ESXi gost VPN: rutiranje ili premošćivanje — odlučite prije port grupe
Rutirani TUN traži povratne rute; premošćeni TAP traži doseg drugog sloja i širu politiku port grupe. Odredite ulogu prije nego proširite promiskuitetni način.
Rutirajte pakete ili proširite Ethernet domenu: promjena port grupe dolazi nakon tog izbora. Iz aplikacije s privatnom adresom rezultati mogu izgledati identično, dok su zahtjevi hipervizora posve različiti. Zato se port grupa prvo proširi, a pitanje dizajna odgovori drugo, obično nakon broadcast oluje. Prođite ove provjere redom i zaustavite se dok je zahtjev još nejasan, jer nijedna postavka port grupe ne popravlja dizajn koji nikada nije odabran.
Odluka pripada vlasniku usluge; konfiguracija hipervizora treba ju provesti, a ne slučajno ju odrediti.
Provjerite što udaljenoj strani doista treba
Navedite usluge do kojih udaljeni klijenti moraju stići i protokole koje koriste. Ako je popis nekoliko TCP usluga na poznatim prefiksima, rutiranje to pokriva. Ako nešto doista treba susjedstvo 2. sloja — otkrivanje ovisno o broadcastu, ne-IP protokole, uređaj koji ne prihvaća gateway — rutiranje to ne može oponašati i to treba reći rano. Budite iskreni o ne-IP stavkama na tom popisu, jer tu rutirani dizajn tiho pada tjedan kasnije.
Zatim provjerite klijentski bazen. Rutirani dizajn traži raspon adresa i izričitu povratnu rutu na udaljenoj strani; premošćeni dizajn traži da proširena Ethernet domena posjeduje dodjelu adresa i izolaciju. Što god odabrali, netko izvan ovog VM-a mora se s tim složiti.
Što svaki dizajn traži od virtualne mreže
Dva se dizajna razlikuju po tome što virtualna mreža mora podnijeti, a tablica je najkraći način da se to vidi:
| Dizajn | Uloga na strani gosta | Što virtualna mreža mora prihvatiti | Način kvara ako pogriješite |
|---|---|---|---|
| Rutirani TUN | Router između odvojenih prefiksa | Rutirani klijentski bazen plus povratni putovi na udaljenoj strani | Klijenti stignu do gatewaya i nikada ne stignu do usluge iza njega |
| Premošćeni TAP | Premosnica 2. sloja za klijente koji se pridruže | Dodatni Ethernet identiteti, broadcast promet i VLAN pravila | vSwitch odbacuje okvire ili dizajn traži promiskuitetni način koji nitko nije odobrio |
Rutiranje ostavlja broadcast domenu gdje jest i daje vam prirodno mjesto da ograničite koje usluge prelaze gateway. Premošćivanje pomiče granicu: klijenti postaju sudionici proširene Ethernet domene, a dodjela adresa, izolacija i svaka politika 2. sloja sada se odnose na njih. Upišite odabrani red u zapis o promjeni. Rečenica poput „rutirani TUN, klijentski bazen 10.90.0.0/24, povratna ruta na jezgri“ sprječava sljedećeg inženjera da ponovno raspravlja dizajn iz postavki port grupe.
Tko smije vidjeti čije okvire
Postavite vlasniku platforme jedno pitanje prije nego dirnete port grupu: traži li dizajn da ovaj VM prima okvire adresirane na druge sudionike? Ako je odgovor ne, ništa u ovom odjeljku se ne primjenjuje, jer rutirani TUN nikada ne treba tu vidljivost. Ako je odgovor da, Broadcomove smjernice za promiskuitetni način su štivo koje je važno: objašnjavaju koliko više vSwitcha VM može vidjeti i preporučuju da se ta politika ograniči na jednu port grupu.
Tretirajte to kao provjeru zahtjeva, a ne dozvolu. Uključite postavku za jedan namjenski priključak kada je potreba za premošćivanjem zapisana, a svugdje drugdje je ostavite isključenom. Široki VLAN trunk kopiran iz drugog primjera premosnice dio je koji se nitko ne sjeti ukloniti, a dizajn s jednim VLAN-om treba ostati s jednim VLAN-om.
Zabilježite koja se port grupa promijenila i zašto, na istom mjestu gdje ste zapisali red dizajna. Taj par čini sljedeću reviziju mogućom.
Držite objekte gosta eksplicitnima
Unutar Linuxa, članstvo u premosnici i vlasništvo nad adresom odvojeni su objekti, a njihovo miješanje stvara zbunjujuće poluradno stanje. Dodijelite adrese premosnom sučelju ili rutiranom tunelu, ne objema stranama istog puta, a članske portove držite bez IP konfiguracije.
Izbjegavajte stavljanje jedne podmreže neovisno na rutirani TUN i na nepovezano Ethernet sučelje. Takva konfiguracija stvara dva puta do istog prefiksa, asimetrične odgovore i temu podrške o flappingu koja ne spominje nijedan put. Ako gost ujedno hosta kontejnere ili lokalni hipervizor, provjerite da se oni već ne premošćuju u isti uplink. Dvije premosnice na jednoj NIC su dizajn, a ne nesreća koju želite otkriti tijekom prozora promjene.
Potvrdite putanjom paketa, ne pingom
Provjerite stvarni put, a ne samo dosegljivost. S klijenta potvrdite koja izvorna adresa stiže do udaljene usluge, zatim da se odgovor vraća istim putem. Na gostu provjerite brojače prosljeđivanja za konkretan tok, a na port grupi da nije uključena dodatna vidljivost mimo one koju odabrani dizajn traži.
Na kraju testirajte smjer kvara. Zaustavite tunel ili odvojite klijenta i provjerite da promet ne pada tiho na rutirani put koji ste smatrali neiskorištenim, jer taj pad je način na koji premošćeni dizajn tiho postaje nenamjerni router.