ESXi गेस्ट VPN: राउटिंग की ब्रिजिंग — पोर्ट ग्रुपपूर्वी ठरवा
राउटेड TUN ला परतीचे रूट लागतात; ब्रिज्ड TAP ला लेयर 2 पोहोच आणि अधिक व्यापक पोर्ट-ग्रुप धोरण लागते. promiscuous मोड वाढवण्यापूर्वी भूमिका निश्चित करा.
पॅकेट राउट करा किंवा Ethernet डोमेन वाढवा: पोर्ट ग्रुपचा बदल त्या निवडीनंतर येतो. खाजगी पत्ता असलेल्या अनुप्रयोगातून निकाल सारखेच दिसू शकतात, पण हायपरवायझरच्या गरजा पूर्णपणे वेगळ्या असतात. म्हणूनच आधी पोर्ट ग्रुप वाढवला जातो आणि डिझाइनचा प्रश्न नंतर सोडवला जातो, सहसा ब्रॉडकास्ट वादळानंतर. या तपासण्या क्रमाने करा आणि गरज अजून अस्पष्ट असतानाच थांबा, कारण कोणतेही पोर्ट-ग्रुप सेटिंग कधीही न निवडलेली डिझाइन दुरुस्त करत नाही.
निर्णय सेवेच्या मालकाचा आहे; हायपरवायझर कॉन्फिगरेशनने तो अंमलात आणावा, अपघाताने ठरवू नये.
दूरच्या टोकाला प्रत्यक्षात काय हवे आहे ते तपासा
दूरच्या क्लायंटना ज्या सेवांपर्यंत पोहोचायचे आहे आणि ते वापरत असलेल्या प्रोटोकॉलची यादी करा. यादी ज्ञात प्रीफिक्सवरील काही TCP सेवा असेल तर राउटिंग पुरते. जर एखाद्याला खरोखर लेयर 2 समीपता हवी असेल — ब्रॉडकास्टवर अवलंबून शोध, बिगर-IP प्रोटोकॉल, गेटवे न स्वीकारणारे उपकरण — तर राउटिंग त्याची नक्कल करू शकत नाही आणि हे लवकर सांगायला हवे. त्या यादीतील बिगर-IP नोंदींबद्दल प्रामाणिक रहा, कारण तिथेच राउटेड डिझाइन आठवड्यानंतर शांतपणे अपयशी ठरते.
नंतर क्लायंट पूल तपासा. राउटेड डिझाइनला पत्त्यांची श्रेणी आणि दूरच्या बाजूला स्पष्ट परतीचे रूट लागते; ब्रिज्ड डिझाइनला विस्तारित Ethernet डोमेनकडे पत्ता वाटप आणि अलगाव असावा लागतो. तुम्ही जे निवडा, या VM बाहेरच्या कोणालातरी ते मान्य करावे लागेल.
प्रत्येक डिझाइन व्हर्च्युअल नेटवर्ककडून काय मागते
दोन्ही डिझाइन व्हर्च्युअल नेटवर्कला काय सहन करावे लागते यात वेगळी आहेत, आणि ते पाहण्याचा सर्वात लहान मार्ग म्हणजे तक्ता:
| डिझाइन | गेस्ट बाजूची भूमिका | व्हर्च्युअल नेटवर्कने काय सामावून घ्यावे | चुकीची निवड केल्यास अपयशाचा प्रकार |
|---|---|---|---|
| राउटेड TUN | वेगळ्या प्रीफिक्समधील राउटर | राउटेड क्लायंट पूल आणि दूरच्या बाजूला परतीचे मार्ग | क्लायंट गेटवेपर्यंत पोहोचतात पण त्यामागील सेवेपर्यंत कधीही पोहोचत नाहीत |
| ब्रिज्ड TAP | सहभागी होणाऱ्या क्लायंटसाठी लेयर 2 ब्रिज | अतिरिक्त Ethernet ओळखी, ब्रॉडकास्ट रहदारी आणि VLAN नियम | vSwitch फ्रेम्स टाकून देतो, किंवा डिझाइनला कोणीही मंजूर न केलेला promiscuous मोड लागतो |
राउटिंग ब्रॉडकास्ट डोमेन जिथे आहे तिथे ठेवते आणि गेटवे कोणत्या सेवा ओलांडतात हे मर्यादित करण्याची नैसर्गिक जागा देते. ब्रिजिंग सीमा हलवते: क्लायंट विस्तारित Ethernet डोमेनचे सहभागी होतात, आणि पत्ता वाटप, अलगाव व कोणतेही लेयर 2 धोरण आता त्यांना लागू होते. निवडलेली ओळ बदल-नोंदीत लिहा. “राउटेड TUN, क्लायंट पूल 10.90.0.0/24, कोअरवर परतीचे रूट” असे वाक्य पुढच्या अभियंत्याला पोर्ट-ग्रुप सेटिंग्जमधून डिझाइन पुन्हा चर्चण्यापासून रोखते.
