ESXi гостин VPN: рутирање или премостување — одлучете пред порт групата
Рутиран TUN бара повратни рути; премостен TAP бара достапност на 2-ри слој и поширока политика на порт групата. Одредете ја улогата пред да го проширите promiscuous режимот.
Рутирајте ги пакетите или проширете ја Ethernet домената: промената на порт групата доаѓа по тој избор. Од аспект на апликација со приватна адреса резултатите можат да изгледаат идентично, додека барањата на хипервизорот сосема се разликуваат. Затоа порт групата се проширува прва, а дизајнерското прашање се одговара второ, обично по broadcast бура. Поминете ги овие проверки по ред и застанете додека барањето е сѐ уште нејасно, бидејќи ниту едно поставување на порт група не поправа дизајн што никогаш не бил избран.
Одлуката им припаѓа на сопственикот на услугата; конфигурацијата на хипервизорот треба да ја спроведе, а не случајно да ја одреди.
Проверете што и е навистина потребно на далечната страна
Наведете ги услугите до кои далечните клиенти мора да стигнат и протоколите што ги користат. Ако списокот е неколку TCP услуги на познати префикси, рутирањето го покрива. Ако нешто навистина бара соседство на 2-ри слој — откривање зависно од broadcast, не-IP протоколи, уред што не прифаќа портал — рутирањето не може да го имитира и тоа треба да се каже рано. Бидете искрени за не-IP записите на тој список, бидејќи токму таму рутираниот дизајн тивко пропаѓа една недела подоцна.
Потоа проверете го клиентскиот базен. Рутираниот дизајн бара опсег на адреси и експлицитна повратна рута на далечната страна; премостениот дизајн бара проширената Ethernet домена да има распределба на адреси и изолација. Што и да изберете, некој надвор од оваа VM мора да се согласи.
Што бара секој дизајн од виртуелната мрежа
Двата дизајна се разликуваат по тоа што виртуелната мрежа мора да го поднесе, а табелата е најкраткиот начин тоа да се види:
| Дизајн | Улога на гостинската страна | Што мора да прими виртуелната мрежа | Режим на отказ при погрешен избор |
|---|---|---|---|
| Рутиран TUN | Рутер меѓу одделни префикси | Рутиран клиентски базен плус повратни патишта на далечната страна | Клиентите стигнуваат до порталот и никогаш не стигнуваат до услугата зад него |
| Премостен TAP | Мост на 2-ри слој за клиентите што се приклучуваат | Дополнителни Ethernet идентитети, broadcast сообраќај и VLAN правила | vSwitch отфрла рамки, или дизајнот бара promiscuous режим што никој не го одобрил |
Рутирањето ја остава broadcast домената каде што е и дава природно место да се ограничи кои услуги ја преминуваат портата. Премостувањето ја поместува границата: клиентите стануваат учесници во проширената Ethernet домена, а распределбата на адреси, изолацијата и секоја политика на 2-ри слој сега се однесуваат на нив. Запишете го избраниот ред во записот за промена. Реченица како „рутиран TUN, клиентски базен 10.90.0.0/24, повратна рута на јадрото“ спречува следниот инженер повторно да го преиспитува дизајнот од поставките на порт групата.
Кој смее да гледа чии рамки
Поставете му едно прашање на сопственикот на платформата пред да ја допрете порт групата: дали дизајнот бара оваа VM да прима рамки адресирани до други учесници? Ако одговорот е не, ништо во овој дел не се применува, бидејќи рутиран TUN никогаш не ја бара таа видливост. Ако одговорот е да, тогаш упатството на Broadcom за promiscuous режим е она што вреди да се прочита: објаснува колку повеќе од vSwitch гледа VM-от и препорачува таа политика да се ограничи на една порт група.
Третирајте го ова како проверка на барање, не како дозвола. Вклучете го поставувањето за едно наменско приклучување кога потребата за мост е запишана, и оставете го исклучено насекаде друго. Широк VLAN trunk копиран од друг пример за мост е делот што никој не се сеќава да го отстрани, а дизајнот со еден VLAN треба да остане со еден VLAN.
Запишете која порт група се промени и зошто, на истото место каде што го запишавте редот на дизајнот. Токму тој пар ја овозможува следната ревизија.
Држете ги објектите на гостинот експлицитни
Внатре во Linux, членството во мостот и сопственоста на адресата се одделни објекти, а нивното мешање го создава збунувачкото полуфункционално состојба. Доделете адреси на мостовниот интерфејс или на рутираниот тунел, не на двете страни од истиот пат, и држете ги членските порти без IP конфигурација.
Избегнувајте да ставите една подмрежа независно на рутиран TUN и на неповрзан Ethernet интерфејс. Таквата конфигурација создава два пата до истиот префикс, асиметрични одговори и нишка за поддршка за flapping што не споменува ниту еден од патиштата. Ако гостинот исто така хостира контејнери или локален хипервизор, проверете дали тие веќе не премостуваат во истиот uplink. Два моста на една NIC се дизајн, а не несреќа што сакате да ја откриете за време на прозорец за промена.
Потврдете со пат на пакет, не со ping
Проверете го вистинскиот пат, не само достапноста. Од клиент потврдете која изворна адреса пристигнува до далечната услуга, потоа дека одговорот се враќа по истиот пат. На гостинот проверете ги бројачите за препраќање за конкретниот тек, а на порт групата потврдете дека не е вклучена дополнителна видливост над онаа што ја бара избраниот дизајн.
На крајот, тестирајте го правецот на отказ. Запрете го тунелот или исклучете го клиентот и проверете дека сообраќајот тивко не паѓа на рутиран пат што сте го сметале за неискористен, бидејќи токму тој пад е начинот на кој премостен дизајн тивко станува ненамерен рутер.