter 3,Vmxnet3,PG-Mgmt,vSwitch0,True,10.60.99.5,6002-cccc-0001resource "stackit_network_interface" "vm_fw_dmz01_nic1" {
project_id = var.project_id
network_id = stackit_network.network_PG_DMZ.network_id
ipv4 = "198.51.100.10"
}
resource "stackit_network_interface" "vm_fw_dmz01_nic2" {
project_id = var.project_id
network_id = stackit_network.network_PG_Web.network_id
ipv4 = "10.60.10.1"
}
resource "stackit_network_interface" "vm_fw_dmz01_nic3" {
project_id = var.project_id
network_id = var.vm_fw_dmz01_nic3_network_id
ipv4 = "10.60.99.5"
}Eine Schnittstelle je Adapter
Drei Adapter ergeben drei Schnittstellen, jeweils mit der Adresse aus dem Export. Drei liegen innerhalb der in der STACKIT-Dokumentation genannten Grenze von fünf Schnittstellen je Server.
Öffentlich wirkende Adressen brauchen eine Entscheidung
Auf STACKIT wird eine Floating IP per NAT auf die private Adresse abgebildet und ist im Betriebssystem nicht sichtbar. Ein Gast mit öffentlicher Adresse auf dem eigenen Adapter kann diese nicht einfach behalten.
Keine Security Groups im Entwurf
Die vier Terraform-Dateien des Laufs enthalten keine Security Group. Welche Verkehrsbeziehungen das Firewall-Bein bisher zuließ, müssen Sie im Entwurf selbst festlegen.
Wo VMware-Bild und STACKIT-Bild auseinanderlaufen
| VMware-Element | Was der Lauf tut | Ihre Entscheidung |
|---|---|---|
| Standard- und Distributed Switches | Nicht übernommen. Der Lauf führt den Switch unter den Eigenschaften auf, die der Entwurf auslässt. | Nichts nachzubauen. Entscheiden Sie stattdessen die Zonen. |
| Portgruppe und VLAN | Ein Netzwerk je Portgruppe, Präfix und DNS-Server als Variablen. | Das CIDR je Netzwerk. Alten Bereich beibehalten, wenn Maschinen ihre Adressen behalten. |
| Firewall-Regeln zwischen VLANs | Nicht entworfen. | Security Groups an der Schnittstelle oder eine Appliance. Gehen Sie von Verkehrsbeziehungen aus, nicht von Portgruppennamen. |
| Maschinen mit mehreren Adaptern | Eine Schnittstelle je Adapter, verdrahtet über den Namen. | Ob die Maschine jedes Bein noch braucht. Die Grenze von fünf beachten. |
| Nicht verbundene Adapter | jump02 hat einen PG-Spare-Adapter mit Connected = False. Netzwerk und Schnittstelle werden dennoch entworfen. | Tote Portgruppen vor der Migration entfernen. |
Die Demo nutzt die Dokumentationsbereiche 198.51.100.0/24 und 192.0.2.0/24 als Platzhalter für öffentliche Adressen. Die FAQ zur STACKIT Network Area führt beide unter den nicht nutzbaren Bereichen; prüfen Sie Ihre echten Bereiche also gegen diese Liste.
So entscheiden Sie
Vertrauenszonen zählen, nicht Portgruppen
Listen Sie die Zonen mit unterschiedlichen Regeln auf, zum Beispiel internetseitig, Anwendung, Daten, Backup und Management. Portgruppen, die einer Zone dienen, sind Kandidaten zum Zusammenlegen.
Entscheiden, wo gefiltert wird
Security Groups an der Schnittstelle, eine Appliance oder beides. Die STACKIT-Hinweise zu Netzwerken empfehlen minimale Rechte und das Entfernen der Standard-Erlaubnisregeln.
Die Adressierung festlegen
Behalten Sie die Bereiche, wenn die Maschinen ihre Adressen behalten; andernfalls adressieren Sie neu und planen die DNS-Änderungen. Klären Sie das, bevor Sie eine Network Area wählen, denn deren Bereiche lassen sich später nicht ändern.
Ein Projekt oder mehrere wählen
Als Faustregel beginnen Sie mit einem Projekt je Umgebung. Mehrere Projekte lohnen nur, wenn administrative Trennung die zusätzlichen Regeln dazwischen rechtfertigt.
Die Freigabeliste aus den Verkehrsbeziehungen ableiten
Die Verkehrsbeziehungen liefern die Anwendungsverantwortlichen und eine Abhängigkeitsanalyse. RVTools zeigt, wo Maschinen stehen, nicht wer mit wem spricht.
Mit der ersten Welle prüfen
Im Plan kommen die Netzwerke zuerst. Wenden Sie sie in einem Testprojekt an, hängen Sie je Schicht eine Maschine an und testen Sie die Regeln, bevor Sie den Rest umziehen.
Fragen zur Netzwerksegmentierung
Werden VLAN-IDs nach STACKIT übernommen?
Nein. Der Lauf hält fest, dass VLAN-IDs und virtuelle Switches auf STACKIT keine Bedeutung haben. Jede Portgruppe wird ein Netzwerk, und die Trennung wird aus Netzwerken und Security Groups neu aufgebaut.
Legt StackToIT Security Groups an?
In diesem Lauf nicht. Der Entwurf enthält Netzwerke, Schnittstellen, Server und Volumes. Die STACKIT-Dokumentation beschreibt Security Groups als zustandsbehaftet, mit gesperrtem eingehendem Verkehr, sofern nichts erlaubt ist; jede benötigte Verbindung ist also eine Regel, die Sie ergänzen.
Können Maschinen in verschiedenen Netzwerken einander erreichen?
Verkehr zwischen Netzwerken eines Projekts übernimmt der Projekt-Router. Ob ein Paket ankommt, entscheiden weiterhin die Security Groups der Zielschnittstelle.
Wann lohnt sich eine Network Area?
Wenn Sie getrennte Projekte wollen, die einander dennoch privat erreichen. Planen Sie Bereiche und Transfernetz sorgfältig: Laut STACKIT-FAQ lassen sich bestehende Bereiche nicht ändern.
Was gilt bei zwei Portgruppen mit gleichem Namen?
Liegen sie auf verschiedenen Switches, behält der Lauf sie als zwei Netzwerke und bittet Sie, die Schnittstellen zu verdrahten. Nehmen Sie es als Anlass zu prüfen, ob beide wirklich dasselbe Segment sind.
Quellen
Ihr nächster Schritt: STACKIT.
Erzählen Sie uns von Ihrer Umgebung. Wir zeigen Ihnen, was StackToIT dafür liefert: Zielarchitektur, Terraform-Artefakte und einen strukturierten Migrationsplan.