कोणाच्या फ्रेम्स कोणाला दिसाव्यात
पोर्ट ग्रुपला हात लावण्यापूर्वी प्लॅटफॉर्म मालकाला एक प्रश्न विचारा: या VM ने इतर सहभागींना संबोधित फ्रेम्स घ्याव्यात असे डिझाइन मागते का? उत्तर नाही असेल तर या विभागातील काहीही लागू होत नाही, कारण राउटेड TUN ला ती दृश्यता कधीही लागत नाही. उत्तर होय असेल तर, promiscuous मोडबद्दल Broadcom चे मार्गदर्शन हे महत्त्वाचे वाचन आहे: VM vSwitch मधून किती अधिक पाहू शकतो हे ते सांगते आणि ते धोरण एका पोर्ट ग्रुपपर्यंत मर्यादित ठेवण्याची शिफारस करते.
याकडे परवानगीपत्र नव्हे, तर गरजेची तपासणी म्हणून पहा. ब्रिजिंगची गरज लिखित झाल्यावर एका समर्पित जोडणीसाठी सेटिंग चालू करा, आणि इतर सर्वत्र बंद ठेवा. दुसऱ्या ब्रिज उदाहरणातून कॉपी केलेला रुंद VLAN ट्रंक हा असा भाग आहे जो काढायचा कोणालाही आठवत नाही, आणि एक-VLAN डिझाइन एक-VLAN राहिले पाहिजे.
कोणता पोर्ट ग्रुप बदलला आणि का, ते डिझाइनची ओळ लिहिलेल्या त्याच ठिकाणी नोंदवा. हीच जोडी पुढील ऑडिट शक्य करते.
गेस्टच्या वस्तू स्पष्ट ठेवा
Linux मध्ये ब्रिज सदस्यत्व आणि पत्त्याची मालकी वेगवेगळ्या वस्तू आहेत, आणि त्यांची गल्लत केल्यास गोंधळलेली अर्धवट-कार्यरत स्थिती तयार होते. पत्ते ब्रिज इंटरफेसला किंवा राउटेड टनेलला द्या, एकाच मार्गाच्या दोन्ही बाजूंना नाही, आणि सदस्य पोर्ट IP कॉन्फिगरेशनशिवाय ठेवा.
एक सबनेट स्वतंत्रपणे राउटेड TUN वर आणि असंबंधित Ethernet इंटरफेसवर ठेवणे टाळा. असे कॉन्फिगरेशन त्याच प्रीफिक्सकडे दोन मार्ग निर्माण करते, असममित उत्तरे आणि flapping बद्दलची मदत-चर्चा जी दोन्हीपैकी कोणत्याही मार्गाचा उल्लेख करत नाही. गेस्ट कंटेनर किंवा स्थानिक हायपरवायझरही होस्ट करत असेल, तर ते आधीच त्याच uplink मध्ये ब्रिज करत नाहीत याची खात्री करा. एका NIC वर दोन ब्रिज हे डिझाइन आहे, बदल-विंडोमध्ये शोधायचा अपघात नाही.
ping ने नाही, पॅकेट-मार्गाने पुष्टी करा
फक्त पोहोच नाही, प्रत्यक्ष मार्ग सत्यापित करा. क्लायंटकडून कोणता स्रोत पत्ता दूरच्या सेवेपर्यंत पोहोचतो हे पुष्टी करा, नंतर उत्तर त्याच मार्गाने परत येते हे पुष्टी करा. गेस्टवर विशिष्ट प्रवाहासाठी फॉरवर्डिंग काउंटर पहा, आणि पोर्ट ग्रुपवर निवडलेल्या डिझाइनच्या गरजेपेक्षा जास्त दृश्यता सक्षम केलेली नाही याची पुष्टी करा.
शेवटी अपयशाची दिशा तपासा. टनेल थांबवा किंवा क्लायंट वेगळा करा आणि रहदारी न वापरलेल्या असे वाटलेल्या राउटेड मार्गावर शांतपणे पडत नाही याची खात्री करा, कारण तेच पडणे म्हणजे ब्रिज्ड डिझाइन शांतपणे अनिच्छित राउटर बनण्याचा मार्ग.