ESXi зочны VPN: чиглүүлэх эсвэл гүүрлэх — портын бүлгийн өмнө шийд
Чиглүүлсэн TUN-д буцах маршрут хэрэгтэй; гүүрлэсэн TAP-д 2-р давхаргын хүртээмж ба илүү өргөн портын бүлгийн бодлого хэрэгтэй. promiscuous горимыг өргөтгөхийн өмнө үүргийг тодорхойл.
Пакетуудыг чиглүүлэх эсвэл Ethernet домэйныг өргөтгө: портын бүлгийн өөрчлөлт тэр сонголтын дараа ирнэ. Хувийн хаягтай аппликейшнээс үр дүн ижил мэт харагдаж болох ч гипервизорын шаардлага огт өөр. Тиймээс эхлээд портын бүлгийг өргөтгөж, дизайны асуултад дараа нь хариулдаг бөгөөд ихэвчлэн broadcast шорооны дараа. Эдгээр шалгалтыг дарааллаар нь хийж, шаардлага тодорхойгүй байхад зогсо, учир нь ямар ч портын бүлгийн тохиргоо хэзээ ч сонгогдоогүй дизайныг засахгүй.
Шийдвэр үйлчилгээний эзэмшигчийнх; гипервизорын тохиргоо үүнийг хэрэгжүүлэх ёстой, санамсаргүйгээр тодорхойлох ёсгүй.
Алслагч тал юу гэж үнэхээр хэрэгтэйг шалга
Алслагч клиентүүд хүрэх ёстой үйлчилгээнүүд болон тэдний ашигладаг протоколуудыг жагсаа. Хэрэв жагсаалт нь мэдэгдэж буй префиксүүд дээрх цөөн TCP үйлчилгээ бол чиглүүлэлт хангалттай. Хэрэв ямар нэгэн зүйл үнэхээр 2-р давхаргын хөршлөл шаарддаг бол — broadcast-аас хамааралтай илрүүлэлт, IP бус протоколууд, гарцыг хүлээж авахгүй төхөөрөмж — чиглүүлэлт үүнийг дуурайх боломжгүй бөгөөд үүнийг эрт хэлэх хэрэгтэй. Тэр жагсаалтын IP бус бичлэгүүдийн талаар шударга бай, учир нь чиглүүлсэн дизайн яг тэнд долоо хоногийн дараа чимээгүйгээр бүтэлгүйтдэг.
Дараа нь клиентийн сангийг шалга. Чиглүүлсэн дизайнд хаягийн хүрээ болон алслагч талд тодорхой буцах маршрут хэрэгтэй; гүүрлэсэн дизайнд өргөтгөсөн Ethernet домэйн хаягийн хуваарилалт, тусгаарлалтыг эзэмших шаардлагатай. Аль нэгийг сонгосон ч энэ VM-ээс гадна хэн нэгэн зөвшөөрөх ёстой.
Дизайн бүр виртуал сүлжээнээс юу шаарддаг
Хоёр дизайн виртуал сүлжээ юуг тэсвэрлэх ёстойгоороо ялгаатай бөгөөд хүснэгт үүнийг харах хамгийн богино зам:
| Дизайн | Зочин талын үүрэг | Виртуал сүлжээ юуг багтаах ёстой | Буруу сонговол гарах эвдрэлийн горим |
|---|---|---|---|
| Чиглүүлсэн TUN | Тусдаа префиксүүдийн хоорондох чиглүүлэгч | Чиглүүлсэн клиентийн сан ба алслагч талын буцах замууд | Клиентүүд гарцад хүрдэг ч түүний цаанаах үйлчилгээнд хэзээ ч хүрдэггүй |
| Гүүрлэсэн TAP | Нэгдэж буй клиентүүдэд зориулсан 2-р давхаргын гүүр | Нэмэлт Ethernet таних тэмдэг, broadcast урсгал, VLAN дүрэм | vSwitch кадруудыг хаядаг, эсвэл дизайнд хэн ч зөвшөөрөөгүй promiscuous горим хэрэгтэй |
Чиглүүлэлт broadcast домэйныг байгаа газарт нь үлдээж, ямар үйлчилгээ гарцыг давахыг хязгаарлах байгалийн газар өгдөг. Гүүрлэлт хил хязгаарыг зөөдөг: клиентүүд өргөтгөсөн Ethernet домэйны оролцогчид болж, хаягийн хуваарилалт, тусгаарлалт, аливаа 2-р давхаргын бодлого одоо тэдэнд хамаарна. Сонгосон мөрийг өөрчлөлтийн бүртгэлд бич. «Чиглүүлсэн TUN, клиентийн сан 10.90.0.0/24, цөм дээрх буцах маршрут» гэх мэт өгүүлбэр дараагийн инженер портын бүлгийн тохиргооноос дизайныг дахин мэтгэлцэхээс сэргийлнэ.
