ESXi-Gascht-VPN: Routing oder Bridging — entscheed virun der Portgrupp
En gerouteten TUN brauch Réckweeër; en iwwerbréckten TAP brauch Layer-2-Erreechbarkeet an eng méi breet Portgrupp-Politik. Setzt d'Roll fest, ier Dir de promiscuous-Modus ausweidert.
Route d'Paketen oder erweidert d'Ethernet-Domän: d'Ännerung vun der Portgrupp kënnt no där Wiel. Aus der Siicht vun enger Applikatioun mat enger privater Adress kënnen d'Resultater gläich ausgesinn, wärend d'Ufuerderunge vum Hypervisor ganz ënnerschiddlech sinn. Dofir gëtt d'Portgrupp als éischt erweidert an d'Designfro gëtt duerno beäntwert, meeschtens no engem Broadcast-Stuerm. Gitt dës Kontrollen an der Rei duerch a stoppt, soulaang d'Ufuerderung nach onkloer ass, well keng Portgruppen-Astellung en Design reparéiert, dat ni gewielt gouf.
D'Entscheedung gehéiert dem Besëtzer vum Service; d'Hypervisor-Konfiguratioun soll se ëmsetzen, net zoufälleg bestëmmen.
Kontrolléiert, wat de wäiten Enn tatsächlech brauch
Lëscht d'Servicer op, déi d'wäit Clientë mussen erreechen, an d'Protokoller, déi se benotzen. Wann d'Lëscht eng Handvoll TCP-Servicer op bekannte Präfixen ass, deckt Routing dat of. Wann eppes wierklech Layer-2-Noperschaft brauch — broadcast-ofhängeg Entdeckung, Net-IP-Protokoller, en Apparat deen en Gateway net akzeptéiert — kann Routing dat net nomaachen, an dat soll fréi gesot ginn. Sief éierlech iwwer d'Net-IP-Andräg op där Lëscht, well do versoe sech en gerouteten Design eng Woch méi spéit roueg.
Kontrolléiert duerno de Client-Pool. En gerouteten Design brauch en Adressberäich an eng explizit Réckwee op der wäiter Säit; en iwwerbréckten Design brauch, datt d'erweidert Ethernet-Domän d'Adressverdeelung an d'Isolatioun besëtzt. Wat Dir och wielt, een ausserhalb vun dëser VM muss domat averstane sinn.
Wat all Design vum virtuelle Netz verlaangt
Déi zwou Designe ënnerscheede sech doran, wat de virtuelle Netz alles muss aushalen, an d'Tabell weist et am kierzsten:
| Design | Roll op der Gastsäit | Wat de virtuelle Netz muss opfänken | Fehlermodus wann Dir falsch wielt |
|---|---|---|---|
| Gerouteten TUN | Router tëscht separate Präfixen | En geroutete Client-Pool plus Réckweeër op der wäiter Säit | Clientë erreechen de Gateway an erreechen ni de Service hannendrun |
| Iwwerbréckten TAP | Layer-2-Bréck fir d'Clientë, déi bäitrieden | Zousätzlech Ethernet-Identitéiten, Broadcast-Trafic a VLAN-Regelen | De vSwitch verwerft Frames, oder den Design brauch e promiscuous-Modus, deen keen approuvéiert huet |
Routing léisst d'Broadcast-Domän do, wou se ass, a gëtt eng natierlech Plaz, fir ze begrenzen, wéi eng Servicer de Gateway iwwerqueren. Bridging verréckelt d'Grenz: d'Clientë ginn Deelhmer un der erweiderter Ethernet-Domän, an d'Adressverdeelung, d'Isolatioun an all Layer-2-Politik gëllen elo fir si. Schreift déi gewielte Zeil an den Ännerungsprotokoll. E Saz wéi „gerouteten TUN, Client-Pool 10.90.0.0/24, Réckwee op der Kär“ verhënnert, datt den nächsten Ingenieur den Design aus den Portgruppen-Astellungen erëm diskutéiert.
Wien däerf wiem seng Frames gesinn
Stellt dem Plattform-Besëtzer eng Fro, ier Dir d'Portgrupp beréiert: verlaangt den Design, datt dës VM Frames kritt, déi un aner Deelhmer adresséiert sinn? Wann d'Äntwert nee ass, gëllt näischt an dësem Abschnitt, well en gerouteten TUN ni déi Visibilitéit brauch. Wann d'Äntwert jo ass, ass dem Broadcom seng Richtlinn zum promiscuous-Modus déi Lektioun, déi zielt: si leet duer, wéi vill méi vum vSwitch d'VM ka gesinn, a recommandéiert, déi Politik op eng Portgrupp ze beschränken.
Behandelt dat als Ufuerderungs-Kontroll, net als Erlaabnes. Schalt d'Astellung fir eng dedizéiert Uschloss an, wann d'Bréckebedierfnis opgeschriwwe ka ginn, a loosst se iwwerall soss aus. En breede VLAN-Trunk, aus engem anere Brécke-Beispill kopéiert, ass deen Deel, un deen keen drun denkt, ewechzehuelen, an en Een-VLAN-Design soll Een-VLAN bleiwen.
Hält fest, wéi eng Portgrupp sech geännert huet a firwat, op déiselwecht Plaz wou Dir d'Design-Zeil opgeschriwwen hutt. Deen Duerchgank mécht déi nächst Audit méiglech.
Halt d'Objete vum Gascht explizit
An Linux sinn d'Bréckememberschaft an d'Adressebesëtz getrennt Objeten, an hir Vermëschung verursaacht den onkloeren hallefwierksamen Zoustand. Gitt Adressen un d'Brécke-Interface oder un den gerouteten Tunnel, net un zwou Säite vum selwechte Wee, a halt d'Member-Ports fräi vun IP-Konfiguratioun.
Vermeit et, een Subnetz onofhängeg op engem gerouteten TUN an op enger onroueger Ethernet-Interface ze setzen. Déi Konfiguratioun produzéiert zwee Weeër zum selwechte Präfix, asymmetresch Äntwerten an en Support-Thread iwwer Flapping, dee keen vun deenen zwee Weeër nennt. Wann de Gascht och Container oder en lokalen Hypervisor hostet, kontrolléiert, datt se net schonn an deeselwechten Uplink brécken. Zwou Brécke op enger NIC sinn en Design, keen Accident, deen Dir an engem Ännerungsfenster wëllt entdecken.
Bestätegt mat engem Paketswee, net mat engem Ping
Verifizéiert de tatsächleche Wee, net nëmmen d'Erreechbarkeet. Bestätegt vun engem Client aus, wéi eng Quelladress beim wäite Service ukommt, an duerno, datt d'Äntwert deeselwechte Wee zréckkënnt. Op dem Gascht kontrolléiert d'Iwwerdroungs-Zähler fir de konkrete Floss, an op der Portgrupp bestätegt, datt keng zousätzlech Visibilitéit iwwer dat eraus aktivéiert gouf, wat den gewielten Design brauch.
Test schliisslech d'Fehlerrichtung. Stoppt den Tunnel oder trennt de Client of a kontrolléiert, datt den Trafic net roueg op e gerouteten Wee zréckfällt, vun deem Dir geduecht hutt, en wier onbenotzt, well deen Zréckfall ass de Wee, wéi en iwwerbréckten Design roueg en ongewollten Router gëtt.