the Sky is the Limit
Die Standardinstallation von ESXi verwendet selbst-signierte Zertifikate. Bei Verwendung eigener CA signieter Zertifikate kommt es nach dem Upgrade auf vSphere 5 zu Problemen mit HA.
Zwei sehr gute Blogartikel behandeln die Problematik:
Die Möglichkeit, ESXi auf ein USB Flashmedium zu installieren, war einer der großen Vorteile im Vergleich zum klassischen ESX Server. So kommt es, daß viele der heute laufenden ESXi Installationen bereits mehrere Versionswechsel hinter sich haben. Seit Version 5.x hat sich auch die Ordner Struktur auf dem Medium geändert. Bei Erstinstallation werden seit Version 5.x andere Verzeichnisbäume angelegt. Migriert man dagegen die Installation mittels Update Manager, so bleibt die alte Struktur erhalten. „ESXi USB Medium tauschen“ weiterlesen
Oftmals sind HA Fehlermeldungen des ESXi Servers nicht sehr aussagekräftig. Ein sehr nützliches Diagnosetool ist hierfür das Script PrettyPrint, welches sich auf dem ESXi Host befindet.
Zunächst muss man den SSH Dienst starten.
Konfiguration > Sicherheit > Sicherheitsprofil > Eigenschaften > SSH > Optionen > Start
Configuration > Security profile > Security Profile > Properies > SSH > Options > start
Danach kann man mit einem SSH Client (Putty, Secureshell) eine Verbindung zum ESXi aufbauen.
cd /opt/vmware/fdm/fdm/
./prettyPrint.sh
Das Skript kann mit vier Parametern gestartet werden
Die Ausgabe erfolgt als XML-Code, der sich aber in der Commandshell nicht sehr gut lesbar ist. Besser ist es, die Ausgabe per Pipe Befehl in eine XML-Datei umzuleiten.
./prettyPrint.sh hostlist > /tmp/hostlist.xml
Diese wird dann per SCP oder SSH abgeholt und mit einem Editor ausgewertet (z.B. Notepad++).
Die Ausgabe enthält Informationen aller im Cluster verfügbaren ESXi Hosts. Die Hosts sind jeweils in <host></host> Tags eingebunden.
Die Auflistung aller Informationen der Clustercobfig würde den Rahmen dieses Blogs sprengen. Eine besonders nützliche werde ich hier nennen.
Liefert eine Liste aller VMs und die Hosts, zu denen diese kompatibel sind. Gilt nur für vSphere 5.0. Für vSphere 5.1 Hosts ist vmmetadata als Parameter zu wählen.
Liefert eine Liste aller VMs und die Hosts, zu denen diese kompatibel sind.
blogged somewhere in time…
Bei der Installation eines ESXi Servers erstellt dieser ein eigenes (untrusted) Host Zertifikat. Dieses ist ausgestellt auf den FQDN des ESXi. Im Zusammenhang damit brachte mich heute die Ausführung eines Perl-Skriptes nahe an die Verzweiflung. Ein bisher im problemlos funktionierendes Skript warf Zertifikatsfehler.
Can't connect to 10.0.0.101 (certificate verify failed)
Natürlich kommen beim untrusted Zertifikat des ESXi immer Zertifikatswarnungen. Das ist normal, denn schließlich ist die Echtheit nicht offiziell bestätigt. Warum machte aber das Perl-Skript jetzt Probleme? Der ESXi war korrekt im DNS registriert. Ich startete eine Browsersitzung (IE) auf den ESXi Server.
Diese Meldung ist normal. Denn das Zertifikat ist (für den IE) nicht vertrauenswürdig. Klickt man auf Fortsetzen, so kann man sich das Zertifikat ansehen indem man auf die Zertifikatswarnung neben der Adresszeile klickt.
Das ESXi Hostzertifikat war ausgestellt auf localhost.localdomain. Ein sicheres Zeichen, daß der Name des ESXi nachträglich geändert wurde, oder zunächst beim Setup vergessen wurde.
/sbin/create_certificates
Gelegentlich heisst es auch:
/sbin/generate-certificates
[UPDATE: Bei ESXi 5.5 Hosts müssen zusätzliche Schritte durchgeführt werden. Beschrieben in diesem Artikel]
VM-Help.com – Change your host’s network name and SSL certificate. Die Seite beschreibt den Vorgang für ESX 3i. Die Commandlets haben sich inzwischen leicht geändert und haben neue Namen. Dennoch war dieser Blogeintrag sehr hilfreich für mich.