VPN gwestai ESXi: llwybro neu bontio — penderfynwch cyn y grŵp porthladd
Mae TUN wedi'i lwybro angen llwybrau dychwelyd; mae TAP wedi'i bontio angen cyrhaeddiad haen 2 a pholisi grŵp porthladd ehangach. Setlwch y rôl cyn ehangu modd promiscuous.
Llwybrwch y pecynnau neu estynnwch y parth Ethernet: mae newid y grŵp porthladd yn dilyn y dewis hwnnw. O safbwynt rhaglen sy'n dal cyfeiriad preifat gall y canlyniadau edrych yn union yr un fath, tra bo gofynion yr hypervisor yn hollol wahanol. Dyna pam y caiff y grŵp porthladd ei ehangu gyntaf a'r cwestiwn dylunio ei ateb yn ail, fel arfer ar ôl storm darlledu. Ewch drwy'r gwiriadau hyn yn eu trefn a stopiwch tra bo'r gofyniad yn dal yn amwys, oherwydd nid oes unrhyw osodiad grŵp porthladd yn trwsio dyluniad na chafodd ei ddewis erioed.
Mae'r penderfyniad yn perthyn i berchennog y gwasanaeth; dylai cyfluniad yr hypervisor ei weithredu, nid ei benderfynu ar hap.
Gwiriwch beth sydd ei angen ar y pen pell mewn gwirionedd
Rhestrwch y gwasanaethau y mae'n rhaid i'r cleientiaid pell eu cyrraedd a'r protocolau a ddefnyddiant. Os yw'r rhestr yn ddwrn o wasanaethau TCP ar ragnodiadau hysbys, mae llwybro yn ei thalu. Os oes rhywbeth wir angen cyfagosrwydd haen 2 — darganfod sy'n dibynnu ar ddarlledu, protocolau nad ydynt yn IP, dyfais na fydd yn derbyn porth — ni all llwybro ei ddynwared a dylech ddweud hynny'n gynnar. Byddwch yn onest am y cofnodion nad ydynt yn IP ar y rhestr honno, oherwydd dyna lle mae dyluniad llwybro yn methu'n dawel wythnos yn ddiweddarach.
Yna gwiriwch y pwll cleientiaid. Mae dyluniad llwybro angen amrediad cyfeiriadau a llwybr dychwelyd penodol ar y pen pell; mae dyluniad pontio angen i'r parth Ethernet estynedig fod yn berchen ar ddyrannu cyfeiriadau ac ynysu. Pa un bynnag a ddewiswch, rhaid i rywun y tu allan i'r VM hwn gytuno iddo.
Beth mae pob dyluniad yn ei ofyn i'r rhwydwaith rhithwir
Mae'r ddau ddyluniad yn wahanol yn yr hyn y mae'n rhaid i'r rhwydwaith rhithwir ei oddef, a'r tabl yw'r ffordd fyrraf i'w weld:
| Dyluniad | Rôl ochr y gwestai | Beth sy'n rhaid i'r rhwydwaith rhithwir ei gynnwys | Modd methu os dewiswch yn anghywir |
|---|---|---|---|
| TUN wedi'i lwybro | Llwybrydd rhwng ragnodiadau ar wahân | Pwll cleientiaid wedi'i lwybro ynghyd â llwybrau dychwelyd ar y pen pell | Mae cleientiaid yn cyrraedd y porth ac yn byth yn cyrraedd y gwasanaeth y tu ôl iddo |
| TAP wedi'i bontio | Pont haen 2 ar gyfer y cleientiaid sy'n ymuno | Humaniaethau Ethernet ychwanegol, traffig darlledu a rheolau VLAN | Mae'r vSwitch yn gollwng fframiau, neu mae'r dyluniad angen modd promiscuous na chymeradwyodd neb |
Mae llwybro yn cadw'r parth darlledu lle mae ac yn rhoi man naturiol i chi gyfyngu pa wasanaethau sy'n croesi'r porth. Mae pontio yn symud y ffin: daw'r cleientiaid yn gyfranogwyr yn y parth Ethernet estynedig, ac mae dyrannu cyfeiriadau, ynysu ac unrhyw bolisi haen 2 bellach yn berthnasol iddynt. Ysgrifennwch y rhes a ddewiswyd yn y cofnod newid. Mae brawddeg fel “TUN wedi'i lwybro, pwll cleientiaid 10.90.0.0/24, llwybr dychwelyd ar y craidd” yn atal y peiriannydd nesaf rhag ail-drafod y dyluniad o osodiadau'r grŵp porthladd.