Хэн хэний кадрыг харах ёстой вэ
Портын бүлэгт хүрэхийн өмнө платформын эзэмшигчээс нэг асуулт асуу: энэ VM бусад оролцогчдод хаяглагдсан кадруудыг хүлээн авахыг дизайн шаарддаг уу? Хариулт үгүй бол энэ хэсэгт юу ч хамаарахгүй, учир нь чиглүүлсэн TUN-д тэр харагдах байдал хэзээ ч хэрэггүй. Хариулт тийм бол, promiscuous горимын тухай Broadcom-ын удирдамж бол гол уншиж байгаа зүйл: VM vSwitch-ээс хэр их харж чадахыг тайлбарлаж, тэр бодлогыг нэг портын бүлэгт хязгаарлахыг зөвлөдөг.
Үүнийг зөвшөөрлийн хуудас биш, шаардлагын шалгалт гэж үз. Гүүрлэх хэрэгцээ бичигдсэн үед нэг зориулалтын холболтын тохиргоог асааж, бусад бүх газарт унтраалттай үлдээ. Өөр гүүрний жишээнээс хуулсан өргөн VLAN trunk бол хэн ч устгахаа санахгүй хэсэг бөгөөд нэг VLAN дизайн нэг VLAN хэвээр байх ёстой.
Аль портын бүлэг өөрчлөгдсөн, яагаад гэдгийг дизайны мөр бичсэн газартаа бүртгэ. Яг тэр хос дараагийн аудитыг боломжтой болгодог.
Зочны объектуудыг тодорхой байлга
Linux дотор гүүрний гишүүнчлэл ба хаягийн эзэмшил нь тусдаа объектууд бөгөөд тэдгээрийг холих нь төөрөгдүүлсэн хагас ажиллах төлөв үүсгэдэг. Хаягуудыг гүүрний интерфэйс эсвэл чиглүүлсэн туннельд өг, нэг замын хоёр талд биш, гишүүн портуудыг IP тохиргоогүй байлга.
Нэг дэд сүлжээг бие даан чиглүүлсэн TUN болон холбоогүй Ethernet интерфэйс дээр тавихаас зайлсхий. Ийм тохиргоо нэг префикс рүү хоёр зам үүсгэж, тэгш бус хариулт, flapping-ийн тухай хоёр замын аль нэгийг ч дурдаагүй дэмжлэгийн хэлэлцүүлэг үүсгэдэг. Хэрэв зочин контейнер эсвэл локал гипервизор байрлуулдаг бол тэд аль хэдийн ижил uplink руу гүүрлээгүй эсэхийг шалга. Нэг NIC дээр хоёр гүүр бол дизайн, өөрчлөлтийн цонхонд илрүүлэхийг хүсэхгүй осол биш.
ping биш, пакетийн замаар батал
Зөвхөн хүртээмж биш, бодит замыг шалга. Клиентээс аль эх хаяг алслагч үйлчилгээнд хүрч байгааг, дараа нь хариулт мөн замаар буцаж байгааг батал. Зочин дээр тодорхой урсгалын дамжуулалтын тоолуурыг, портын бүлэг дээр сонгосон дизайны шаардлагаас илүү харагдах байдал идэвхжээгүйг шалга.
Эцэст нь эвдрэлийн чиглэлийг турш. Туннелийг зогсоох эсвэл клиентийг салгаж, урсгал ашиглагдаагүй гэж бодсон чиглүүлсэн зам руу чимээгүй унахгүй байгааг шалга, учир нь тэр уналт нь гүүрлэсэн дизайныг чимээгүйгээр санамсаргүй чиглүүлэгч болгодог.