ESXi külalis-VPN: marsruutimine või sildamine — otsusta enne pordigruppi
Marsruuditud TUN vajab tagasiteid; sillaatud TAP vajab teise kihi kättesaadavust ja laiemat pordigrupi poliitikat. Määra roll enne promiscuous-režiimi laiendamist.
Marsruudi paketid või laienda Etherneti domeeni: pordigrupi muudatus järgneb sellele valikule. Privaatse aadressiga rakenduse vaatepunktist võivad tulemused paista identsed, samas kui hüperviisori nõuded on hoopis erinevad. Seetõttu laiendatakse pordigruppi kõigepealt ja disainiküsimusele vastatakse teiseks, tavaliselt pärast broadcast-tormi. Käi need kontrollid järjest läbi ja peatu, kuni nõue on veel ebamäärane, sest ükski pordigrupi säte ei paranda disaini, mida kunagi ei valitud.
Otsus kuulub teenuse omanikule; hüperviisori konfiguratsioon peab selle rakendama, mitte kogemata määrama.
Kontrolli, mida kaugem pool tegelikult vajab
Loetle teenused, kuhu kaugkliendid peavad jõudma, ja protokollid, mida nad kasutavad. Kui nimekiri on mõned TCP-teenused tuntud prefiksite peal, katab marsruutimine selle. Kui miski vajab tõesti 2. kihi naabrutsust — broadcastist sõltuv avastamine, mitte-IP protokollid, seade, mis ei aktsepteeri lüüsi — ei suuda marsruutimine seda jäljendada ja seda tuleks varakult öelda. Ole aus mitte-IP kirjete suhtes selles nimekirjas, sest just seal ebaõnnestub marsruuditud disain nädal hiljem vaikselt.
Seejärel kontrolli kliendipooli. Marsruuditud disain vajab aadressivahemikku ja selgesõnalist tagasiteed kaugemal pool; sillaatud disain vajab, et laiendatud Etherneti domeen omaks aadresside jaotamist ja isolatsiooni. Mida iganes valid, keegi väljaspool seda VM-i peab sellega nõustuma.
Mida iga disain virtuaalvõrgult nõuab
Kaks disaini erinevad selle poolest, mida virtuaalvõrk peab taluma, ja tabel on lühim viis seda näha:
| Disain | Roll külalise poolel | Mida virtuaalvõrk peab mahutama | Tõrkerežiim vale valiku korral |
|---|---|---|---|
| Marsruuditud TUN | Ruuter eraldiseisvate prefiksite vahel | Marsruuditud kliendipool pluss tagasiteed kaugemal pool | Kliendid jõuavad lüüsini ega jõua kunagi selle taga oleva teenuseni |
| Sillaatud TAP | 2. kihi sild liituvatele klientidele | Täiendavad Etherneti identiteedid, broadcast-liiklus ja VLAN-reeglid | vSwitch viskab kaadrid ära või disain nõuab promiscuous-režiimi, mida keegi ei kinnitanud |
Marsruutimine jätab broadcast-domeeni paigale ja annab loomuliku koha piirata, millised teenused lüüsi ületavad. Sildamine liigutab piiri: klientidest saavad laiendatud Etherneti domeeni osalejad ning aadresside jaotamine, isolatsioon ja igasugune 2. kihi poliitika kehtivad nüüd nende kohta. Kirjuta valitud rida muudatuste registrisse. Lause nagu „marsruuditud TUN, kliendipool 10.90.0.0/24, tagasitee tuumal“ hoiab järgmise inseneri disaini pordigrupi seadetest uuesti vaidlemast.
Kes tohib kelle kaadreid näha
Küsi platvormi omanikult üks küsimus enne pordigrupile käe panekut: kas disain nõuab, et see VM võtaks vastu teistele osalejatele adresseeritud kaadreid? Kui vastus on ei, ei kehti siin jaotises miski, sest marsruuditud TUN ei vaja kunagi sellist nähtavust. Kui vastus on jah, on Broadcomi promiscuous-režiimi juhend see lugemine, mis loeb: see selgitab, kui palju rohkem vSwitchist VM näeb, ja soovitab seda poliitikat piirata ühe pordigrupiga.
Käsitle seda nõude kontrollina, mitte lubatunnistusena. Lülita säte sisse ühe pühendatud ühenduse jaoks, kui sildamise vajadus on kirja pandud, ja jäta see mujal välja. Laia VLAN-trunk, mis on kopeeritud teisest silla näitest, on osa, mida keegi ei mäleta eemaldada, ja ühe VLAN-iga disain peaks jääma ühe VLAN-iga.
Kirjuta üles, milline pordigrupp muutus ja miks, samasse kohta, kuhu kirjutasid disaini rea. Just see paar teeb järgmise auditi võimalikuks.
Hoia külalise objektid selgesõnalised
Linuxi sees on silla liikmelisus ja aadressi omamine eraldi objektid ning nende segamine tekitab segadust tekitava pooltöötava oleku. Määra aadressid silla liidesele või marsruuditud tunnelile, mitte sama tee mõlemale poolele, ja hoia liikmespordid IP-konfiguratsioonist vabad.
Väldi ühe alavõrgu iseseisvat paigutamist marsruuditud TUN-ile ja mitteseotud Etherneti liidesele. Selline konfiguratsioon tekitab kaks teed sama prefiksini, asümmeetrilised vastused ja tugilõime flappingust, mis ei maini kumbagi teed. Kui külaline majutab ka konteinereid või kohalikku hüperviisorit, kontrolli, et need ei silda juba samasse uplinki. Kaks silda ühel NIC-il on disain, mitte õnnetus, mida tahad muudatuse aknas avastada.
Kinnita paketiteega, mitte pingiga
Kontrolli tegelikku teed, mitte ainult kättesaadavust. Kliendist kinnita, milline lähteaadress jõuab kaugesse teenusesse, seejärel et vastus tuleb tagasi sama teed. Külalisel kontrolli konkreetse voo edastusloendureid ja pordigrupil kinnita, et valitud disaini vajadustest enam nähtavust ei lubatud.
Lõpuks testi tõrkesuunda. Peata tunnel või ühenda klient lahti ja kontrolli, et liiklus ei lange vaikselt tagasi marsruuditud teele, mida pidasid kasutamata, sest just see tagasilangemine muudab sillaatud disaini vaikselt soovimatuks ruuteriks.