VPN gosta na ESXi: usmerjanje ali most — odločite pred skupino vrat
Usmerjen TUN potrebuje povratne poti; mosten TAP potrebuje doseg drugega sloja in širšo politiko skupine vrat. Določite vlogo, preden razširite promiscuous način.
Usmerjajte pakete ali razširite domeno Ethernet: sprememba skupine vrat sledi tej izbiri. Z vidika aplikacije z zasebnim naslovom so lahko rezultati videti enaki, medtem ko so zahteve hipervizorja povsem drugačne. Zato se skupina vrat najprej razširi, vprašanje zasnove pa se odgovori drugo, običajno po broadcast nevihti. Pojdite skozi te preveritve po vrsti in se ustavite, dokler je zahteva še nejasna, ker nobena nastavitev skupine vrat ne popravi zasnove, ki nikoli ni bila izbrana.
Odločitev pripada lastniku storitve; konfiguracija hipervizorja jo mora izvesti, ne pa je slučajno določiti.
Preverite, kaj oddaljeni konec v resnici potrebuje
Naštejte storitve, ki jih morajo doseči oddaljeni odjemalci, in protokole, ki jih uporabljajo. Če je seznam nekaj storitev TCP na znanih predponah, usmerjanje to pokrije. Če nekaj zares potrebuje sosedstvo 2. sloja — odkrivanje, odvisno od broadcasta, ne-IP protokoli, naprava, ki ne sprejme prehoda — usmerjanje tega ne more posnemati in to je treba povedati zgodaj. Bodite pošteni glede ne-IP vnosov na tem seznamu, ker tam usmerjena zasnova po tednu dni tiho odpove.
Nato preverite nabor odjemalcev. Usmerjena zasnova potrebuje obseg naslovov in izrecno povratno pot na oddaljeni strani; mostena zasnova potrebuje, da ima razširjena domena Ethernet v lasti dodeljevanje naslovov in izolacijo. Karkoli izberete, nekdo zunaj tega VM mora soglašati.
Kaj vsaka zasnova zahteva od navideznega omrežja
Zasnovi se razlikujeta v tem, kaj mora navidezno omrežje prenesti, in preglednica je najkrajša pot do tega:
| Zasnova | Vloga na strani gosta | Kaj mora navidezno omrežje sprejeti | Način odpovedi pri napačni izbiri |
|---|---|---|---|
| Usmerjen TUN | Usmerjevalnik med ločenimi predponami | Usmerjen nabor odjemalcev plus povratne poti na oddaljeni strani | Odjemalci dosežejo prehod in nikoli ne dosežejo storitve za njim |
| Mosten TAP | Most 2. sloja za odjemalce, ki se pridružijo | Dodatne identitete Ethernet, broadcast promet in pravila VLAN | vSwitch zavrže okvire ali zasnova zahteva promiscuous način, ki ga nihče ni odobril |
Usmerjanje pusti broadcast domeno tam, kjer je, in da naravno mesto za omejitev, katere storitve prečkajo prehod. Mostenje premakne mejo: odjemalci postanejo udeleženci razširjene domene Ethernet, dodeljevanje naslovov, izolacija in kakršna koli politika 2. sloja pa se zdaj nanašajo nanje. Zapišite izbrano vrstico v dnevnik sprememb. Stavek, kot je »usmerjen TUN, nabor odjemalcev 10.90.0.0/24, povratna pot na jedru«, prepreči naslednjemu inženirju, da bi znova razpravljal o zasnovi iz nastavitev skupine vrat.
Kdo sme videti čigave okvire
Preden se dotaknete skupine vrat, lastniku platforme postavite eno vprašanje: ali zasnova zahteva, da ta VM prejema okvire, naslovljene na druge udeležence? Če je odgovor ne, v tem razdelku nič ne velja, ker usmerjen TUN nikoli ne potrebuje te vidnosti. Če je odgovor da, je Broadcomovo navodilo o promiscuous načinu tisto branje, ki šteje: pojasnjuje, koliko več vSwitcha VM vidi, in priporoča, da se ta politika omeji na eno skupino vrat.
To obravnavajte kot preveritev zahteve, ne kot dovoljenje. Vklopite nastavitev za eno namensko povezavo, ko je potreba po mostu zapisana, povsod drugje pa jo pustite izklopljeno. Širok VLAN trunk, kopiran iz drugega primera mostu, je del, ki se ga nihče ne spomni odstraniti, zasnova z enim VLAN pa bi morala ostati z enim VLAN.
Zabeležite, katera skupina vrat se je spremenila in zakaj, na istem mestu, kjer ste zapisali vrstico zasnove. Prav ta par omogoča naslednjo revizijo.
Ohranite objekte gosta izrecne
V Linuxu sta članstvo v mostu in lastništvo naslova ločena objekta, njuno mešanje pa povzroči zmedeno napol delujoče stanje. Dodelite naslove vmesniku mostu ali usmerjenemu tunelu, ne obema stranema iste poti, in članske vrata ohranite brez konfiguracije IP.
Izogibajte se temu, da bi eno podomrežje neodvisno postavili na usmerjen TUN in na nepovezan vmesnik Ethernet. Takšna konfiguracija ustvari dve poti do iste predpone, asimetrične odgovore in nit za podporo o flapping, ki ne omenja nobene od poti. Če gost gosti tudi vsebnike ali lokalni hipervizor, preverite, da se ti ne mostijo že v isti uplink. Dva mostova na eni NIC sta zasnova, ne nesreča, ki bi jo radi odkrili v oknu sprememb.
Potrdite s potjo paketa, ne s ping
Preverite dejansko pot, ne le dosegljivosti. Od odjemalca potrdite, kateri izvorni naslov prispe do oddaljene storitve, nato da se odgovor vrne po isti poti. Na gostu preverite števce posredovanja za določen tok, na skupini vrat pa potrdite, da ni bila omogočena dodatna vidnost preko tiste, ki jo zahteva izbrana zasnova.
Na koncu preizkusite smer odpovedi. Ustavite tunel ali odklopite odjemalca in preverite, da promet tiho ne pade na usmerjeno pot, za katero ste mislili, da ni uporabljena, ker prav ta padec je način, kako mostena zasnova tiho postane nenamerni usmerjevalnik.