VMware on 卡螺絲

在 ESXi 建立自訂 Firewall Rule

Tue, 28 Apr 2026 00:00:00 +0800

ESXi 的 firewall 預設只開放少數必要的出入站流量。如果需要讓 ESXi 主機本身連到特定 port（例如把系統 log 轉送到 Graylog），就需要新增自訂規則。

本文以開放 ESXi outbound TCP/UDP port 5140（Graylog syslog）為例。

準備：啟用 SSH

在 vSphere 介面啟用 ESXi SSH，登入後進行後續操作。

建立規則設定檔

ESXi 的 firewall 規則以 XML 格式存放在 /etc/vmware/firewall/。新增規則只需複製一份現有範本再修改：

1
2


cd /etc/vmware/firewall
cp vltd-firewall.xml graylog-syslog.xml

修改 graylog-syslog.xml，定義 TCP 和 UDP 兩條規則：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


<ConfigRoot>
<service id='0000'>
 <id>graylog-syslog-tcp</id>
 <rule id='0000'>
 <direction>outbound</direction>
 <protocol>tcp</protocol>
 <porttype>dst</porttype>
 <port>5140</port>
 </rule>
 <enabled>false</enabled>
 <required>false</required>
</service>
<service id='0001'>
 <id>graylog-syslog-udp</id>
 <rule id='0000'>
 <direction>outbound</direction>
 <protocol>udp</protocol>
 <porttype>dst</porttype>
 <port>5140</port>
 </rule>
 <enabled>false</enabled>
 <required>false</required>
</service>
</ConfigRoot>

重新載入 Firewall 規則

1

esxcli network firewall refresh

確認新規則已出現：

1
2
3


# esxcli network firewall ruleset list | grep graylog
graylog-syslog-tcp false
graylog-syslog-udp false

啟用規則

用 CLI 指定規則 ID 啟用，或在 vSphere Web GUI 的 Manage > Security & users > Firewall 勾選：

1

esxcli network firewall ruleset set --ruleset-id=graylog-syslog-udp --enabled=true

References

Custom Firewall Rules in ESXi | VMware KB 2008226

How can I add ESXi v7 custom firewall rule set? | VMware Communities

Custom firewall setting in ESXi 7.0 — operation not permitted | VMware Communities

壓縮 VMware 虛擬機的 VMDK 磁碟大小

Fri, 30 Jan 2026 00:00:00 +0800

在 VM 中刪除大量檔案後，VMDK 的占用空間並不會自動縮小——VMware 看不到「哪些 sector 現在是空的」。要真正釋放空間，需要在 guest OS 內執行一套清零流程，再由 VMware Tools 壓縮磁碟。

以下步驟在 Linux guest 上執行。

Step 1：磁碟碎片整理

先整理 ext4 filesystem，讓後續的 zerofill 更有效率：

1

sudo e4defrag /

部分檔案（symlink、device file）無法碎片整理，出現相關錯誤可忽略。

Step 2：零填充空閒空間

用零覆蓋所有未使用的 sector，讓 VMware 識別出哪些空間可以回收：

1

dd if=/dev/zero of=wipefile bs=1M; sync; rm wipefile

這個指令會把磁碟寫滿（產生 wipefile），同步後再刪除，空閒空間就全部變成連續的零值 sector。

Step 3：執行壓縮

透過 VMware Tools 通知 hypervisor 壓縮磁碟：

1

sudo vmware-toolbox-cmd disk shrinkonly

完成後 VMDK 檔案大小就會縮小。

References

How to shrink a VMware virtual disk - Super User

ovftool 失敗：vim.fault.FileNotFound

Thu, 05 Dec 2024 00:00:00 +0800

在 ESXi 中匯入 OVA / OVF 範本只能透過上傳本機檔案，無法從 ESXi 上的 datastore 匯入，因此需透過 ovftool 來完成這件事情。但執行時碰到了 vim.fault.FileNotFound。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


calos@ASUS-ESC500G3:~ ovftool \
 --net:LAN_172.16.1.X=VM\ Network \
 --net:LAN2_172.16.2.X=VM\ Network \
 --net:LAN3_172.16.3.X=VM\ Network \
 --net:DMZ_172.16.60.X=VM\ Network \
 https://172.16.1.10/folder/templates/template_bastion-host.ovf\?dcPath\=ha%252ddatacenter\&dsName\=datastore1 \
 vi://172.16.1.10
Enter login information for source https://172.16.1.10/folder/templates/
Username: calos
Password: ***************
Opening OVF source: https://172.16.1.10/folder/templates/template_bastion-host.ovf
The manifest validates
Enter login information for target vi://172.16.1.10/
Username: calos
Password: ***************
Opening VI target: vi://calos@172.16.1.10:443/
Error:
 - A general system error occurred: Fault cause: vim.fault.FileNotFound

Completed with errors

查了一下原因，發現是 OVF 本身的 CD/DVD 還掛著 ISO，導致失敗。參考了這篇使用 --noImageFiles，但依然沒有成功。

最後嘗試直接編輯 OVF 檔，把 CD/DVD 裝置直接刪掉：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


<!-- 下關鍵字找 DVD，找到這節把它刪掉 -->
<Item ovf:required="false">
 <rasd:AddressOnParent>0</rasd:AddressOnParent>
 <rasd:AutomaticAllocation>false</rasd:AutomaticAllocation>
 <rasd:ElementName>CD/DVD drive 1</rasd:ElementName>
 <rasd:InstanceID>8</rasd:InstanceID>
 <rasd:Parent>4</rasd:Parent>
 <rasd:ResourceSubType>vmware.cdrom.iso</rasd:ResourceSubType>
 <rasd:ResourceType>15</rasd:ResourceType>
</Item>

再次執行，還是失敗了。

1
2
3
4


Opening OVF source: https://172.16.1.10/folder/templates/template_bastion-host.ovf
The manifest validates
Error: SHA digest of file template_bastion-host.ovf does not match manifest
Completed with errors

這邊是因為當初將 OVF 匯出時，會同時倒出一個 .mf 檔案，裡面記錄了 VMDK 與 OVF 檔的 hash，可用來檢測是否被更改過。

1
2


SHA1(template_bastion-host-disk1.vmdk)= 6f9c36327d0b00e4d52d93484c54fa625d4a48f2
SHA1(template_bastion-host.ovf)= 71aafebf0a44f2b59f00af0c71a7ef26ff7869e5

這邊有兩個處理方式：

重新對 OVF 檔產生一個相應的 hash，換掉原本的 hash sum，然後把更改過的 MF 檔覆蓋上去
直接砍掉 MF 檔

這裡使用第一種方法，因為 MF 檔裡面使用的是 SHA1，因此這邊使用 sha1sum 產生 OVF 檔的 hash sum，然後蓋掉原本的 hash sum

1
2


calos@ASUS-ESC500G3:~ $ sha1sum template_bastion-host.ovf
aacf02cdea9311e0e2dd96d37eb41cf217705541 template_bastion-host.ovf

再次執行 ovftool，終於成功了！

References

ovftool fails with Error: vim.fault.FileNotFound |VMware Communities

How to Deploy an OVF Located On ESXi Datastore Using ovftool

Ovftool fails with error: vimfault.FileNotFound – Michael Stoica

Failed to open virtual machine: SHA1 digest of file xxxxxxxx779-disk1.vmdk does not match manifest. | by Rajesh D | Medium