ESXi-gast-VPN: rûte of brêge — beslút foar de poartegroep
In rûte TUN hat weromrûtes nedich; in brêge TAP hat laach-2-berik en in breder poartegroepsbelied nedich. Fêstigje de rol foardat jo de promiscuous-modus ferbrede.
Rûte de pakketten of wreidzje it Ethernet-domein út: de wiziging fan de poartegroep folget op dy kar. Fanút in applikaasje mei in privee adres kinne de resultaten identyk lykje, wylst de easken fan de hypervisor hiel oars binne. Dêrom wurdt de poartegroep earst ferbrede en wurdt de ûntwerpfraach dêrnei beantwurde, meastentiids nei in broadcast-stoarm. Wurkje dizze kontrôles yn folchoarder ôf en stop wylst de eask noch ûndúdlik is, want gjin poartegroepynstelling reparearret in ûntwerp dat nea keazen is.
It beslút heart by de eigner fan 'e tsjinst; de hypervisor-konfiguraasje moat it útfiertsje, net by ûngelok bepale.
Kontrolearje wat it fiere ein eins nedich hat
List de tsjinsten op dy't de fiere klanten berikke moatte en de protokollen dy't se brûke. As de list in hantsjefol TCP-tsjinsten op bekende foarheaksels is, dekt rûting dat. As eat wier laach-2-oanswurking nedich hat — broadcast-ôfhinklike ûntdekking, net-IP-protokollen, in apparaat dat gjin gateway akseptearret — kin rûting dat net neibeare en moat dat betiid sein wurde. Wês earlik oer de net-IP-ynfieringen op dy list, want dêr falt in rûte ûntwerp in wike letter stilwei.
Kontrolearje dan de klantepoel. In rûte ûntwerp hat in adresberik en in eksplisite weromrûte oan 'e fiere kant nedich; in brêge ûntwerp hat nedich dat it útwreide Ethernet-domein adrestawizing en isolaasje besit. Hokker jo ek kieze, immen bûten dizze VM moat it dermei iens wêze.
Wat elk ûntwerp fan it firtuele netwurk freget
De twa ûntwerpen ferskille yn wat it firtuele netwurk ferneare moat, en de tabel is de koartste manier om dat te sjen:
| Untwerp | Rol oan 'e gastkant | Wat it firtuele netwurk opfange moat | Flatermodus as jo ferkeard kieze |
|---|---|---|---|
| Rûte TUN | Rûter tusken aparte foarheaksels | In rûte klantepoel plus weromrûtes oan 'e fiere kant | Klanten berikke de gateway en berikke nea de tsjinst dêrefter |
| Brêge TAP | Laach-2-brêge foar de klanten dy't har oanslute | Ekstra Ethernet-identiteiten, broadcast-ferkear en VLAN-regels | De vSwitch lit frames falle, of it ûntwerp hat in promiscuous-modus nedich dy't nimmen goedkard hat |
Rûting lit it broadcast-domein wêr't it is en jout in natuerlike plak om te beheinen hokker tsjinsten de gateway oerstekke. Brêgjen ferpleatst de grins: de klanten wurde dielnimmers oan it útwreide Ethernet-domein, en adrestawizing, isolaasje en elk laach-2-belied jilde no foar har. Skriuw de keazen rige yn it feroaringsregister. In sin as “rûte TUN, klantepoel 10.90.0.0/24, weromrûte op 'e kearn” foarkomt dat de folgjende yngenieur it ûntwerp wer fan 'e poartegroepynstellings ôf bepraat.
Wa't waans frames sjen mei
Stel de eigner fan it platfoarm ien fraach foardat jo de poartegroep oanreitsje: freget it ûntwerp dat dizze VM frames ûntfangt dy't oan oare dielnimmers rjochte binne? As it antwurd nee is, jildt neat yn dit diel, want in rûte TUN hat nea dy sichtberens nedich. As it antwurd ja is, is de Broadcom-rjochtline foar promiscuous-modus it lêzen dat fan belang is: it set út hoefolle mear fan 'e vSwitch de VM sjen kin en advisearret dat belied ta ien poartegroep te beheinen.
Behannelje dat as in eask-kontrôle, net as in tastimming. Sette de ynstelling oan foar ien wijd oansluting as de brêgebehoefte opskreaun is, en lit it oeral oars út. In brede VLAN-trunk kopiaat út in oar brêgefoarbyld is it part dat nimmen betinkt om te ferwiderjen, en in ien-VLAN-ûntwerp moat ien-VLAN bliuwe.
Registrearje hokker poartegroep feroare is en wêrom, op itselde plak dêr't jo de ûntwerpringe skreauwen. Dat pear makket de folgjende audit mooglik.
Hâld de objekten fan 'e gast eksplisyt
Binnen Linux binne brêgelidmaatskip en adresbesit aparte objekten, en it trochinoar heljen fan dy beiden soarget foar de betiizjende healwurkjende steat. Wys adressen ta oan 'e brêge-ynterface of oan 'e rûte tunnel, net oan beide kanten fan itselde paad, en hâld de lidpoarten frij fan IP-konfiguraasje.
Foarkom dat jo ien subnet ûnôfhinklik op in rûte TUN en op in net-relatearre Ethernet-ynterface sette. Dy konfiguraasje produsearret twa paden nei itselde foarheaksel, asymmetryske antwurden en in stipe-tried oer flapping dy't gjin fan beide paden neamt. As de gast ek containers of in lokale hypervisor hostet, kontrolearje dan dat se net al yn deselde uplink brêgje. Twa brêgen op ien NIC is in ûntwerp, net in ûngelok dat jo yn in feroaringsfinster ûntdekke wolle.
Befêstigje mei in pakketpaad, net mei in ping
Ferifiearje it werklike paad, net allinnich berikberens. Befêstigje fan in klant ôf hokker boarneadres by de fiere tsjinst oankomt, en dan dat it antwurd deselde wei weromkomt. Kontrolearje op 'e gast de trochstjoertellers foar de spesifike stream, en befêstigje op 'e poartegroep dat gjin ekstra sichtberens ynskeakele is boppe wat it keazen ûntwerp nedich hat.
Test úteinlik de flaterrjochting. Stop de tunnel of koppel de klant ôf en kontrolearje dat ferkear net stilwei weromfalt nei in rûte paad dat jo as ûnbrûkt beskôgen, want dy weromfal is hoe't in brêge ûntwerp stilwei in ûnbedoelde rûter wurdt.