Каскад SoftEther: свядома злучыць два віртуальныя хабы
Каскад злучае лакальны хаб з аддаленым пад наладжанай ідэнтычнасцю. Гэта не вузел выхаду, і ён пераносіць усё, што гэтыя хабы ўжо аб’ядноўваюць.
Два хабы SoftEther, злучаныя каскадам, дзеляць адзін шырокавяшчальны дамен, таму пятля або другі сервер DHCP перастае быць лакальнай памылкай і становіцца агульнай. Гэта ўся мадэль рызыкі. Сам каскад — гэта наладжаныя кліенцкія адносіны: лакальны віртуальны хаб падключаецца да хаба аддаленага сервера пад ідэнтычнасцю, якую гэты сервер аўтарызуе. Гэта будаўнічы блок для большай віртуальнай сеткі, але ніколі не выхад у інтэрнэт.
1. Вырашыце, што павінна пераносіць злучэнне
Пачынайце з патрабавання, а не з магчымасці. Каскад перамяшчае кадры другога ўзроўню паміж хабамі, і гэта менавіта тое, што трэба, калі два сайты павінны выглядаць як адзін сегмент Ethernet. Калі патрэбны толькі маршрутызаваны доступ да некалькіх падсетак, маршрутызаваны шлях прасцейшы і адмаўляе так, што гэта лягчэй заўважыць. Выбар каскада абавязвае вас да агульнага шырокавяшчання, агульнага выяўлення і адной тапалогіі пятлі.
Запішыце патрабаванне ў адзін радок, перш чым чапаць сервер: якія сістэмы павінны выглядаць на адным дроце, а якім патрэбны толькі маршрут. Усё, што адказвае «маршрут», знаходзіцца па-за каскадам. Гэтае адзінае сказ прадухіляе большасць праектаў, якія сканчаюцца дубляванымі службамі адрасоў.
2. Акрэсліце ідэнтычнасць, якая гэта дазваляе
Уліковыя даныя, якімі кіруюць серверам, і ідэнтычнасць, якую каскад выкарыстоўвае для злучэння, — гэта розныя сакрэты, і іх змешванне — звычайны кароткі шлях з доўгім хвастом. Аддаленаму хабу патрэбны запіс карыстальніка або палітыкі, які дазваляе гэтаму каскаду падключыцца. Гэты запіс і ёсць аўтарызацыя; паспяховы ўваход нічога не кажа пра тое, што стаіць за аддаленым хабам.
Запішыце, які хаб ініцыюе, да якога аддаленага хаба ён далучаецца і чаго можа дасягнуць аддаленая ідэнтычнасць. Параўнайце дзве архітэктуры, перш чым вырашыць:
| Requirement | Routed path | Cascaded segment |
|---|---|---|
| Broadcast domain | Separate on each side | Shared across the link |
| Address service | One DHCP server per side | Must not run two on one domain |
| Loop risk | Route loops only | Layer-two loops if segments overlap |
Трымайце ўліковыя даныя і інструкцыі па аднаўленні абодвух бакоў актуальнымі. Змена пароля або правак палітыкі на аддаленым хабе ламае каскад, не закранаючы вашых лакальных карыстальнікаў, і збой звычайна выглядае як злучэнне, якое ўзнята, але пустое.
3. Агледзьце, што хаб ужо пераносіць
Хаб рэдка бывае ізаляваны. Ён можа ўжо аб’ядноўваць фізічны адаптар, маршрутызавацца праз віртуальны маршрутызатар або каскадаваць некуды іншае, і кожнае з гэтых далучэнняў пераносіцца ў новыя адносіны. Вось чаму «мы проста злучылі два хабы» так часта ператвараецца ў «чаму гэтыя два сайты цяпер адзін сегмент?».
Два хабы, аб’яднаныя ў адзін фізічны сегмент і затым каскадаваныя адзін да аднаго, утвараюць пятлю. Дадайце spanning tree або не будуйце гэта. Той жа тэст дзейнічае для хаба, які ўжо дасягае мэты праз іншы каскад: другое злучэнне не дадае прапускной здольнасці, яно дадае шлях.
Не дадавайце злучэнне, бо не хапае аднаго маршруту; выправіце маршрут. Спачатку намалюйце тапалогію на паперы, уключна з кожным мастом і каскадам, бо дыяграма займае дзве хвіліны і ловіць большасць петель да іх з’яўлення.
4. Разбярыцеся з адрасацыяй да далучэння
Злучаныя сегменты прыносяць дубляваныя падсеткі, і дубляваныя серверы DHCP — класічны сімптом: кліенты бяруць арэнду ў першага сервера, які адкажа, таму паводзіны выглядаюць выпадковымі і перамяшчаюцца паміж перазапускамі. Вырашыце загадзя, які бок валодае прызначэннем адрасоў, і дайце далёкаму сегменту дыяпазон, які ні з чым лакальным не супадае. Адключыце іншую службу DHCP да таго, як каскад стане анлайн, а не пасля першай скаргі.
DNS — асобнае пытанне. Каскад пераносіць кадры; ён не наладжвае рэзалвераў, і імя, якое вырашаецца на лакальным баку, можа не вырашацца праз злучэнне. Праверце запыт асобна ад шляху IP, бо працоўны ping даказвае толькі адно з двух.
5. Дакажыце гэта рэальным рэсурсам
Выберыце дазволеную службу на патрэбным аддаленым сегменце і пацвердзіце, што адказ вяртаецца праз каскад. Затым паўтарыце для вырашэння імёнаў. Калі мэта спадзяецца на выяўленне праз шырокавяшчанне, чакайце іншых паводзін праз аб’яднанае злучэнне, чым на адным дроце, і плануйце гэта, а не рэгіструйце як дэфект.
Нарэшце, запішыце тапалогію: які хаб куды каскадуе, якая ідэнтычнасць гэта аўтарызуе, якія сегменты аб’яднаныя і хто валодае прызначэннем адрасоў на кожным. Гэтая нататка дае наступнаму чалавеку змяніць палітыку, не адключаючы сегмент, пра існаванне якога ён не ведаў.