VPN mistieden ESXi: routing jew bridging — iddeċiedi qabel il-grupp tal-port
TUN routed jeħtieġ rotot tar-ritorn; TAP bridged jeħtieġ aċċess ta' saff 2 u politika tal-grupp tal-port usa'. Stabbilixxi r-rwol qabel ma tespandi l-mod promiscuous.
Irrotta l-pakketti jew estendi d-dominju Ethernet: il-bidla tal-grupp tal-port tiġi wara dik l-għażla. Minn applikazzjoni b'indirizz privat ir-riżultati jistgħu jidhru identiċi, filwaqt li r-rekwiżiti tal-hypervisor huma għalkollox differenti. Għalhekk il-grupp tal-port jiġi estiż l-ewwel u l-mistoqsija tad-disinn tiġi mwieġba t-tieni, normalment wara maltempata broadcast. Għaddi minn dawn il-verifiki f'ordni u waqaf sakemm ir-rekwiżit għadu mhux ċar, għax l-ebda setting tal-grupp tal-port ma jsewwi disinn li qatt ma ntgħażel.
Id-deċiżjoni hija tas-sid tas-servizz; il-konfigurazzjoni tal-hypervisor għandha timplimentaha, mhux tiddeterminaha b'aċċident.
Ivverifika x'jeħtieġ tassew it-tarf imbiegħed
Elenka s-servizzi li l-klijenti remoti jridu jilħqu u l-protokolli li jużaw. Jekk il-lista hija ftit servizzi TCP fuq prefissi magħrufa, ir-routing ikopriha. Jekk xi ħaġa tassew teħtieġ viċinanza ta' saff 2 — skoperta dipendenti fuq broadcast, protokolli mhux IP, apparat li ma jaċċettax gateway — ir-routing ma jistax jimitaha u dan għandu jingħad kmieni. Kun onest dwar l-entrati mhux IP f'dik il-lista, għax hemmhekk disinn routed ifalli bil-kwiet ġimgħa wara.
Imbagħad ivverifika l-pool tal-klijenti. Disinn routed jeħtieġ firxa ta' indirizzi u rotta tar-ritorn espliċita fuq in-naħa l-imbeigħda; disinn bridged jeħtieġ li d-dominju Ethernet estiż ikollu l-allokazzjoni tal-indirizzi u l-iżolament. Tkun xi tkun li tagħżel, xi ħadd barra minn din il-VM irid jaqbel.
X'inhu jitlob kull disinn min-netwerk virtwali
Iż-żewġ disinni differenti f'dak li n-netwerk virtwali għandu jissaporti, u t-tabella hija l-eqreb mod kif tarah:
| Disinn | Rwol fuq in-naħa tal-mistieden | X'għandu jakkomoda n-netwerk virtwali | Mod ta' falliment jekk tagħżel ħażin |
|---|---|---|---|
| TUN routed | Router bejn prefissi separati | Pool ta' klijenti routed flimkien ma' mogħdijiet tar-ritorn fuq in-naħa l-imbeigħda | Il-klijenti jilħqu l-gateway u qatt ma jilħqu s-servizz warajh |
| TAP bridged | Jisim ta' saff 2 għall-klijenti li jingħaqdu | Identitajiet Ethernet addizzjonali, traffiku broadcast u regoli VLAN | Il-vSwitch jarmi l-frejms, jew id-disinn jeħtieġ mod promiscuous li ħadd ma approva |
Ir-routing iħalli d-dominju broadcast fejn hu u jagħtik post naturali biex tillimita liema servizzi jaqsmu l-gateway. Il-bridging iċaqlaq il-limitu: il-klijenti jsiru parteċipanti fid-dominju Ethernet estiż, u l-allokazzjoni tal-indirizzi, l-iżolament u kwalunkwe politika ta' saff 2 issa japplikaw għalihom. Ikteb ir-ringiela magħżula fir-rekord tal-bidliet. Sentenza bħal «TUN routed, pool ta' klijenti 10.90.0.0/24, rotta tar-ritorn fuq il-qalba» tipprevjeni lill-inġinier li jmiss milli jerġa' jiddiskuti d-disinn mis-settings tal-grupp tal-port.
