ESXi қонақ VPN: маршруттау немесе көпір — порт тобының алдында шешіңіз
Маршрутталған TUN-ға қайтару маршруттары керек; көпірленген TAP-қа 2-қабаттық қатынас және кеңірек порт-тобы саясаты қажет. promiscuous режимін кеңейту алдында рөлді анықтаңыз.
Пакеттерді маршруттаңыз немесе Ethernet доменін кеңейтіңіз: порт тобының өзгерісі осы таңдаудан кейін келеді. Жеке мекенжайы бар қолданба тұрғысынан нәтижелер бірдей көрінуі мүмкін, ал гипервизор талаптары мүлде басқа. Сондықтан алдымен порт тобы кеңейтіледі, ал дизайн сұрағы екінші кезекте шешіледі, әдетте broadcast дауылынан кейін. Бұл тексерулерді ретімен орындаңыз және талап әлі бұлыңғыр кезде тоқтаңыз, өйткені ешбір порт-тобы параметрі ешқашан таңдалмаған дизайнды түзетпейді.
Шешім қызмет иесіне тиесілі; гипервизор конфигурациясы оны іске асыруы керек, кездейсоқ анықтамауы керек.
Алыс жаққа шын мәнінде не қажет екенін тексеріңіз
Қашықтағы клиенттер жетуі тиіс қызметтерді және олар пайдаланатын протоколдарды тізімдеңіз. Тізім белгілі префикстердегі бірнеше TCP қызметі болса, маршруттау жеткілікті. Егер бірдеңе шын мәнінде 2-қабаттық көршілестікті қажет етсе — broadcast-қа тәуелді анықтау, IP емес протоколдар, қақпаны қабылдамайтын құрылғы — маршруттау оны имитациялай алмайды және мұны ерте айту керек. Сол тізімдегі IP емес жазбалар туралы адал болыңыз, өйткені маршрутталған дизайн дәл сонда бір аптадан кейін үнсіз сәтсіздікке ұшырайды.
Содан кейін клиент пулын тексеріңіз. Маршрутталған дизайнға мекенжай диапазоны және алыс жақта айқын қайтару маршруты қажет; көпірленген дизайнға кеңейтілген Ethernet домені мекенжайды бөлу мен оқшаулауға ие болуы керек. Қайсысын таңдасаңыз да, осы VM-нен тыс біреу онымен келісуі керек.
Әр дизайн виртуалды желіден не талап етеді
Екі дизайн виртуалды желі қандай жағдайға төзуі керек дегенде ерекшеленеді, ал кесте мұны көрудің ең қысқа жолы:
| Дизайн | Қонақ жағындағы рөл | Виртуалды желі қабылдауы тиіс нәрсе | Қате таңдау кезіндегі ақау режимі |
|---|---|---|---|
| Маршрутталған TUN | Бөлек префикстер арасындағы маршрутизатор | Маршрутталған клиент пулы және алыс жақтағы қайтару жолдары | Клиенттер қақпаға жетеді, бірақ оның артындағы қызметке ешқашан жетпейді |
| Көпірленген TAP | Қосылатын клиенттер үшін 2-қабаттық көпір | Қосымша Ethernet сәйкестіктері, broadcast трафигі және VLAN ережелері | vSwitch кадрларды тастайды, немесе дизайн ешкім бекітпеген promiscuous режимін талап етеді |
Маршруттау broadcast доменін орнында қалдырады және қақпадан қандай қызметтер өтетінін шектеуге табиғи орын береді. Көпірлеу шекараны жылжытады: клиенттер кеңейтілген Ethernet доменінің қатысушыларына айналады, ал мекенжайды бөлу, оқшаулау және кез келген 2-қабаттық саясат енді оларға қолданылады. Таңдалған жолды өзгеріс журналына жазыңыз. «Маршрутталған TUN, клиент пулы 10.90.0.0/24, ядродағы қайтару маршруты» сияқты сөйлем келесі инженерге дизайнды порт-тобы параметрлерінен қайта талқылауға мүмкіндік бермейді.
Кім кімнің кадрларын көруге тиіс
Порт тобына қол тигізбес бұрын платформа иесіне бір сұрақ қойыңыз: дизайн осы VM-ге басқа қатысушыларға арналған кадрларды алуды талап ете ме? Жауап жоқ болса, бұл бөлімде ештеңе қолданылмайды, өйткені маршрутталған TUN-ға мұндай көріну ешқашан қажет емес. Жауап иә болса, онда Broadcom-ның promiscuous режимі туралы нұсқаулығы маңызды оқылым: ол VM vSwitch-тен қаншалықты көп көретінін түсіндіріп, бұл саясатты бір порт тобымен шектеуді ұсынады.
Мұны рұқсат қағазы емес, талапты тексеру ретінде қарастырыңыз. Көпірлеу қажеттілігі жазылған кезде параметрді бір арнайы қосылым үшін қосыңыз, ал қалған жерлерде өшірулі қалдырыңыз. Басқа көпір мысалынан көшірілген кең VLAN trunk — бұл ешкім жоюды есте сақтамайтын бөлік, ал бір VLAN дизайны бір VLAN болып қалуы керек.
Қай порт тобы өзгергенін және неге, дизайн жолын жазған сол жерде жазыңыз. Дәл осы жұп келесі аудитті мүмкін етеді.
Қонақтың объектілерін айқын ұстаңыз
Linux ішінде көпір мүшелігі мен мекенжай иелігі бөлек объектілер, ал оларды шатастыру жартылай жұмыс істейтін түсініксіз күйге әкеледі. Мекенжайларды көпір интерфейсіне немесе маршрутталған туннельге беріңіз, бір жолдың екі жағына емес, ал мүше порттарды IP конфигурациясыз ұстаңыз.
Бір подсетті тәуелсіз түрде маршрутталған TUN-ға және байланысы жоқ Ethernet интерфейсіне қоюдан аулақ болыңыз. Мұндай конфигурация бір префикске екі жол жасайды, асимметриялық жауаптар және flapping туралы екі жолдың ешқайсысын атамайтын қолдау ағыны. Егер қонақ контейнерлерді немесе жергілікті гипервизорды да орналастырса, олардың сол uplink-ке әлдеқашан көпірленбегенін тексеріңіз. Бір NIC-те екі көпір — бұл дизайн, өзгеріс терезесінде тапқыңыз келмейтін апат емес.
ping емес, пакет жолымен растаңыз
Тек қолжетімділікті емес, нақты жолды тексеріңіз. Клиенттен қай бастапқы мекенжай алыс қызметке жететінін, содан кейін жауаптың сол жолмен қайтатынын растаңыз. Қонақта нақты ағын үшін жіберу санауыштарын, ал порт тобында таңдалған дизайн талап ететіннен артық көріну қосылмағанын растаңыз.
Соңында ақау бағытын тексеріңіз. Туннельді тоқтатыңыз немесе клиентті ажыратыңыз және трафиктің пайдаланылмаған деп ойлаған маршрутталған жолға үнсіз түспейтінін тексеріңіз, өйткені дәл сол құлдырау көпірленген дизайнды үнсіз кездейсоқ маршрутизаторға айналдырады.