In VCF 9.0 la rete non si costruisce più partendo da un Tier-0 vuoto. Il punto d’ingresso è un flusso guidato, disponibile sia in NSX Manager sotto System > Quick Start > Setup Network Connectivity > Configure NSX Networking, sia nel vSphere Client sotto Networks > Network Connectivity > Configure Network Connectivity. Da lì in poi ogni scelta che fai vincola i servizi che potrai accendere dopo, ed è esattamente lì che l’esame ti aspetta.

Il primo bivio: connessione distribuita o centralizzata

La prima pagina del wizard chiede il tipo di gateway. La Distributed Connectivity collega il Transit Gateway direttamente a una VLAN provisionata sugli host ESX: nessun edge node da deployare, nessun routing dinamico da configurare. Ti chiede poco — VLAN ID, Gateway CIDR IPv4 Address del ToR, VPC External IPv4 Blocks e Private - TGW IPv4 Blocks — e ti dà routing distribuito, External IPs in 1:1 NAT e DHCP distribuito.

La Centralized Connectivity invece fa passare il traffico da un gateway NSX su edge node, e serve quando vuoi servizi stateful e peering BGP col fabric. Il wizard costruisce l’edge cluster (Edge Cluster Name, Tunnel Endpoint MTU ereditato dai Global Fabric Settings, Edge Form Factor fra Small, Medium e Large, da 2 a 10 nodi) e poi il gateway: High Availability Mode, Gateway Routing Type BGP o Static, Local ASN, Gateway Uplinks da uno a due per edge node. In entrambi i casi il cluster ESX deve già avere gli uplink VDS configurati.

Il piano di trasporto: MTU, teaming, TEP

Prima di parlare di routing, l’overlay deve reggere. La MTU minima richiesta è 1600 byte, ma la raccomandazione è 1700; con un fabric che supporta i jumbo frame si sale a 9000 su Global Tunnel Endpoint MTU (System > Settings > Global Fabric Settings, default 1700), sull’uplink profile (System > Profiles > Uplink Profiles, che altrimenti eredita il TEP globale) e sul VDS lato vCenter. Il Global Logical Interface MTU vive altrove, in Networking > Global Networking Config, e ha default 1500: se lo modifichi deve restare almeno 200 byte sotto la MTU del fabric, e le VM vanno tenute 100-200 byte più in basso ancora.

Le teaming policy sono tre: Failover Order, Load Balance Source e Load Balance Source MAC Address. Gli host ESX le supportano tutte e tre come policy di default; l’Edge no — Load Balance Source MAC non è supportata, e le named teaming policy sull’Edge ammettono solo Failover Order. Le named teaming policy, in ogni caso, si applicano solo ai segmenti VLAN.

Per la resilienza dei tunnel endpoint c’è il Multi-TEP High Availability: un profilo TEP HA creato via API e agganciato ai transport node tramite Transport Node Profile, che sposta le vNIC da un TEP guasto a uno sano sullo stesso host. Richiede almeno due TEP e due uplink attivi, e funziona solo su TEP IPv4.

Tier-0, Tier-1 e la modalità HA

Da Networking > Tier-0 Gateways > Add Tier-0 Gateway scegli fra Active-Active, che bilancia il traffico su tutti i membri, e Active-Standby, dove un solo membro eletto lavora e devi decidere il Failover Mode fra Preemptive e Non-preemptive. Il Tier-1 (Networking > Tier-1 Gateways > Add Tier-1 Gateway) aggiunge la modalità Distributed Only, e l’edge cluster va indicato solo se servono servizi stateful come NAT, load balancer o firewall. Ricorda la lista del Route Advertisement: All Static Routes, All NAT IPs, All DNS Forwarder Routes, All LB VIP Routes, All Connected Segments and Service Ports, All LB SNAT IP Routes, All IPSec Local Endpoints.

La novità pesante di VCF 9.0 è che molti servizi stateful girano in Active-Active: gateway firewall L3-L4, APP-ID, User-ID, URL Filtering, TLS Inspection, IDS/IPS, malware detection, NAT, DHCP server e relay. Restano esclusi L2VPN, IPSec VPN, local DHCP server, service interface, FQDN Analysis e la network introspection. E un Tier-1 nato Active-Standby non si riconverte in A-A, né può condividere l’edge cluster con Tier-0 A-A stateful.

Routing verso il fabric

Le rotte statiche si aggiungono da Edit > Routing > Static Routes > Set > Add Static Route: network in CIDR, next hop (un IP oppure NULL per una device route), administrative distance e scope. Non serve annunciare le statiche dal Tier-0 al Tier-1, perché ogni Tier-1 ha già una default statica verso il Tier-0 a cui è collegato.

