ESXi gost VPN: rutiranje ili premošćavanje — odlučite prije port grupe
Rutirani TUN traži povratne rute; premošćeni TAP traži doseg drugog sloja i širu politiku port grupe. Odredite ulogu prije nego proširite promiskuitetni način.
Rutirajte pakete ili proširite Ethernet domenu: promjena port grupe dolazi nakon tog izbora. Iz aplikacije s privatnom adresom rezultati mogu izgledati identično, dok su zahtjevi hipervizora posve različiti. Zato se port grupa prvo proširi, a pitanje dizajna odgovori drugo, obično nakon broadcast oluje. Prođite ove provjere po redu i zaustavite se dok je zahtjev još nejasan, jer nijedna postavka port grupe ne popravlja dizajn koji nikada nije odabran.
Odluka pripada vlasniku usluge; konfiguracija hipervizora treba da je provede, a ne da je slučajno odredi.
Provjerite šta udaljenoj strani zaista treba
Navedite usluge do kojih udaljeni klijenti moraju stići i protokole koje koriste. Ako je spisak nekoliko TCP usluga na poznatim prefiksima, rutiranje to pokriva. Ako nešto zaista treba susjedstvo 2. sloja — otkrivanje zavisno od broadcasta, ne-IP protokole, uređaj koji ne prihvata gateway — rutiranje to ne može oponašati i to treba reći rano. Budite iskreni o ne-IP stavkama na tom spisku, jer tu rutirani dizajn tiho pada sedmicu kasnije.
Zatim provjerite klijentski bazen. Rutirani dizajn traži raspon adresa i izričitu povratnu rutu na udaljenoj strani; premošćeni dizajn traži da proširena Ethernet domena posjeduje dodjelu adresa i izolaciju. Šta god odabrali, neko izvan ovog VM-a mora se s tim složiti.
Šta svaki dizajn traži od virtualne mreže
Dva dizajna se razlikuju po tome šta virtualna mreža mora podnijeti, a tabela je najkraći način da se to vidi:
| Dizajn | Uloga na strani gosta | Šta virtualna mreža mora prihvatiti | Način kvara ako pogriješite |
|---|---|---|---|
| Rutirani TUN | Ruter između odvojenih prefiksa | Rutirani klijentski bazen plus povratni putevi na udaljenoj strani | Klijenti stignu do gatewaya i nikada ne stignu do usluge iza njega |
| Premošćeni TAP | Premosnica 2. sloja za klijente koji se pridruže | Dodatni Ethernet identiteti, broadcast saobraćaj i VLAN pravila | vSwitch odbacuje okvire ili dizajn traži promiskuitetni način koji niko nije odobrio |
Rutiranje ostavlja broadcast domenu gdje jeste i daje vam prirodno mjesto da ograničite koje usluge prelaze gateway. Premošćavanje pomjera granicu: klijenti postaju učesnici proširene Ethernet domene, a dodjela adresa, izolacija i svaka politika 2. sloja sada se odnose na njih. Upišite odabrani red u zapis o promjeni. Rečenica poput „rutirani TUN, klijentski bazen 10.90.0.0/24, povratna ruta na jezgru“ sprječava sljedećeg inženjera da ponovo raspravlja dizajn iz postavki port grupe.
Ko smije vidjeti čije okvire
Postavite vlasniku platforme jedno pitanje prije nego dirnete port grupu: traži li dizajn da ovaj VM prima okvire adresirane na druge učesnike? Ako je odgovor ne, ništa u ovom odjeljku se ne primjenjuje, jer rutirani TUN nikada ne treba tu vidljivost. Ako je odgovor da, Broadcomove smjernice za promiskuitetni način su štivo koje je važno: objašnjavaju koliko više vSwitcha VM može vidjeti i preporučuju da se ta politika ograniči na jednu port grupu.
Tretirajte to kao provjeru zahtjeva, a ne dozvolu. Uključite postavku za jedan namjenski priključak kada je potreba za premošćavanjem zapisana, a svuda drugdje je ostavite isključenom. Široki VLAN trunk kopiran iz drugog primjera premosnice je dio koji se niko ne sjeti ukloniti, a dizajn s jednim VLAN-om treba da ostane s jednim VLAN-om.
Zabilježite koja se port grupa promijenila i zašto, na istom mjestu gdje ste zapisali red dizajna. Taj par čini sljedeću reviziju mogućom.
Držite objekte gosta eksplicitnim
Unutar Linuxa, članstvo u premosnici i vlasništvo nad adresom odvojeni su objekti, a njihovo miješanje stvara zbunjujuće poluradno stanje. Dodijelite adrese premosnom interfejsu ili rutiranom tunelu, ne objema stranama istog puta, a članske portove držite bez IP konfiguracije.
Izbjegavajte stavljanje jedne podmreže nezavisno na rutirani TUN i na nepovezani Ethernet interfejs. Takva konfiguracija stvara dva puta do istog prefiksa, asimetrične odgovore i temu podrške o flappingu koja ne spominje nijedan put. Ako gost ujedno hostuje kontejnere ili lokalni hipervizor, provjerite da se oni već ne premošćuju u isti uplink. Dvije premosnice na jednoj NIC su dizajn, a ne nesreća koju želite otkriti tokom prozora promjene.
Potvrdite putanjom paketa, ne pingom
Provjerite stvarni put, a ne samo dosegljivost. S klijenta potvrdite koja izvorna adresa stiže do udaljene usluge, zatim da se odgovor vraća istim putem. Na gostu provjerite brojače prosljeđivanja za konkretan tok, a na port grupi da nije uključena dodatna vidljivost mimo one koju odabrani dizajn traži.
Na kraju testirajte smjer kvara. Zaustavite tunel ili odvojite klijenta i provjerite da saobraćaj ne pada tiho na rutirani put koji ste smatrali neiskorištenim, jer taj pad je način na koji premošćeni dizajn tiho postaje nenamjerni ruter.