VPN على ESXi: التوجيه أم الجسر — احسم الدور قبل مجموعة المنافذ
نفق TUN الموجَّه يحتاج إلى مسارات عودة، ونفق TAP المجسَّر يحتاج إلى وصول الطبقة 2 وسياسة مجموعة منافذ أوسع. احسم الدور قبل توسيع الوضع المتساهل.
وجّه الحزم أو وسّع نطاق Ethernet: تغيير مجموعة المنافذ يأتي لاحقاً لهذا الاختيار. من منظور تطبيق يحمل عنواناً خاصاً قد تبدو النتائج متطابقة، بينما متطلبات الهايبرفايزور مختلفة تماماً. لهذا تُوسَّع مجموعة المنافذ أولاً ويُجاب عن سؤال التصميم ثانياً، عادةً بعد عاصفة بث. اتبع هذه الفحوص بالترتيب وتوقف ما دام المتطلب غامضاً، لأن أي إعداد لمجموعة منافذ لا يصلح تصميماً لم يُختَر قط.
القرار يخص مالك الخدمة؛ وعلى إعداد الهايبرفايزور تنفيذه لا أن يحدده بالخطأ.
افحص ما يحتاجه الطرف البعيد فعلاً
اسرد الخدمات التي يجب أن تصل إليها العملاء البعيدون والبروتوكولات التي يستخدمونها. إن كانت القائمة حفنة من خدمات TCP على بادئات معروفة، فالتوجيه يكفي. وإن كان شيء ما يحتاج فعلاً إلى تجاور الطبقة 2 — اكتشاف يعتمد على البث، بروتوكولات غير IP، جهاز لا يقبل بوابة — فلا يمكن للتوجيه تقليده وعليك قول ذلك مبكراً. كن صادقاً بشأن المدخلات غير IP في تلك القائمة، فهي حيث يفشل تصميم التوجيه بهدوء بعد أسبوع.
ثم افحص مجموعة العملاء. التصميم الموجَّه يحتاج إلى نطاق عناوين ومسار عودة صريح على الطرف البعيد؛ والتصميم المجسَّر يحتاج إلى أن يملك نطاق Ethernet الموسَّع توزيع العناوين والعزل. أياً كان اختيارك، يجب أن يوافق عليه شخص خارج هذه الآلة الافتراضية.
ما يطلبه كل تصميم من الشبكة الافتراضية
يختلف التصميمان في ما يجب أن تتحمله الشبكة الافتراضية، والجدول أقصر طريق لرؤية ذلك:
| التصميم | دور الجهة الضيفة | ما يجب أن تستوعبه الشبكة الافتراضية | نمط الفشل عند الاختيار الخاطئ |
|---|---|---|---|
| TUN موجَّه | موجِّه بين بادئات منفصلة | مجموعة عملاء موجَّهة مع مسارات عودة على الطرف البعيد | تصل العملاء إلى البوابة ولا تصل أبداً إلى الخدمة خلفها |
| TAP مجسَّر | جسر الطبقة 2 للعملاء الذين ينضمون | هويات Ethernet إضافية وحركة بث وقواعد VLAN | يُسقط vSwitch الإطارات، أو يحتاج التصميم إلى وضع متساهل لم يوافق عليه أحد |
يبقي التوجيه نطاق البث كما هو ويمنحك موضعاً طبيعياً لتحديد الخدمات التي تعبر البوابة. أما الجسر فينقل الحد: يصبح العملاء مشاركين في نطاق Ethernet الموسَّع، ويُطبَّق عليهم الآن توزيع العناوين والعزل وأي سياسة للطبقة 2. اكتب الصف المختار في سجل التغيير. جملة مثل «TUN موجَّه، مجموعة عملاء 10.90.0.0/24، مسار عودة على النواة» تمنع المهندس التالي من إعادة جدال التصميم انطلاقاً من إعدادات مجموعة المنافذ.
من يحق له رؤية إطارات من
اسأل مالك المنصة سؤالاً واحداً قبل لمس مجموعة المنافذ: هل يتطلب التصميم أن تتلقى هذه الآلة إطارات موجَّهة إلى مشاركين آخرين؟ إن كان الجواب لا، فلا ينطبق شيء في هذا القسم، لأن نفق TUN الموجَّه لا يحتاج تلك الرؤية أبداً. وإن كان الجواب نعم، فإن إرشادات Broadcom للوضع المتساهل هي القراءة المهمة: فهي تبيّن مقدار ما يمكن للآلة رؤيته من vSwitch وتوصي بحصر تلك السياسة في مجموعة منافذ واحدة.
تعامل مع ذلك كفحص متطلب، لا كتصريح سماح. شغّل الإعداد لارتباط مخصص واحد عندما تكون حاجة الجسر مكتوبة، واتركه مغلقاً في كل مكان آخر. إن جذع VLAN عريض منسوخ من مثال جسر آخر هو الجزء الذي لا يتذكر أحد إزالته، والتصميم أحادي VLAN يجب أن يبقى أحادياً.
سجّل أي مجموعة منافذ تغيّرت ولماذا، في المكان نفسه الذي سجّلت فيه صف التصميم. هذا الاقتران هو ما يجعل التدقيق التالي ممكناً.
أبقِ كائنات الجهة الضيفة صريحة
داخل Linux، عضوية الجسر وملكية العنوان كائنان منفصلان، وخلطهما يسبب حالة نصف عاملة محيّرة. عيّن العناوين لواجهة الجسر أو للنفق الموجَّه، لا لطرفي المسار نفسه، وأبقِ المنافذ الأعضاء خالية من إعداد IP.
تجنّب وضع شبكة فرعية واحدة باستقلال على نفق TUN موجَّه وعلى واجهة Ethernet غير ذات صلة. ذلك الإعداد ينتج مسارين إلى البادئة نفسها، وردوداً غير متناظرة، وخيط دعم حول التذبذب لا يذكر أياً من المسارين. وإن كانت الجهة الضيفة تستضيف حاويات أو هايبرفايزور محلياً، فتحقق من أنها لا تجسّر بالفعل إلى الوصلة الصاعدة نفسها. جسران على بطاقة شبكة واحدة قرار تصميم، لا حادث تريد اكتشافه أثناء نافذة تغيير.
أكّد بمسار حزمة، لا بـ ping
تحقق من المسار الفعلي لا من الوصول وحده. من عميل، أكّد أي عنوان مصدر يصل إلى الخدمة البعيدة، ثم أكّد أن الرد يعود بالطريق نفسه. على الجهة الضيفة، افحص عدادات التمرير للتدفق المحدد، وعلى مجموعة المنافذ أكّد أنه لم تُفعَّل رؤية إضافية تتجاوز ما يحتاجه التصميم المختار.
أخيراً، اختبر اتجاه الفشل. أوقف النفق أو افصل العميل وتحقق من أن الحركة لا تتراجع بصمت إلى مسار موجَّه ظننته غير مستخدم، لأن ذلك التراجع هو كيف يصبح تصميم مجسَّر موجِّهاً غير مقصود بهدوء.