Il BGP si configura da Edit > BGP: Local AS Number, Inter SR iBGP (attivo di default in A-A), ECMP, Multipath Relax — che richiede ECMP acceso — Graceful Restart nelle tre varianti Disable, Helper Only e Graceful Restart and Helper, e Route Aggregation. Per ogni vicino: Remote AS, BFD con interval (minimo 500 ms su edge VM) e multiplier, Route Filter su IPv4, IPv6 o L2VPN EVPN, Maximum Routes fino a 1.000.000 con allarme al 75%, Allow as-in disabilitato di default, AS Path Modifier e password MD5. Se il gateway firewall ha default drop, le regole di allow per BGP e BFD vanno scritte a mano.

Il Tier-0 VRF gateway eredita dal padre HA mode, edge cluster, transit subnet e configurazione BGP; configuri in autonomia statiche, BGP verso l’esterno, EVPN e route leaking, ma il VRF fa failover solo quando fallisce il Tier-0 padre.

Segmenti, VPC e Transit Gateway

Da Networking > Segments > Add Segment crei segmenti overlay o VLAN a seconda della transport zone, con Connectivity None, Tier-1 o Tier-0; il gateway CIDR è obbligatorio se il segmento è collegato, e l’uplink teaming policy compare solo sui segmenti VLAN. Quando serve L2 verso una VLAN fisica c’è l’edge bridging, governato da un bridge profile che designa l’edge attivo ed eventualmente lo standby: solo active/standby, mai active/active, e lo stesso segmento può essere contemporaneamente routato e bridgiato.

Il Transit Gateway nasce insieme al Project, e ogni Project ne ha esattamente uno. Non si condivide il Tier-0 con il tenant: si condivide una External Connection, e il TGW vi si aggancia. Le subnet dei VPC sono di tre tipi — Private - VPC, Private - Transit Gateway e Public.

I servizi di rete

Il NAT sta in Networking > NAT > Add NAT Rule. Sul Tier-1 hai SNAT, DNAT, Reflexive, NO SNAT e NO DNAT; sul Tier-0 Active-Standby SNAT, DNAT, NO SNAT e NO DNAT; sul Tier-0 Active-Active solo Reflexive. Le opzioni firewall sono Match External Address, Match Internal Address e Bypass.

Il DHCP ha tre forme: Segment DHCP Server (solo le VM di quel segmento), Gateway DHCP Server (agganciato a un Tier-0 o Tier-1, serve i segmenti overlay collegati) e DHCP Relay verso server esterni. Il DNS forwarder si crea in Networking > IP Management > DNS > DNS Services > Add DNS Service, con gateway Tier-0 o Tier-1, Listener IP, una default DNS zone obbligatoria e fino a cinque zone FQDN.

Il load balancer si aggancia a un Tier-1 e si compone di virtual server, server pool e health monitor; in one-arm serve il SNAT sul virtual server, in inline no. L’IPSec VPN esiste in versione policy-based e route-based con VTI su Tier-0, Tier-0 VRF e Tier-1, ma solo in Active-Standby. Il Gateway QoS profile (Networking > Networking Profiles > Gateway QoS) chiede Committed Bandwidth Limit e Burst Size. Il multicast usa PIM Sparse Mode con IGMPv2, e su Tier-1 pretende edge cluster più un Tier-0 con multicast attivo.

Trappole tipiche d’esame

  • Distribuita non è «centralizzata più semplice». La connessione distribuita non deploya edge node e non fa routing dinamico: ti dà External IPs in 1:1 NAT e DHCP distribuito, non BGP. E un Transit Gateway può avere una sola External Connection centralizzata, ma più di una distribuita.
  • Active-Active non significa più «niente servizi stateful». In VCF 9.0 NAT, gateway firewall, IDS/IPS e DHCP server girano in A-A; ma IPSec VPN, L2VPN e local DHCP server no, e sul Tier-0 in A-A l’unica azione NAT disponibile è Reflexive. Il Gateway QoS profile, poi, è solo Tier-1 e solo Active-Standby.
  • Il load balancer non sta sul Tier-0. Si aggancia al Tier-1. E il distributed load balancer è tutt’altra cosa: gira su ogni host ESX per il traffico est-ovest, è supportato solo per i cluster IP Kubernetes di vSphere, non si crea dalla GUI di NSX Manager e disabilitare la DFW manda in outage i workload che lo usano.
  • Le MTU sono due impostazioni diverse. Il Tunnel Endpoint MTU dei Global Fabric Settings (default 1700, minimo di fabric 1600) non è il Logical Interface MTU dei Global Networking Config (default 1500). Una domanda che parla di overlay che non passa punta alla prima.
  • ECMP di BGP contro ECMP a 5-tuple. L’ECMP che abiliti nella pagina BGP del Tier-0 non è l’ECMP L4 degli host: quello richiede Enhanced Datapath, si accende via API con lb_ecmp e vale per tutti gli host ESX.