ESXi конок VPN: маршруттоо же көпүрө — порт тобунан мурун чечиңиз
Маршрутталган TUN кайтаруу маршруттарын талап кылат; көпүрөлөнгөн TAP 2-катмарга жетүүнү жана кененирээк порт-топ саясатын талап кылат. promiscuous режимин кеңейтүүдөн мурун ролду аныктаңыз.
Пакеттерди маршруттаңыз же Ethernet доменин кеңейтиңиз: порт тобунун өзгөрүшү ошол тандоодон кийин келет. Жеке дареги бар колдонмо үчүн натыйжалар бирдей көрүнүшү мүмкүн, ал эми гипервизордун талаптары такыр башка. Ошондуктан адегенде порт тобу кеңейтилет, ал эми дизайн суроосу экинчи кезекте чечилет, адатта broadcast бороонунан кийин. Бул текшерүүлөрдү ирети менен аткарыңыз жана талап дагы бүдөмүк кезде токтоңуз, анткени эч бир порт-топ параметри эч качан тандалбаган дизайнды оңдобойт.
Чечим кызмат ээсине таандык; гипервизор конфигурациясы аны ишке ашырышы керек, кокустан аныктабашы керек.
Алыскы тарапка чындап эмне керек экенин текшериңиз
Алыскы кардарлар жетиши керек кызматтарды жана алар колдонгон протоколдорду тизмелеңиз. Тизме белгилүү префикстердеги бир аз TCP кызматтары болсо, маршруттоо жетиштүү. Эгер бир нерсе чындап 2-катмардык коңшулукту талап кылса — broadcastка көз каранды аныктоо, IP эмес протоколдор, дарбазаны кабыл албаган түзмөк — маршруттоо аны туурай албайт жана муну эрте айтуу керек. Ошол тизмедеги IP эмес жазуулар жөнүндө чынчыл болуңуз, анткени маршрутталган дизайн дал ошол жерде бир жумадан кийин үнсүз ишке ашпай калат.
Андан кийин кардар пулун текшериңиз. Маршрутталган дизайнга дарек диапазону жана алыскы тарапта ачык кайтаруу маршруту керек; көпүрөлөнгөн дизайнга кеңейтилген Ethernet домени дарек бөлүштүрүүгө жана обочолонууга ээ болушу керек. Кайсынысын тандасаңыз да, бул VMден тышкаркы бирөө ага макул болушу керек.
Ар бир дизайн виртуалдык тармактан эмнени талап кылат
Эки дизайн виртуалдык тармак эмнеге чыдошу керек дегенде айырмаланат, ал эми таблица муну көрүүнүн эң кыска жолу:
| Дизайн | Конок тараптагы рол | Виртуалдык тармак эмнени кабыл алышы керек | Туура эмес тандоодо иштебей калуу режими |
|---|---|---|---|
| Маршрутталган TUN | Өзүнчө префикстердин ортосундагы маршрутизатор | Маршрутталган кардар пулу жана алыскы тараптагы кайтаруу жолдору | Кардарлар дарбазага жетишет, бирок анын артындагы кызматка эч качан жетишпейт |
| Көпүрөлөнгөн TAP | Кошулган кардарлар үчүн 2-катмардык көпүрө | Кошумча Ethernet идентификаторлору, broadcast трафиги жана VLAN эрежелери | vSwitch кадрларды таштайт, же дизайн эч ким бекитпеген promiscuous режимин талап кылат |
Маршруттоо broadcast доменин ордунда калтырат жана дарбазадан кайсы кызматтар өтөрүн чектөө үчүн табигый орун берет. Көпүрөлөө чекти жылдырат: кардарлар кеңейтилген Ethernet доменинин катышуучуларына айланат, ал эми дарек бөлүштүрүү, обочолонуу жана каалаган 2-катмардык саясат эми аларга колдонулат. Тандалган сапты өзгөрүүлөр журналына жазыңыз. «Маршрутталган TUN, кардар пулу 10.90.0.0/24, өзөктөгү кайтаруу маршруту» деген сүйлөм кийинки инженерге дизайнды порт-топ параметрлеринен кайра талкуулоого жол бербейт.
Ким кимдин кадрларын көрүүгө тийиш
Порт тобуна тийүүдөн мурун платформа ээсине бир суроо бериңиз: дизайн бул VM башка катышуучуларга арналган кадрларды алышын талап кылабы? Жооп жок болсо, бул бөлүмдө эч нерсе колдонулбайт, анткени маршрутталган TUN эч качан мындай көрүнүүгө муктаж эмес. Жооп ооба болсо, анда Broadcomдун promiscuous режими боюнча колдонмосу маанилүү окуу: ал VM vSwitchтен канчалык көп көрөөрүн түшүндүрүп, бул саясатты бир порт тобу менен чектөөнү сунуштайт.
Муну уруксат кагазы эмес, талапты текшерүү катары караңыз. Көпүрөлөө зарылдыгы жазылганда параметрди бир атайын туташуу үчүн күйгүзүңүз, ал эми калган жерлерде өчүк калтырыңыз. Башка көпүрө мисалынан көчүрүлгөн кенен VLAN trunk — эч ким өчүрүүнү эстебеген бөлүк, ал эми бир VLAN дизайны бир VLAN бойдон калышы керек.
Кайсы порт тобу өзгөргөнүн жана эмне үчүн, дизайн сабын жазган ошол эле жерде жазыңыз. Дал ошол жуп кийинки аудитти мүмкүн кылат.
Коноктун объектилерин ачык кармаңыз
Linux ичинде көпүрө мүчөлүгү жана дарек ээлиги өзүнчө объектилер, ал эми аларды аралаштыруу жарым-жартылай иштеген түшүнүксүз абалга алып келет. Даректерди көпүрө интерфейсине же маршрутталган тоннелге бериңиз, бир жолдун эки тарабына эмес, жана мүчө портторду IP конфигурациясыз кармаңыз.
Бир подсетти көз карандысыз түрдө маршрутталган TUNга жана байланышы жок Ethernet интерфейсине коюудан качыңыз. Мындай конфигурация бир префикске эки жол жаратат, асимметриялуу жооптор жана flapping тууралуу эки жолдун эч бирин атабаган колдоо агымы. Эгер конок контейнерлерди же жергиликтүү гипервизорду да жайгаштырса, алардын мурун эле ошол uplinkке көпүрөлөнбөгөнүн текшериңиз. Бир NICте эки көпүрө — бул дизайн, өзгөртүү терезесинде тапкыңыз келбеген кырсык эмес.
ping эмес, пакет жолу менен ырастаңыз
Жеткиликтүүлүктү гана эмес, чыныгы жолду текшериңиз. Кардардан кайсы булак дареги алыскы кызматка жетээрин, анан жооп ошол эле жол менен кайтаарын ырастаңыз. Конокто конкреттүү агым үчүн жиберүү эсептегичтерин, ал эми порт тобунда тандалган дизайн талап кылгандан ашык көрүнүү күйгүзүлбөгөнүн текшериңиз.
Акыры, иштебей калуу багытын сынаңыз. Тоннелди токтотуңуз же кардарды ажыратыңыз жана трафик пайдаланылбаган деп ойлогон маршрутталган жолго үнсүз түшпөгөнүн текшериңиз, анткени дал ошол кулаш көпүрөлөнгөн дизайнды үнсүз кокустан маршрутизаторго айландырат.