Pwy ddylai gael gweld fframiau pwy
Gofynnwch un cwestiwn i berchennog y platfform cyn cyffwrdd â'r grŵp porthladd: a yw'r dyluniad yn gofyn i'r VM hwn dderbyn fframiau a gyfeirir at gyfranogwyr eraill? Os yr ateb yw na, nid oes dim yn yr adran hon yn berthnasol, oherwydd nid oes angen y golwg honno ar TUN wedi'i lwybro byth. Os yr ateb yw ie, canllaw Broadcom ar y modd promiscuous yw'r darllen sy'n cyfrif: mae'n nodi faint yn fwy o'r vSwitch y gall y VM ei weld ac yn argymell cyfyngu'r polisi hwnnw i un grŵp porthladd.
Triniwch hyn fel gwiriad gofyniad, nid fel caniatâd. Trowch y gosodiad ymlaen ar gyfer un atodiad penodol pan fo'r angen pontio wedi'i ysgrifennu, a'i adael i ffwrdd ym mhob man arall. Trunk VLAN llydan a gopïwyd o enghraifft bont arall yw'r rhan nad oes neb yn cofio ei thynnu, a dylai dyluniad un VLAN aros yn un VLAN.
Cofnodwch pa grŵp porthladd a newidiodd a pham, yn yr un man lle cofnodwyd rhes y dyluniad. Y par hwnnw sy'n gwneud yr archwiliad nesaf yn bosibl.
Cadwch wrthrychau'r gwestai yn eglur
O fewn Linux, mae aelodaeth pont a pherchnogaeth cyfeiriad yn wrthrychau ar wahân, ac mae eu cymysgu yn achosi'r cyflwr hanner-gweithio dryslyd. Neilltuwch gyfeiriadau i ryngwyneb y bont neu i'r tiwnel wedi'i lwybro, nid i ddwy ochr yr un llwybr, a chadwch y porthladdoedd aelod yn rhydd o gyfluniad IP.
Ceisiwch osgoi rhoi un is-rwydwaith yn annibynnol ar TUN wedi'i lwybro ac ar ryngwyneb Ethernet dieflig. Mae'r cyfluniad hwnnw'n cynhyrchu dau lwybr i'r un rhagnodiad, atebion anghymesur, ac edefyn cymorth am flapping nad yw'n crybwyll y naill lwybr na'r llall. Os yw'r gwestai hefyd yn cynnal cynwysyddion neu hypervisor lleol, gwiriwch nad ydynt eisoes yn pontio i'r un uplink. Mae dwy bont ar un NIC yn ddyluniad, nid yn ddamwain y carech ei darganfod yn ystod ffenestr newid.
Cadarnhewch â llwybr pecyn, nid â ping
Gwiriwch y llwybr gwirioneddol yn hytrach na'r cyrhaeddiad yn unig. O gleient, cadarnhewch pa gyfeiriad ffynhonnell sy'n cyrraedd y gwasanaeth pell, yna cadarnhewch fod yr ateb yn dychwelyd yr un ffordd. Ar y gwestai, edrychwch ar y cyfrifwyr anfon ar gyfer y llif penodol, ac ar y grŵp porthladd cadarnhewch na chafodd unrhyw olwg ychwanegol ei alluogi y tu hwnt i'r hyn sydd ei angen ar y dyluniad a ddewiswyd.
Yn olaf, profwch gyfeiriad y methiant. Stopiwch y tiwnel neu datodwch y cleient a gwiriwch nad yw'r traffig yn disgyn yn dawel yn ôl i lwybr wedi'i lwybro yr oeddech yn meddwl nad oedd yn cael ei ddefnyddio, oherwydd dyna sut mae dyluniad wedi'i bontio yn troi'n dawel yn llwybrydd anfwriadol.