VPN vizitori në ESXi: rrugëzim apo urë — vendosni para grupit të porteve
Një TUN i rrugëzuar kërkon rrugë kthimi; një TAP i urëzuar kërkon arritje të shtresës 2 dhe një politikë më të gjerë të grupit të porteve. Përcaktoni rolin përpara se të zgjeroni regjimin promiscuous.
Rrugëzoni paketat ose zgjeroni domenin Ethernet: ndryshimi i grupit të porteve vjen pas kësaj zgjedhjeje. Nga këndvështrimi i një aplikacioni me adresë private rezultatet mund të duken identike, ndërsa kërkesat e hipervizorit nuk ngjajnë fare. Prandaj grupi i porteve zgjerohet i pari dhe pyetja e dizajnit përgjigjet e dyta, zakonisht pas një stuhie broadcast. Kaloni këto kontrolle sipas radhës dhe ndaloni sa kohë kërkesa është ende e paqartë, sepse asnjë cilësim i grupit të porteve nuk rregullon një dizajn që nuk u zgjodh kurrë.
Vendimi i takon pronarit të shërbimit; konfigurimi i hipervizorit duhet ta zbatojë, jo ta përcaktojë rastësisht.
Kontrolloni çfarë i duhet vërtet skajit të largët
Listoni shërbimet që klientët e largët duhet të arrijnë dhe protokollet që përdorin. Nëse lista është disa shërbime TCP mbi prefikse të njohura, rrugëzimi e mbulon. Nëse diçka kërkon vërtet afërsi të shtresës 2 — zbulim që varet nga broadcast, protokolle jo-IP, një pajisje që nuk pranon një portë — rrugëzimi nuk mund ta imitojë dhe kjo duhet thënë herët. Jini të sinqertë për zërat jo-IP në atë listë, sepse aty një dizajn i rrugëzuar dështon në heshtje një javë më vonë.
Më pas kontrolloni grupin e klientëve. Një dizajn i rrugëzuar kërkon një interval adresash dhe një rrugë kthimi të qartë në anën e largët; një dizajn i urëzuar kërkon që domeni i zgjeruar Ethernet të zotërojë shpërndarjen e adresave dhe izolimin. Çfarëdo që të zgjidhni, dikush jashtë këtij VM duhet ta pranojë.
Çfarë kërkon secili dizajn nga rrjeti virtual
Dy dizajnet ndryshojnë në atë që rrjeti virtual duhet të përballojë, dhe tabela është mënyra më e shkurtër për ta parë:
| Dizajn | Roli në anën e vizitorit | Çfarë duhet të absorbojë rrjeti virtual | Mënyra e dështimit nëse zgjidhni gabim |
|---|---|---|---|
| TUN i rrugëzuar | Ruter midis prefikseve të ndara | Një grup klientësh i rrugëzuar plus rrugë kthimi në anën e largët | Klientët arrijnë portën dhe nuk arrijnë kurrë shërbimin pas saj |
| TAP i urëzuar | Urë e shtresës 2 për klientët që bashkohen | Identitete shtesë Ethernet, trafik broadcast dhe rregulla VLAN | vSwitch hedh kornizat, ose dizajni kërkon një regjim promiscuous që askush nuk e miratoi |
Rrugëzimi e lë domenin broadcast aty ku është dhe jep një vend natyror për të kufizuar cilat shërbime kalojnë portën. Ura e zhvendos kufirin: klientët bëhen pjesëmarrës në domenin e zgjeruar Ethernet, dhe shpërndarja e adresave, izolimi dhe çdo politikë e shtresës 2 tani zbatohen për ta. Shkruani rreshtin e zgjedhur në regjistrin e ndryshimeve. Një fjali si «TUN i rrugëzuar, grup klientësh 10.90.0.0/24, rrugë kthimi në bërthamë» pengon inxhinierin tjetër të rihapë debatin për dizajnin nga cilësimet e grupit të porteve.
Kush duhet të lejohet të shohë kornizat e kujt
Bëni një pyetje pronarit të platformës përpara se të prekni grupin e porteve: a kërkon dizajni që ky VM të marrë korniza të adresuara për pjesëmarrës të tjerë? Nëse përgjigjja është jo, asgjë në këtë seksion nuk zbatohet, sepse një TUN i rrugëzuar nuk ka kurrë nevojë për atë dukshmëri. Nëse përgjigjja është po, atëherë udhëzuesi i Broadcom për regjimin promiscuous është leximi që ka rëndësi: shpjegon sa më shumë i vSwitch VM-ja mund të shohë dhe rekomandon kufizimin e asaj politike në një grup të vetëm portesh.
Trajtojeni këtë si kontroll kërkese, jo si leje. Aktivizoni cilësimin për një lidhje të dedikuar kur nevoja për urë është shkruar, dhe lëreni të fikur kudo tjetër. Një trunk VLAN i gjerë i kopjuar nga një shembull tjetër ure është pjesa që askush nuk kujtohet ta heqë, dhe një dizajn me një VLAN duhet të mbetet me një VLAN.
Regjistroni cili grup portesh ndryshoi dhe pse, në të njëjtin vend ku shkruat rreshtin e dizajnit. Ky çift është ai që e bën të mundur auditimin e radhës.
Mbani objektet e vizitorit të qarta
Brenda Linux, anëtarësia në urë dhe pronësia e adresës janë objekte të veçanta, dhe përzierja e tyre shkakton gjendjen konfuze gjysmë-funksionale. Caktoni adresa ndërfaqes së urës ose tunelit të rrugëzuar, jo të dy anëve të së njëjtës rrugë, dhe mbani portat anëtare pa konfigurim IP.
Shmangni vendosjen e një nënrrjeti në mënyrë të pavarur në një TUN të rrugëzuar dhe në një ndërfaqe Ethernet të palidhur. Ai konfigurim prodhon dy rrugë drejt të njëjtit prefiks, përgjigje asimetrike dhe një temë mbështetjeje për flapping që nuk përmend asnjërën nga rrugët. Nëse vizitori strehon edhe kontejnerë ose një hipervizor lokal, kontrolloni që ata nuk po urazojnë tashmë në të njëjtin uplink. Dy ura në një NIC janë dizajn, jo aksident që dëshironi të zbuloni gjatë një dritareje ndryshimi.
Konfirmoni me një shteg pakete, jo me ping
Verifikoni shtegun aktual, jo vetëm arritshmërinë. Nga një klient, konfirmoni cila adresë burimi arrin në shërbimin e largët, pastaj që përgjigjja kthehet në të njëjtën rrugë. Në vizitor, kontrolloni numëruesit e përcjelljes për rrjedhën konkrete, dhe në grupin e porteve konfirmoni që nuk është aktivizuar dukshmëri shtesë përtej asaj që kërkon dizajni i zgjedhur.
Së fundi, provoni drejtimin e dështimit. Ndaloni tunelin ose shkëputni klientin dhe kontrolloni që trafiku nuk bie në heshtje në një shteg të rrugëzuar që menduat se ishte i papërdorur, sepse ai rënie është mënyra se si një dizajn i urëzuar bëhet në heshtje një ruter i paqëllimshëm.