Nền Tảng Ảo Hóa & Cài Đặt ESXi

1. Hardware Requirements & HCL Validation

Bước bắt buộc đầu tiên trước khi mua phần cứng hoặc cài đặt ESXi — kiểm tra VMware Compatibility Guide.

### Quy trình kiểm tra HCL (VMware Compatibility Guide)
# URL: https://compatibilityguide.broadcom.com/

# BƯỚC 1: Kiểm tra Server Model
# → "System/Server" → Nhập hãng + model (Dell PowerEdge R750, HPE ProLiant DL380 Gen10)
# → Xác nhận ESXi version được hỗ trợ

# BƯỚC 2: Kiểm tra từng thành phần
# → "I/O Device" → Kiểm tra NIC, HBA, RAID controller
# → Lưu ý: driver version phải khớp

# BƯỚC 3: Kiểm tra Storage Array (nếu dùng SAN/NAS)
# → "Storage/SAN" → Nhập array model
# → Ghi lại recommended multipath policy (Round Robin, Fixed)

# BƯỚC 4: Lấy Vendor Addon ISO (nếu cần)
# Dell: Dell EMC Custom Image for ESXi
# HPE:  HPE Custom SPP for VMware ESXi
# Lenovo: Lenovo Custom Image
# → Custom ISO có thêm OEM drivers không có trong VMware ISO gốc

2. Bare-Metal Deployment Checklist

Danh sách kiểm tra đầy đủ trước khi deploy ESXi lên server vật lý — tránh phát hiện vấn đề sau khi đã rack server.

3. BIOS/UEFI Configuration cho ESXi

Các setting BIOS ảnh hưởng trực tiếp đến hiệu năng và tính ổn định của ESXi — thiếu bước này gây lỗi khó debug.

### BIOS Settings bắt buộc cho ESXi 8.0.3

## VIRTUALIZATION
  Intel VT-x (Virtualization Technology)    → ENABLE
  Intel VT-d (I/O Virtualization)           → ENABLE  [cần cho PCI passthrough]
  AMD-V / AMD-Vi                            → ENABLE   [nếu là AMD CPU]
  Execute Disable Bit (XD/NX)              → ENABLE

## POWER MANAGEMENT
  Power Profile: Performance / Max Performance  → KHÔNG dùng "OS Controlled"
  C-States: C1E only hoặc Disabled         → Giảm latency
  Turbo Boost                               → ENABLE
  Hyper-Threading                           → ENABLE  [trừ security workloads]

## MEMORY
  NUMA Interleaving: Disabled               → Để ESXi tự quản lý NUMA topology
  Memory Error Correction: ECC              → Phải có ECC RAM cho production
  Memory Mirroring/Lockstep: Disabled       → Tiết kiệm 50% RAM available

## STORAGE (RAID/iSCSI)
  HBA Mode: RAID hoặc HBA                  → Tùy design (RAID=VMFS, HBA=vSAN)
  Write Cache: Enable với BBU               → Tăng performance, an toàn khi có BBU

## BOOT
  Boot Mode: UEFI (Secure Boot optional)   → ESXi 7+ hỗ trợ UEFI Secure Boot
  Boot Order: USB/Virtual Media → Local Disk

4. Management Network Design

Tách biệt management traffic ra VLAN riêng — nguyên tắc bảo mật cơ bản, không thể bỏ qua trong production.

### TOPOLOGY — Management Network tách biệt

  ┌─────────────────────────────────────────────────────────┐
  │             Data Center Network Design                  │
  │                                                         │
  │  Physical Switch (Cisco/Aruba/Juniper)                  │
  │  ┌──────────────────┐   ┌──────────────────┐           │
  │  │ VLAN 10 — Mgmt   │   │ VLAN 20 — vMotion│           │
  │  │ 10.100.10.0/24   │   │ 10.100.20.0/24   │           │
  │  └──────────────────┘   └──────────────────┘           │
  │  ┌──────────────────┐   ┌──────────────────┐           │
  │  │ VLAN 30 — vSAN   │   │ VLAN 100 — VM    │           │
  │  │ 10.100.30.0/24   │   │ 10.100.100.0/24  │           │
  │  └──────────────────┘   └──────────────────┘           │
  │                                                         │
  │  ESXi Host:                                             │
  │    vmk0 (mgmt)    → VLAN 10 — vmnic0+vmnic1 (standby)  │
  │    vmk1 (vMotion) → VLAN 20 — vmnic2+vmnic3 (active)   │
  │    vmk2 (vSAN)    → VLAN 30 — vmnic2+vmnic3 (active)   │
  │    VM Port Groups → VLAN 100+ — vmnic2+vmnic3           │
  └─────────────────────────────────────────────────────────┘

