ESXi qonaq VPN: marşrutlama və ya körpüləmə — port qrupundan əvvəl qərar verin
Marşrutlanan TUN qayıdış marşrutları tələb edir; körpülənən TAP ikinci qat əlçatanlığı və daha geniş port-qrupu siyasəti tələb edir. Promiscuous rejimi genişlətməzdən əvvəl rolu müəyyənləşdirin.
Paketləri marşrutlaşdırın və ya Ethernet domenini genişləndirin: port qrupunun dəyişdirilməsi bu seçimin ardınca gəlir. Şəxsi ünvana sahib tətbiq baxımından nəticələr eyni görünə bilər, halbuki hipervizor tələbləri tamamilə fərqlidir. Buna görə əvvəlcə port qrupu genişləndirilir, dizayn sualı isə ikinci cavablandırılır — adətən yayım fırtınasından sonra. Bu yoxlamaları ardıcıllıqla keçin və tələb hələ qeyri-müəyyən ikən dayanın, çünki heç bir port-qrupu ayarı heç vaxt seçilməmiş dizaynı düzəltmir.
Qərar xidmətin sahibinə aiddir; hipervizor konfiqurasiyası onu tətbiq etməli, təsadüfən müəyyən etməməlidir.
Uzaq ucun həqiqətən nəyə ehtiyacı olduğunu yoxlayın
Uzaq müştərilərin çatmalı olduğu xidmətləri və istifadə etdikləri protokolları sadalayın. Siyahı məlum prefikslər üzərində bir neçə TCP xidmətidirsə, marşrutlama bunu ödəyir. Əgər nəsə həqiqətən 2-ci qat qonşuluğuna ehtiyac duyursa — yayımdan asılı kəşfiyyat, qeyri-IP protokollar, şlüz qəbul etməyən cihaz — marşrutlama bunu təqlid edə bilməz və bunu erkən deməlisiniz. Siyahıdakı qeyri-IP girişləri barədə dürüst olun, çünki marşrutlama dizaynı bir həftə sonra məhz orada sakitcə uğursuz olur.
Sonra müştəri hovuzunu yoxlayın. Marşrutlanan dizayn ünvan diapazonu və uzaq tərəfdə açıq qayıdış marşrutu tələb edir; körpülənən dizayn genişləndirilmiş Ethernet domeninin ünvan paylanmasına və izolyasiyaya sahib olmasını tələb edir. Hansını seçsəniz də, bu VM-dən kənarda kimsə buna razılıq verməlidir.
Hər dizayn virtual şəbəkədən nə tələb edir
İki dizayn virtual şəbəkənin nəyə dözməli olduğuna görə fərqlənir və cədvəl bunu görməyin ən qısa yoludur:
| Dizayn | Qonaq tərəfindəki rol | Virtual şəbəkənin qarşılamalı olduğu şey | Səhv seçəndə nasazlıq rejimi |
|---|---|---|---|
| Marşrutlanan TUN | Ayrı prefikslər arasında marşrutlayıcı | Marşrutlanan müştəri hovuzu və uzaq tərəfdə qayıdış yolları | Müştərilər şlüzə çatır, arxasındakı xidmətə isə heç vaxt çatmır |
| Körpülənən TAP | Qoşulan müştərilər üçün 2-ci qat körpüsü | Əlavə Ethernet kimlikləri, yayım trafiki və VLAN qaydaları | vSwitch kadrları atır və ya dizayn heç kimin təsdiqləmədiyi promiscuous rejimi tələb edir |
Marşrutlama yayım domenini olduğu yerdə saxlayır və hansı xidmətlərin şlüzdən keçəcəyini məhdudlaşdırmaq üçün təbii yer verir. Körpüləmə sərhədi hərəkət etdirir: müştərilər genişləndirilmiş Ethernet domeninin iştirakçısı olur və ünvan paylanması, izolyasiya və hər hansı 2-ci qat siyasəti artıq onlara tətbiq olunur. Seçilmiş sətri dəyişiklik qeydinə yazın. «Marşrutlanan TUN, müştəri hovuzu 10.90.0.0/24, nüvədə qayıdış marşrutu» kimi bir cümlə növbəti mühəndisin dizaynı port-qrupu ayarlarından yenidən müzakirə etməsinin qarşısını alır.
Kimin kimin kadrlarını görməsinə icazə verilməlidir
Port qrupuna toxunmazdan əvvəl platforma sahibinə bir sual verin: dizayn bu VM-in digər iştirakçılara ünvanlanmış kadrları almasını tələb edirmi? Cavab «xeyr»dirsə, bu bölmədə heç nə tətbiq olunmur, çünki marşrutlanan TUN heç vaxt belə görünürlüyə ehtiyac duymur. Cavab «bəli»dirsə, Broadcom-un promiscuous rejim üzrə təlimatı vacib oxunuşdur: VM-in vSwitch-dən nə qədər çoxunu görə biləcəyini izah edir və həmin siyasətin bir port qrupu ilə məhdudlaşdırılmasını tövsiyə edir.
Buna icazə kağızı kimi deyil, tələb yoxlaması kimi baxın. Körpüləmə ehtiyacı yazıya alındıqda ayarı bir ayrılmış qoşulma üçün aktivləşdirin və hər yerdə başqa onu söndürülmüş saxlayın. Başqa bir körpü nümunəsindən kopyalanmış geniş VLAN trunkı heç kimin silməyi xatırlamadığı hissədir və tək-VLAN dizaynı tək-VLAN qalmalıdır.
Hansı port qrupunun niyə dəyişdiyini dizayn sətrini yazdığınız yerdə qeyd edin. Bu cütlük növbəti auditi mümkün edir.
Qonağın obyektlərini açıq saxlayın
Linux daxilində körpü üzvlüyü və ünvan sahibliyi ayrı obyektlərdir və onları qarışdırmaq çaşdırıcı yarımçıq işlək vəziyyət yaradır. Ünvanları körpü interfeysinə və ya marşrutlanan tunelə təyin edin, eyni yolun hər iki tərəfinə yox, və üzv portları IP konfiqurasiyasından azad saxlayın.
Bir subneti eyni vaxtda marşrutlanan TUN-a və əlaqəsiz Ethernet interfeysinə qoymaqdan çəkinin. Bu konfiqurasiya eyni prefiksə iki yol, asimmetrik cavablar və hər iki yolu xatırlamayan flap mövzusunda dəstək müzakirəsi yaradır. Qonaq həmçinin konteynerlər və ya lokal hipervizor yerləşdirirsə, onların artıq eyni uplinkə körpülənmədiyini yoxlayın. Bir NIC üzərində iki körpü dizayndır, dəyişiklik pəncərəsində kəşf etmək istəmədiyiniz qəza deyil.
ping ilə deyil, paket yolu ilə təsdiqləyin
Yalnız əlçatanlığı deyil, faktiki yolu yoxlayın. Müştəridən uzaq xidmətə hansı mənbə ünvanının çatdığını, sonra cavabın eyni yolla qayıtdığını təsdiqləyin. Qonaqda xüsusi axın üçün yönləndirmə sayğaclarını, port qrupunda isə seçilmiş dizaynın tələb etdiyindən artıq görünürlüyün aktivləşdirilmədiyini yoxlayın.
Nəhayət, nasazlıq istiqamətini sınaqdan keçirin. Tuneli dayandırın və ya müştəriyi ayırın və trafikin istifadəsiz hesab etdiyiniz marşrut yola sakitcə geri düşmədiyini yoxlayın, çünki bu geri düşmə körpülənən dizaynın sakitcə təsadüfi marşrutlayıcıya çevrilmə üsuludur.