ESXi mehmon VPN: marshrutlash yoki ko‘prik — port guruhidan oldin qaror qiling
Marshrutlangan TUN qaytish marshrutlarini talab qiladi; ko‘priklangan TAP 2-qatlam yetib borishini va kengroq port-guruh siyosatini talab qiladi. promiscuous rejimini kengaytirishdan oldin rolni belgilang.
Paketlarni marshrutlang yoki Ethernet domenini kengaytiring: port guruhining o‘zgarishi shu tanlovdan keyin keladi. Xususiy manzilga ega ilova nuqtai nazaridan natijalar bir xil ko‘rinishi mumkin, holbuki gipervizor talablari butunlay boshqacha. Shuning uchun avval port guruhi kengaytiriladi, dizayn savoliga esa ikkinchi navbatda javob beriladi, odatda broadcast bo‘ronidan keyin. Bu tekshiruvlarni tartib bilan bajaring va talab hali noaniq bo‘lganda to‘xtang, chunki hech qanday port-guruh sozlamasi hech qachon tanlanmagan dizaynni tuzatmaydi.
Qaror xizmat egasiga tegishli; gipervizor konfiguratsiyasi uni amalga oshirishi kerak, tasodifan belgilamasligi kerak.
Uzoq tomon haqiqatda nimaga muhtojligini tekshiring
Uzoqdagi mijozlar yetib borishi kerak bo‘lgan xizmatlar va ular ishlatadigan protokollarni sanab chiqing. Ro‘yxat ma’lum prefikslardagi bir nechta TCP xizmatlari bo‘lsa, marshrutlash yetarli. Agar biror narsa haqiqatan 2-qatlam qo‘shniligiga muhtoj bo‘lsa — broadcastga bog‘liq aniqlash, IP bo‘lmagan protokollar, shlyuzni qabul qilmaydigan qurilma — marshrutlash buni taqlid qila olmaydi va buni erta aytish kerak. O‘sha ro‘yxatdagi IP bo‘lmagan yozuvlar haqida halol bo‘ling, chunki marshrutlangan dizayn bir haftadan keyin aynan o‘sha yerda jimgina muvaffaqiyatsizlikka uchraydi.
Keyin mijozlar hovuzini tekshiring. Marshrutlangan dizayn manzillar diapazoni va uzoq tomonda aniq qaytish marshrutini talab qiladi; ko‘priklangan dizayn kengaytirilgan Ethernet domeni manzil taqsimoti va izolyatsiyaga ega bo‘lishini talab qiladi. Nima tanlasangiz ham, bu VM tashqarisidagi kimdir bunga rozi bo‘lishi kerak.
Har bir dizayn virtual tarmoqdan nima talab qiladi
Ikki dizayn virtual tarmoq nimaga chidashi kerakligi bilan farqlanadi va jadval buni ko‘rishning eng qisqa yo‘li:
| Dizayn | Mehmon tomonidagi rol | Virtual tarmoq nimani qabul qilishi kerak | Noto‘g‘ri tanlovdagi nosozlik usuli |
|---|---|---|---|
| Marshrutlangan TUN | Alohida prefikslar orasidagi marshrutizator | Marshrutlangan mijozlar hovuzi va uzoq tomonda qaytish yo‘llari | Mijozlar shlyuzga yetadi, lekin uning orqasidagi xizmatga hech qachon yetmaydi |
| Ko‘priklangan TAP | Qo‘shiladigan mijozlar uchun 2-qatlam ko‘prigi | Qo‘shimcha Ethernet identifikatorlari, broadcast trafigi va VLAN qoidalari | vSwitch kadrlarni tashlab yuboradi yoki dizayn hech kim tasdiqlamagan promiscuous rejimini talab qiladi |
Marshrutlash broadcast domenini joyida qoldiradi va qaysi xizmatlar shlyuzdan o‘tishini cheklash uchun tabiiy joy beradi. Ko‘priklash chegarani suradi: mijozlar kengaytirilgan Ethernet domenining ishtirokchilariga aylanadi va manzil taqsimoti, izolyatsiya hamda har qanday 2-qatlam siyosati endi ularga taalluqli. Tanlangan qatorni o‘zgartirish jurnaliga yozing. «Marshrutlangan TUN, mijozlar hovuzi 10.90.0.0/24, yadroda qaytish marshruti» kabi gap keyingi muhandisning dizaynni port-guruh sozlamalaridan qayta muhokama qilishiga yo‘l qo‘ymaydi.