### IP ADDRESSING PLAN (ví dụ doanh nghiệp):
  VLAN 10 — ESXi Management:
    esxi-hn-r01-01.hoatranlab.io.local  → 10.100.10.11
    esxi-hn-r01-02.hoatranlab.io.local  → 10.100.10.12
    esxi-hn-r01-03.hoatranlab.io.local  → 10.100.10.13
    vcsa-hn-prod.hoatranlab.io.local    → 10.100.10.10

  VLAN 20 — vMotion:
    esxi-hn-r01-01 vmk1  → 10.100.20.11
    esxi-hn-r01-02 vmk1  → 10.100.20.12
    esxi-hn-r01-03 vmk1  → 10.100.20.13

5. ESXi Kickstart Automation — Deploy 50+ Hosts

Dùng kickstart kết hợp PXE/HTTP server để deploy hàng loạt ESXi host — giảm từ 2 giờ/host xuống còn 15 phút unattended.

### ks.cfg — Enterprise Kickstart Template
vmaccepteula

# Password SHA-512 (generate: openssl passwd -6 'VMware1!')
rootpw --iscrypted $6$rounds=4096$salt$hash...

# Cài vào disk đầu tiên, xóa partitions cũ
install --disk=/dev/sda --overwritevmfs --deletecosvmfs

# Network: static IP (hoặc dùng DHCP + set static qua %firstboot)
network --bootproto=static \
        --ip=10.100.10.11 \
        --netmask=255.255.255.0 \
        --gateway=10.100.10.1 \
        --hostname=esxi-hn-r01-01.hoatranlab.io.local \
        --nameserver=10.100.10.53 \
        --device=vmnic0 \
        --vlanid=10

reboot

%firstboot --interpreter=busybox

# 1. Cấu hình NTP
esxcli system ntp set -s dc01.hoatranlab.io.local
esxcli system ntp set -s dc02.hoatranlab.io.local
esxcli system ntp set --enabled=true
/etc/init.d/ntpd start

# 2. Enable SSH tạm thời (tắt sau khi join vCenter)
vim-cmd hostsvc/enable_ssh
vim-cmd hostsvc/start_ssh

# 3. Tắt ESXi Shell (security hardening)
esxcli system settings advanced set -o /UserVars/ESXiShellInteractiveTimeOut -i 3600
esxcli system settings advanced set -o /UserVars/ESXiShellTimeOut -i 3600

# 4. Cấu hình Syslog → SIEM
esxcli system syslog config set --loghost='tcp://siem.hoatranlab.io.local:514'
esxcli system syslog reload

# 5. Set Power Policy: High Performance
esxcli system power policy set --id=1

# 6. Disable IPv6 (nếu không dùng)
esxcli network ip set --ipv6-enabled=false

# 7. Firewall: cho phép chỉ những dịch vụ cần thiết
esxcli network firewall ruleset set --enabled=true --ruleset-id=syslog
esxcli network firewall ruleset set --enabled=true --ruleset-id=vSphereClient

echo "ESXi post-install complete: $(date)" > /tmp/ks-complete.log

6. Post-Install Security Hardening

Checklist hardening ESXi theo DISA STIG / CIS Benchmark — bắt buộc cho môi trường regulated (ngân hàng, chính phủ, y tế).

1. vSphere Auto Deploy — Zero-Touch Provisioning

Cho môi trường 20+ hosts — mỗi lần khởi động ESXi tự pull image từ Auto Deploy server, không cần boot disk local.

### TOPOLOGY — vSphere Auto Deploy

  ┌─────────────────────────────────────────────────────────┐
  │  Server boot (PXE)          Auto Deploy Server           │
  │                                                         │
  │  ESXi Host (no disk) ──PXE──► DHCP Server               │
  │                               ↓                         │
  │                         TFTP/PXE Boot                   │
  │                               ↓                         │
  │                    Auto Deploy (vCenter plugin)          │
  │                         ↓          ↓                    │
  │                   ESXi Image    Host Profile             │
  │                   (depot)       (configuration)         │
  └─────────────────────────────────────────────────────────┘

### CẤU HÌNH Auto Deploy (PowerCLI):
# 1. Tạo Image Profile từ depot
Add-EsxSoftwareDepot https://hostupdate.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xml
$img = Get-EsxImageProfile "ESXi-8.0U2-xxxx-standard"

# 2. Tạo Deploy Rule
$rule = New-DeployRule -Name "Rule-Production-Hosts" `
    -Item $img, (Get-VMHostProfile "HP-Production-Profile") `
    -Pattern "ipv4=10.100.10.0/24"

# 3. Kích hoạt rule
Add-DeployRule $rule
Test-DeployRuleSetCompliance

2. Host Profile — Chuẩn Hóa Cấu Hình Hàng Loạt

Host Profile đảm bảo mọi ESXi host trong cluster có cấu hình giống hệt nhau — phát hiện drift tự động.

