VPN bisita sa ESXi: routing o bridging — magpasya bago ang port group
Ang rutang TUN ay nangangailangan ng return routes; ang naka-bridge na TAP ay nangangailangan ng abot ng layer 2 at mas malawak na patakaran ng port group. Itakda ang papel bago palawakin ang promiscuous mode.
I-route ang mga packet o palawakin ang Ethernet domain: ang pagbabago ng port group ay sumusunod sa pagpiling iyon. Mula sa aplikasyong may pribadong address ang mga resulta ay maaaring magmukhang pareho, samantalang ang mga pangangailangan ng hypervisor ay lubos na magkaiba. Kaya nga ang port group ay pinalalawak muna at ang tanong sa disenyo ay sinasagot mamaya, karaniwang pagkatapos ng broadcast storm. Dumaan sa mga pagsusuring ito nang sunud-sunod at huminto habang malabo pa ang pangangailangan, dahil walang setting ng port group ang nag-aayos ng disenyong hindi kailanman pinili.
Ang desisyon ay pag-aari ng may-ari ng serbisyo; ang configuration ng hypervisor ay dapat magpatupad nito, hindi aksidenteng magpasiya nito.
Suriin kung ano talaga ang kailangan ng malayong dulo
Ilista ang mga serbisyong kailangang maabot ng malalayong kliyente at ang mga protocol na ginagamit nila. Kung ang listahan ay kakaunting serbisyong TCP sa kilalang prefix, sapat na ang routing. Kung may bagay na talagang nangangailangan ng layer 2 adjacency — pagtuklas na umaasa sa broadcast, mga protocol na hindi IP, aparatong hindi tumatanggap ng gateway — hindi ito maaaring gayahin ng routing at dapat sabihin ito nang maaga. Maging tapat sa mga non-IP entry sa listahang iyon, dahil doon tahimik na nabibigo ang rutang disenyo makalipas ang isang linggo.
Pagkatapos suriin ang pool ng kliyente. Ang rutang disenyo ay nangangailangan ng hanay ng address at malinaw na return route sa malayong panig; ang naka-bridge na disenyo ay nangangailangan na ang pinalawak na Ethernet domain ang may pag-aari ng paglalaan ng address at paghihiwalay. Anuman ang piliin mo, may tao sa labas ng VM na ito na dapat sumang-ayon.
Ano ang hinihingi ng bawat disenyo sa virtual network
Nagkaiba ang dalawang disenyo sa kung ano ang dapat tiisin ng virtual network, at ang talahanayan ang pinakamaikling paraan upang makita iyon:
| Disenyo | Papel sa panig ng bisita | Ano ang dapat tanggapin ng virtual network | Modo ng pagkabigo kung mali ang pili |
|---|---|---|---|
| Rutang TUN | Router sa pagitan ng magkahiwalay na prefix | Rutang pool ng kliyente at mga return path sa malayong panig | Naabot ng mga kliyente ang gateway at hindi kailanman naabot ang serbisyo sa likod nito |
| Naka-bridge na TAP | Bridge ng layer 2 para sa mga kliyenteng sumasali | Karagdagang pagkakakilanlang Ethernet, trapikong broadcast at mga tuntunin ng VLAN | Itinatapon ng vSwitch ang mga frame, o ang disenyo ay nangangailangan ng promiscuous mode na walang sinumang nag-apruba |
Iniiwan ng routing ang broadcast domain kung nasaan ito at nagbibigay ng natural na lugar upang limitahan kung aling mga serbisyo ang tumatawid sa gateway. Inililipat ng bridging ang hangganan: nagiging kalahok ang mga kliyente sa pinalawak na Ethernet domain, at ang paglalaan ng address, paghihiwalay at anumang patakaran ng layer 2 ay nalalapat na sa kanila. Isulat ang piniling hilera sa talaan ng pagbabago. Ang pangungusap na tulad ng «Rutang TUN, pool ng kliyente 10.90.0.0/24, return route sa core» ay pumipigil sa susunod na inhinyero na muling pagtalunan ang disenyo mula sa mga setting ng port group.
Sino ang dapat papayagang makakita ng mga frame ng kanino
Tanungin ang may-ari ng platform ng isang tanong bago hawakan ang port group: kailangan ba ng disenyo na ang VM na ito ay tumanggap ng mga frame na nakaindika sa ibang kalahok? Kung ang sagot ay hindi, wala sa seksyong ito ang nalalapat, dahil ang rutang TUN ay hindi kailanman nangangailangan ng visibility na iyon. Kung ang sagot ay oo, ang gabay ng Broadcom tungkol sa promiscuous mode ang pagbasang mahalaga: ipinapaliwanag nito kung gaano karami pa ng vSwitch ang nakikita ng VM at inirerekomenda ang paglimita ng patakarang iyon sa isang port group.
Ituring ito na pagsusuri ng pangangailangan, hindi permit. I-on ang setting para sa isang nakalaang attachment kapag nakasulat na ang pangangailangan sa bridge, at iwanan itong patay sa lahat ng ibang lugar. Ang malawak na VLAN trunk na kinopya mula sa ibang halimbawa ng bridge ang bahaging walang nakakaalala na alisin, at ang disenyong may isang VLAN ay dapat manatiling isang VLAN.
Itala kung aling port group ang nagbago at bakit, sa parehong lugar kung saan isinulat ang hilera ng disenyo. Ang pares na iyon ang nagpapabuti sa susunod na audit.
Panatilihing malinaw ang mga object ng bisita
Sa loob ng Linux, ang pagiging miyembro ng bridge at pagmamay-ari ng address ay magkahiwalay na object, at ang paghahalo sa kanila ay lumilikha ng nakakalitong kalahating-gumaganang estado. Italaga ang mga address sa interface ng bridge o sa rutang tunnel, hindi sa magkabilang panig ng parehong landas, at panatilihing walang IP configuration ang mga miyembrong port.
Iwasang ilagay ang isang subnet nang hiwalay sa rutang TUN at sa walang kaugnayang Ethernet interface. Ang configuration na iyon ay gumagawa ng dalawang landas patungo sa parehong prefix, asymmetric na mga tugon at isang thread ng suporta tungkol sa flapping na hindi binabanggit ang alinman sa mga landas. Kung ang bisita ay nagho-host din ng mga container o lokal na hypervisor, tiyakin na hindi pa sila naka-bridge sa parehong uplink. Dalawang bridge sa isang NIC ay isang disenyo, hindi isang aksidenteng gusto mong matuklasan habang may change window.
Kumpirmahin sa landas ng packet, hindi sa ping
Beripikahin ang aktwal na landas, hindi lang ang abot. Mula sa kliyente, kumpirmahin kung aling source address ang dumarating sa malayong serbisyo, pagkatapos ay kumpirmahin na ang tugon ay bumabalik sa parehong daan. Sa bisita, tingnan ang mga forwarding counter para sa partikular na flow, at sa port group kumpirmahin na walang karagdagang visibility na pinagana lampas sa kailangan ng piniling disenyo.
Sa huli, subukan ang direksyon ng pagkabigo. Itigil ang tunnel o tanggalin ang kliyente at tiyakin na ang trapiko ay hindi tahimik na bumabagsak sa rutang landas na inakala mong hindi ginagamit, dahil ang pagbagsak na iyon ang paraan ng tahimik na pagiging hindi sinasadyang router ng naka-bridge na disenyo.