問題描述：

最近搭建了vCenter環境，並使用vCenter建立的VM搭建了一套openstack環境，在驗證openstack的外網功能時，發現報文死活ping不通外網，抓包發現報文在vcenter的dvs處給丟掉了，這是非常奇怪的事情，仔細排查後，現vCenter竟然感知報文的mac對於不受vCenter管理的VM發出的報文直接忽視。

先上圖：

 

解釋如下：

1）ESX-B016是安裝了VMWare ESX的主機，受vCenter管理和控制，我使用vCenter建立一個虛擬分散式交換機（dvs01），使用ESX-B016主機的eth2作為這個交換機的上行口（可能有人會問，為什麼用eth2作為上行口，這個因為eth0和eth1被別人佔用了：））；ESX-B016     的eth2網絡卡連線到外部物理交換機switch1的g1口，然後通過交換機的g3口連線到了物理閘道器路由器Rrouter1上；物理閘道器路由器的IP為162.3.110.1。

2）使用vCenter在ESX-B016主機上建立了一個VM（虛擬機器名稱為OpenStack_VM），用來安裝OpenStack環境，這個VM的網絡卡eth0連線到dvs01的埠組dVPort1上；

3） 在OpenStack環境上，我建立了租戶網路（net1：192.168.0.0/24）、虛擬機器（user_vm），路由器（R），將net1關聯到router上，並建立了網路（ext1:162.3.0.0/16）作為外部網路

4） 建立的ext外部網路是vlan型別，vlanid設定為1000， dVPort1埠組為vlan中繼，允許2-4094通過，同時g1設定為trunk口，g2設定為access口，只允許vlan 1000通過.

一起就緒後，我進入user_vm虛擬機器中執行ping 162.3.110.1操作，理論上應該能夠ping通閘道器，但是奇怪的是怎麼也不通。

定位過程

好吧，只能祭出抓包的利器tcpdump，首先看一下報文的傳輸路線：user_vm -> br-int ->R -> snat -> br-int -> br-eth0 -> eth0 -> dvs01 -> uplink口（eth2）->  g1 –> g3 -> Router1,

1） 第一步我在User_VM執行ping 162.3.110.1

2） 首先確定ping報文是否發出去了，在user_vm虛擬機器的eth0上抓包，發現能夠抓到通往162.3.110.1的ICMP請求報文，但沒有響應；

3） 在R上抓包，也能抓到通往162.3.110.1的ICMP請求報文，但沒有響應；

4） 在eth0口抓包，同樣能抓到通往162.3.110.1的ICMP請求報文，但沒有響應，說明報文已經從openstack_VM虛擬機器中發出去了，進入了dvs01分散式交換機；

5） 分散式交換機dvs01通過上行口送給了物理交換機switch1的g1口，我在switch1上執行displaymac-address | include GE0/0/1命令，監控所有經過g1口的報文，沒有發現源mac地址為snat的外網口mac的任何報文（這裡為何是外網口的源mac，不明白的同學可以仔細思考下），這說明報文沒有如期送到switch1中，難道經過dvs01時憑空消失了？

解決辦法：

經過查資料，發現原來的確是被dvs01丟失了，這是因為埠組的配置導致的，將OpenStack_VM對應的埠組配置修改如下即可解決問題：

   根本原因在於，我們使用openstack建立的snat上面的外網口對dvs01來說是不被承認的， 如果將偽傳輸設定為拒絕的話， ESX會將正在傳輸的報文mac和所有適配上有效的mac進行比對，發現有不一致的報文會進行丟棄。這裡何謂有效？肯定是ESX自己分配的mac地址是有效的，而openstack分配的mac地址ESX感知不到，也因此認為是無效的。

附加資料：

下面是VMware官方文件對混雜模式和偽傳輸的描述：

Promiscuous Mode（混雜模式）：

混雜模式控制虛擬機器是否可以檢視 ESX 主機上其他節點的單播通訊量。預設情況下，此選項設定為 [Reject（拒絕）]，這意味著虛擬網路介面卡在混雜模式下無法執行。在混雜模式中，虛擬網路介面卡無需執行任何接收過濾，因此客戶作業系統可接收線路上觀察到的所有通訊量。儘管混雜模式可以有效跟蹤網路活動，但這種執行模式極不安全，因為無論某些資料包是否只能由特定的網路介面卡接收，在混雜模式中所有介面卡都可訪問這類資料包。這意味著虛擬機器中的管理員或 Root 使用者可以檢視傳輸至其他客戶機或主機作業系統的通訊量。  

儘管最常用的混雜模式應當處於關閉狀態，但如果正在執行網路入侵檢測軟體或資料包埠掃描器，那麼也可將虛擬交換機配置為在混雜模式中執行。

Forged Transmits（偽傳輸）：  

偽傳輸將影響出站通訊量。預設情況下，此選項設定為 [Accept（接受）]，這意味著 ESX 主機不會將源 MAC 地址與有效 MAC 地址進行比較。如果將此選項設定為 [Reject（拒絕）]，ESX 主機會將作業系統正在傳輸的源 MAC 地址與其介面卡的有效 MAC 地址進行比較，檢視它們是否匹配。如果地址不匹配，ESX 會丟棄此資料包。客戶作業系統不會檢測到其虛擬網路介面卡無法使用模擬的 MAC 地址傳送資料包。ESX 主機將在任何使用模擬地址傳遞資料包傳輸之前將其截獲，因此，客戶作業系統可能會假設資料包已被丟棄。