### Workflow tạo và áp Host Profile

BƯỚC 1: Cấu hình "reference host" hoàn chỉnh
  - NTP, DNS, Syslog đầy đủ
  - vmknic (vmk0-vmk3) với IP đúng
  - Security settings (lockdown, firewall, hardening)
  - Storage adapter settings

BƯỚC 2: Extract Host Profile
  vCenter → Host → Actions → Host Profiles → Extract Host Profile
  Name: HP-ESXi8-Production-v1.0
  → Finish

BƯỚC 3: Chỉnh sửa Profile (customization)
  → Sửa các trường cần khác nhau per host:
    [User Input] → IP address, hostname (dùng Answer File)

BƯỚC 4: Apply Profile cho các hosts mới
  Cluster → Host → Actions → Host Profiles → Attach/Apply → HP-ESXi8-Production-v1.0
  → Check Compliance trước
  → Apply (host sẽ vào Maintenance Mode, apply, exit)

BƯỚC 5: Scheduled Compliance Check
  vCenter → Host Profiles → Edit → General → Schedule Compliance Check
  → Daily at 02:00 AM
  → Alert nếu Non-Compliant → email INFRA team

3. ESXi Health Monitoring với esxtop & Zabbix

Monitoring chủ động — phát hiện vấn đề trước khi ảnh hưởng đến workload.

4. IPAM Integration & CMDB Tracking

Tích hợp vSphere với hệ thống quản lý IP và CMDB đảm bảo không xung đột IP và có đầy đủ asset records.

### PowerCLI — Tự động ghi IP ESXi host vào Netbox (IPAM)
# Sau khi thêm host vào vCenter, script tự động:
# 1. Lấy IP management của host
# 2. POST lên Netbox API để tạo IP record

Connect-VIServer vcsa-hn-prod.hoatranlab.io.local

$hosts = Get-VMHost | Select Name, @{N="IP";E={($_ | Get-VMHostNetworkAdapter -VMKernel | Where{$_.ManagementTrafficEnabled}).IP}}

foreach ($h in $hosts) {
    # POST lên Netbox API
    $body = @{
        address    = "$($h.IP)/24"
        dns_name   = $h.Name
        status     = "active"
        description = "ESXi Management - $(Get-Date -Format 'yyyy-MM-dd')"
    } | ConvertTo-Json

    Invoke-RestMethod -Uri "https://netbox.hoatranlab.io.local/api/ipam/ip-addresses/" `
        -Method POST -Body $body `
        -Headers @{Authorization="Token $env:NETBOX_TOKEN"; "Content-Type"="application/json"}

    Write-Host "Registered: $($h.Name) → $($h.IP)"
}

5. ESXi Patch Lifecycle Management

Quy trình patch ESXi an toàn trong production — không downtime cho VMs với vMotion.

### Quy trình patch ESXi host trong cluster (Rolling Update)

BƯỚC 1: Kiểm tra patch available
  vCenter → Menu → Lifecycle Manager → Check for Updates

BƯỚC 2: Remediate từng host một (Rolling)
  for each ESXi host in cluster:
    1. Bật Maintenance Mode (vMotion VMs sang host khác tự động)
       Host → Actions → Maintenance Mode → Enter Maintenance Mode
    2. Apply patches (Lifecycle Manager → Remediate)
    3. Host tự reboot
    4. Exit Maintenance Mode
    5. Xác nhận VMs trở về OK
    → Lặp lại cho host tiếp theo

BƯỚC 3: Verify sau patch
  esxcli system version get              # Kiểm tra version
  esxcli software vib list | grep patch  # List VIBs đã install
  Get-VMHost | Select Name, Version, Build | ft -AutoSize

### QUY TRÌNH PATCH CHUẨN:
  Dev/Test cluster → 1 tuần
  Staging cluster  → 2 tuần
  Production       → Sau khi staging OK + Change Request approved