Kim kimning kadrlarini ko‘rishi kerak
Port guruhiga tegishdan oldin platforma egasiga bitta savol bering: dizayn bu VM boshqa ishtirokchilarga yo‘naltirilgan kadrlarni olishini talab qiladimi? Javob yo‘q bo‘lsa, bu bo‘limda hech narsa qo‘llanilmaydi, chunki marshrutlangan TUN bunday ko‘rinishga hech qachon muhtoj emas. Javob ha bo‘lsa, promiscuous rejimi haqidagi Broadcom yo‘riqnomasi muhim o‘qish: u VM vSwitchdan qanchalik ko‘proq ko‘rishini tushuntiradi va bu siyosatni bitta port guruhi bilan cheklashni tavsiya qiladi.
Buni ruxsatnoma emas, talab tekshiruvi deb qabul qiling. Ko‘priklash zarurati yozilganda sozlamani bitta ajratilgan ulanish uchun yoqing va boshqa hamma joyda o‘chirib qo‘ying. Boshqa ko‘prik misolidan ko‘chirilgan keng VLAN trunk hech kim olib tashlashni eslaydigan qism emas, va bitta-VLAN dizayni bitta-VLAN bo‘lib qolishi kerak.
Qaysi port guruhi o‘zgarganini va nima uchun, dizayn qatorini yozgan joyning o‘zida qayd eting. Aynan shu juftlik keyingi auditni amalga oshirish imkonini beradi.
Mehmon obyektlarini aniq saqlang
Linux ichida ko‘prik a’zoligi va manzil egaligi alohida obyektlardir, ularni aralashtirish chalg‘ituvchi yarim ishlaydigan holatni keltirib chiqaradi. Manzillarni ko‘prik interfeysi yoki marshrutlangan tunnelga bering, bitta yo‘lning ikki tomoniga emas, va a’zo portlarni IP konfiguratsiyasidan xoli saqlang.
Bitta subnetni mustaqil ravishda marshrutlangan TUN va aloqasiz Ethernet interfeysiga qo‘yishdan saqlaning. Bunday konfiguratsiya bir prefiksga ikki yo‘l hosil qiladi, assimetrik javoblar va flapping haqidagi qo‘llab-quvvatlash mavzusi ikkala yo‘lni ham eslatmaydi. Agar mehmon konteynerlar yoki mahalliy gipervizorni ham joylashtirsa, ular allaqachon o‘sha uplinkka ko‘priklanmaganini tekshiring. Bitta NICda ikki ko‘prik dizayn, o‘zgartirish oynasida topishni xohlamaydigan baxtsiz hodisa emas.
ping bilan emas, paket yo‘li bilan tasdiqlang
Faqat yetib borishni emas, haqiqiy yo‘lni tekshiring. Mijozdan qaysi manba manzili uzoq xizmatga yetib borishini, so‘ng javob o‘sha yo‘l bilan qaytishini tasdiqlang. Mehmon tomonida aniq oqim uchun uzatish hisoblagichlarini, port guruhida esa tanlangan dizayn talab qilganidan ortiq ko‘rinish yoqilmaganini tasdiqlang.
Nihoyat, nosozlik yo‘nalishini sinab ko‘ring. Tunnelni to‘xtating yoki mijozni uzib qo‘ying va trafik foydalanilmayapti deb o‘ylagan marshrutlangan yo‘lga jimgina tushmasligini tekshiring, chunki aynan shu tushish ko‘priklangan dizaynni jimgina tasodifiy marshrutizatorga aylantiradi.