SoftEther kaskada: sąmoningai sujungti du virtualiuosius šakotuvus
Kaskada sujungia vietinį šakotuvą su nuotoliniu pagal sukonfigūruotą tapatybę. Tai nėra išėjimo mazgas ir perduoda viską, ką šie šakotuvai jau tiltuoja.
Du SoftEther šakotuvai, sujungti kaskada, dalijasi vienu transliavimo domenu, todėl kilpa ar antras DHCP serveris nustoja būti vietine klaida ir tampa bendra. Tai visas rizikos modelis. Pati kaskada yra sukonfigūruotas kliento ryšys: vietinis virtualusis šakotuvas jungiasi į išorę prie nuotolinio serverio šakotuvo pagal tapatybę, kurią tas serveris leidžia. Tai didesnio virtualaus tinklo statybinis blokas, niekada ne interneto išėjimas.
1. Nuspręskite, ką jungtis turi perduoti
Pradėkite nuo reikalavimo, o ne nuo funkcijos. Kaskada perkelia antrojo sluoksnio kadrus tarp šakotuvų, ir to reikia, kai dvi vietos turi atrodyti kaip vienas Ethernet segmentas. Jei poreikis yra tik maršrutizuota prieiga prie kelių potinklių, maršrutizuotas kelias yra paprastesnis ir nepavyksta labiau matomais būdais. Pasirinkę kaskadą įsipareigojate bendram transliavimui, bendram aptikimui ir vienai kilpos topologijai.
Užrašykite reikalavimą vienoje eilutėje prieš liesdami serverį: kurios sistemos turi atrodyti tame pačiame laide ir kurioms reikia tik maršruto. Viskas, kas atsako „maršrutas“, priklauso už kaskados ribų. Šis vienas sakinys sustabdo daugumą projektų, kurie baigiasi dvigubomis adresų paslaugomis.
2. Apibrėžkite tapatybę, kuri tai leidžia
Kredencialai, kuriais administruojamas serveris, ir tapatybė, kurią kaskada naudoja prisijungdama, yra skirtingos paslaptys, o jų maišymas yra įprastas trumpasis kelias su ilgu uodega. Nuotoliniam šakotuvui reikia vartotojo arba politikos įrašo, kuris leidžia šiai kaskadai prisijungti. Tas įrašas yra autorizacija; sėkmingas prisijungimas nieko nesako apie tai, kas yra už nuotolinio šakotuvo.
Užrašykite, kuris šakotuvas inicijuoja, prie kurio nuotolinio šakotuvo jungiasi ir ką gali pasiekti nuotolinė tapatybė. Prieš įsipareigodami palyginkite abi architektūras:
| Requirement | Routed path | Cascaded segment |
|---|---|---|
| Broadcast domain | Separate on each side | Shared across the link |
| Address service | One DHCP server per side | Must not run two on one domain |
| Loop risk | Route loops only | Layer-two loops if segments overlap |
Palaikykite abiejų pusių kredencialus ir atkūrimo instrukcijas aktualius. Slaptažodžio pakeitimas ar politikos redagavimas nuotoliniame šakotuve nutraukia kaskadą neliesdamas jūsų vietinių vartotojų, o gedimas paprastai pasirodo kaip veikiantis, bet tuščias ryšys.
3. Apžiūrėkite, ką šakotuvas jau perduoda
Šakotuvas retai būna izoliuotas. Jis gali jau tiltuoti fizinį adapterį, maršrutizuoti per virtualų maršrutizatorių arba kaskaduoti kitur, ir kiekvienas iš tų prijungimų perkeliamas į naują ryšį. Štai kodėl „mes tik sujungėme du šakotuvus“ taip dažnai virsta „kodėl šios dvi vietos dabar yra vienas segmentas?“.
Du šakotuvai, tiltuoti į tą patį fizinį segmentą ir paskui kaskaduoti vienas į kitą, sudaro kilpą. Pridėkite spanning tree arba to nestatykite. Tas pats testas taikomas šakotuvui, kuris jau pasiekia tikslą per kitą kaskadą: antra jungtis neprideda pralaidumo, ji prideda kelią.
Nepridėkite jungties todėl, kad trūksta vieno maršruto; pataisykite maršrutą. Pirmiausia nubraižykite topologiją popieriuje, įskaitant kiekvieną tiltą ir kaskadą, nes diagrama užima dvi minutes ir pagauna daugumą kilpų, kol jos dar neatsirado.
4. Sutvarkykite adresavimą prieš jungiantis
Sujungti segmentai atneša dvigubus potinklius, o dvigubi DHCP serveriai yra klasikinis simptomas: klientai ima nuomą iš to serverio, kuris atsako pirmas, todėl elgsena atrodo atsitiktinė ir juda tarp perkrovimų. Iš anksto nuspręskite, kuri pusė valdo adresų priskyrimą, ir suteikite tolimam segmentui diapazoną, kuris nesikerta su niekuo vietiniu. Išjunkite kitą DHCP paslaugą prieš kaskadai prisijungiant, o ne po pirmo skundo.
DNS yra atskiras klausimas. Kaskada perduoda kadrus; ji nekonfigūruoja resolverių, ir vardas, kuris išsprendžiamas vietinėje pusėje, gali būti neišsprendžiamas per jungtį. Tikrinkite užklausą atskirai nuo IP kelio, nes veikiantis ping įrodo tik vieną iš dviejų.
5. Įrodykite tai realiu ištekliumi
Pasirinkite leidžiamą paslaugą numatytame tolimame segmente ir patvirtinkite, kad atsakymas grįžta per kaskadą. Tada pakartokite vardų sprendimui. Jei tikslas remiasi transliavimo aptikimu, tikėkitės kitokio elgesio per tiltuotą jungtį nei viename laide, ir planuokite tai, o ne registruokite kaip defektą.
Galiausiai užrašykite topologiją: kuris šakotuvas kur kaskaduoja, kuri tapatybė tai leidžia, kurie segmentai yra tiltuoti ir kas valdo adresų priskyrimą kiekviename. Ta pastaba leidžia kitam žmogui pakeisti politiką nesugriaunant segmento, apie kurio egzistavimą jis nežinojo.