VPN tetamu ESXi: penghalaan atau jambatan — putuskan sebelum kumpulan port
TUN dihalakan perlukan laluan balik; TAP dijambatankan perlukan jangkauan lapisan 2 dan dasar kumpulan port yang lebih luas. Tetapkan peranan sebelum meluaskan mod promiscuous.
Halakan paket atau luaskan domain Ethernet: perubahan kumpulan port menyusuli pilihan itu. Dari aplikasi yang memegang alamat persendirian hasilnya mungkin kelihatan sama, sedangkan keperluan hypervisor sama sekali berbeza. Itulah sebabnya kumpulan port diluaskan dahulu dan soalan reka bentuk dijawab kemudian, biasanya selepas badai broadcast. Lakukan semakan ini mengikut urutan dan berhenti selagi keperluan masih kabur, kerana tiada tetapan kumpulan port membaiki reka bentuk yang tidak pernah dipilih.
Keputusan milik pemilik perkhidmatan; konfigurasi hypervisor harus melaksanakannya, bukan menentukannya secara tidak sengaja.
Periksa apa yang sebenarnya diperlukan hujung jauh
Senaraikan perkhidmatan yang perlu dicapai oleh klien jauh dan protokol yang mereka gunakan. Jika senarai itu beberapa perkhidmatan TCP pada awalan yang diketahui, penghalaan mencukupi. Jika sesuatu benar-benar memerlukan kejiranan lapisan 2 — penemuan bergantung broadcast, protokol bukan IP, peranti yang tidak menerima gateway — penghalaan tidak dapat menirunya dan itu perlu dinyatakan awal. Bersikap jujur tentang entri bukan IP dalam senarai itu, kerana di situlah reka bentuk dihalakan gagal secara senyap seminggu kemudian.
Kemudian periksa kumpulan klien. Reka bentuk dihalakan memerlukan julat alamat dan laluan balik yang jelas di sisi jauh; reka bentuk dijambatankan memerlukan domain Ethernet lanjutan memiliki peruntukan alamat dan pengasingan. Apa pun yang anda pilih, seseorang di luar VM ini mesti bersetuju.
Apa yang dituntut setiap reka bentuk daripada rangkaian maya
Kedua-dua reka bentuk berbeza dalam apa yang rangkaian maya mesti tanggung, dan jadual ialah cara terpendek untuk melihatnya:
| Reka bentuk | Peranan di sisi tetamu | Apa yang mesti ditampung rangkaian maya | Mod kegagalan jika salah pilih |
|---|---|---|---|
| TUN dihalakan | Penghala antara awalan berasingan | Kumpulan klien dihalakan serta laluan balik di sisi jauh | Klien mencapai gateway dan tidak pernah mencapai perkhidmatan di belakangnya |
| TAP dijambatankan | Jambatan lapisan 2 untuk klien yang menyertai | Identiti Ethernet tambahan, trafik broadcast dan peraturan VLAN | vSwitch menggugurkan bingkai, atau reka bentuk memerlukan mod promiscuous yang tiada siapa meluluskannya |
Penghalaan membiarkan domain broadcast di tempatnya dan memberikan tempat semula jadi untuk mengehadkan perkhidmatan yang melintasi gateway. Penjambatan menggerakkan sempadan: klien menjadi peserta dalam domain Ethernet lanjutan, dan peruntukan alamat, pengasingan serta mana-mana dasar lapisan 2 kini terpakai kepada mereka. Tulis baris yang dipilih dalam rekod perubahan. Ayat seperti “TUN dihalakan, kumpulan klien 10.90.0.0/24, laluan balik pada teras” menghalang jurutera seterusnya daripada mempertikaikan semula reka bentuk berdasarkan tetapan kumpulan port.
Siapa yang patut dibenarkan melihat bingkai siapa
Tanya pemilik platform satu soalan sebelum menyentuh kumpulan port: adakah reka bentuk memerlukan VM ini menerima bingkai yang dialamatkan kepada peserta lain? Jika jawapannya tidak, tiada apa dalam bahagian ini terpakai, kerana TUN dihalakan tidak pernah memerlukan keterlihatan itu. Jika jawapannya ya, panduan Broadcom tentang mod promiscuous ialah bacaan yang penting: ia menjelaskan berapa banyak lagi vSwitch yang dapat dilihat oleh VM dan mengesyorkan dasar itu dihadkan kepada satu kumpulan port.
Anggap ini sebagai semakan keperluan, bukan surat kebenaran. Hidupkan tetapan untuk satu sambungan khusus apabila keperluan penjambatan ditulis, dan biarkan ia mati di tempat lain. Trunk VLAN lebar yang disalin daripada contoh jambatan lain ialah bahagian yang tiada siapa ingat untuk membuangnya, dan reka bentuk satu VLAN harus kekal satu VLAN.
Catat kumpulan port mana yang berubah dan mengapa, di tempat yang sama anda menulis baris reka bentuk. Pasangan itulah yang memungkinkan audit seterusnya.
Kekalkan objek tetamu secara eksplisit
Di dalam Linux, keahlian jambatan dan pemilikan alamat ialah objek berasingan, dan mencampurkannya menyebabkan keadaan separuh berfungsi yang mengelirukan. Berikan alamat kepada antara muka jambatan atau terowong dihalakan, bukan kepada kedua-dua belah laluan yang sama, dan kekalkan port ahli tanpa konfigurasi IP.
Elakkan meletakkan satu subnset secara bebas pada TUN dihalakan dan pada antara muka Ethernet yang tidak berkaitan. Konfigurasi itu menghasilkan dua laluan ke awalan yang sama, balasan tidak simetri dan urutan sokongan tentang flapping yang tidak menyebut mana-mana laluan. Jika tetamu juga mengehos kontena atau hypervisor setempat, periksa bahawa ia belum menjambatankan ke uplink yang sama. Dua jambatan pada satu NIC ialah reka bentuk, bukan kemalangan yang anda mahu temui semasa tetingkap perubahan.
Sahkan dengan laluan paket, bukan ping
Sahkan laluan sebenar, bukan hanya kebolehcapaian. Daripada klien, sahkan alamat sumber mana yang tiba di perkhidmatan jauh, kemudian balasannya kembali melalui laluan yang sama. Pada tetamu, periksa pembilang penghantaran untuk aliran tertentu, dan pada kumpulan port sahkan tiada keterlihatan tambahan diaktifkan melebihi keperluan reka bentuk yang dipilih.
Akhir sekali, uji arah kegagalan. Hentikan terowong atau tanggalkan klien dan periksa bahawa trafik tidak jatuh secara senyap ke laluan dihalakan yang anda sangka tidak digunakan, kerana kejatuhan itulah cara reka bentuk dijambatankan secara senyap menjadi penghala yang tidak diingini.