Min għandu jitħalla jara l-frejms ta' min
Staqsi lis-sid tal-pjattaforma mistoqsija waħda qabel ma tmiss il-grupp tal-port: id-disinn jitlob li din il-VM tirċievi frejms indirizzati lil parteċipanti oħra? Jekk it-tweġiba hija le, xejn f'din it-taqsima ma japplika, għax TUN routed qatt ma jeħtieġ dik il-viżibbiltà. Jekk it-tweġiba hija iva, il-gwida ta' Broadcom dwar il-mod promiscuous hija l-qari li jgħodd: tispjega kemm aktar mill-vSwitch il-VM jista' jara u tirrakkomanda li dik il-politika tiġi ristretta għal grupp tal-port wieħed.
Ittrattaha bħala verifika tar-rekwiżit, mhux bħala permess. Ixgħel is-setting għal konnessjoni ddedikata waħda meta l-ħtieġa tal-bridging tkun miktuba, u ħalliha mitfija kullimkien ieħor. Trunk VLAN wiesa' kopjat minn eżempju ieħor ta' pont huwa l-parti li ħadd ma jiftakar ineħħi, u disinn ta' VLAN waħda għandu jibqa' VLAN waħda.
Irreġistra liema grupp tal-port inbidel u għaliex, fl-istess post fejn kitbt ir-ringiela tad-disinn. Dak il-par huwa dak li jagħmel l-awditjar li jmiss possibbli.
Żomm l-oġġetti tal-mistieden espliċiti
Ġewwa Linux, is-sħubija fil-pont u s-sjieda tal-indirizz huma oġġetti separati, u t-taħlit tagħhom joħloq l-istat konfuż ta' nofs xogħol. Assenja indirizzi lill-interface tal-pont jew lit-tunnel routed, mhux liż-żewġ naħat tal-istess mogħdija, u żomm il-portijiet membri mingħajr konfigurazzjoni IP.
Evita li tpoġġi subnet wieħed b'mod indipendenti fuq TUN routed u fuq interface Ethernet mhux relatat. Dik il-konfigurazzjoni tipproduċi żewġ mogħdijiet lejn l-istess prefiss, tweġibiet asimmetriċi u ħajta ta' appoġġ dwar flapping li ma ssemmix waħda mill-mogħdijiet. Jekk il-mistieden jospita wkoll kontenituri jew hypervisor lokali, ivverifika li dawn mhumiex diġà qed jisimtu fl-istess uplink. Żewġ pontijiet fuq NIC waħda huma disinn, mhux inċident li trid tiskopri waqt tieqa ta' bidla.
Ikkonferma b'mogħdija tal-pakketti, mhux b'ping
Ivverifika l-mogħdija reali, mhux biss l-aċċessabbiltà. Minn klijent, ikkonferma liema indirizz tas-sors jasal għas-servizz imbiegħed, imbagħad li t-tweġiba tirritorna bl-istess mogħdija. Fuq il-mistieden, iċċekkja l-kontaturi tal-ġarr għall-fluss partikolari, u fuq il-grupp tal-port ikkonferma li ma ġietx attivata viżibbiltà addizzjonali lil hinn minn dik li jeħtieġ id-disinn magħżul.
Fl-aħħar, ipprova d-direzzjoni tal-falliment. Waqqaf it-tunnel jew aqla' l-klijent u ċċekkja li t-traffiku ma jaqax bil-kwiet fuq mogħdija routed li ħsibt li ma kinitx użata, għax dak il-waqgħa huwa kif disinn bridged isir bil-kwiet router mhux intenzjonat.