VPN khách trên ESXi: định tuyến hay bắc cầu — quyết định trước nhóm cổng

Định tuyến gói tin hoặc mở rộng miền Ethernet: thay đổi nhóm cổng diễn ra sau lựa chọn đó. Từ góc nhìn của một ứng dụng có địa chỉ riêng, kết quả có thể trông giống hệt nhau, trong khi yêu cầu của hypervisor hoàn toàn khác. Vì vậy nhóm cổng được mở rộng trước và câu hỏi thiết kế được trả lời sau, thường là sau một cơn bão broadcast. Hãy thực hiện các kiểm tra này theo thứ tự và dừng lại khi yêu cầu vẫn còn mơ hồ, vì không cấu hình nhóm cổng nào sửa được một thiết kế chưa từng được chọn.

Quyết định thuộc về chủ sở hữu dịch vụ; cấu hình hypervisor phải thực thi nó, không được vô tình quyết định thay.

Kiểm tra xem đầu xa thực sự cần gì

Liệt kê các dịch vụ mà máy khách từ xa phải tiếp cận và các giao thức họ dùng. Nếu danh sách là vài dịch vụ TCP trên các tiền tố đã biết, định tuyến là đủ. Nếu có thứ thực sự cần sự kề cận lớp 2 — khám phá phụ thuộc broadcast, giao thức không phải IP, thiết bị không chấp nhận cổng — định tuyến không thể mô phỏng và cần nói sớm. Hãy trung thực về các mục không phải IP trong danh sách đó, vì đó là nơi thiết kế định tuyến thất bại âm thầm một tuần sau.

Sau đó kiểm tra nhóm máy khách. Thiết kế định tuyến cần một dải địa chỉ và tuyến trả về rõ ràng ở phía xa; thiết kế bắc cầu cần miền Ethernet mở rộng sở hữu việc cấp địa chỉ và cách ly. Dù chọn gì, ai đó bên ngoài VM này phải đồng ý.

Mỗi thiết kế yêu cầu gì từ mạng ảo

Hai thiết kế khác nhau ở chỗ mạng ảo phải chịu đựng điều gì, và bảng là cách ngắn nhất để thấy điều đó:

Định tuyến giữ miền broadcast ở nguyên chỗ và cho một nơi tự nhiên để giới hạn dịch vụ nào đi qua cổng. Bắc cầu dịch chuyển ranh giới: máy khách trở thành người tham gia miền Ethernet mở rộng, và việc cấp địa chỉ, cách ly cùng mọi chính sách lớp 2 nay áp dụng cho họ. Ghi dòng đã chọn vào hồ sơ thay đổi. Một câu như «TUN định tuyến, nhóm máy khách 10.90.0.0/24, tuyến trả về trên lõi» ngăn kỹ sư tiếp theo tranh luận lại thiết kế từ các cài đặt nhóm cổng.

Ai nên được xem khung của ai

Hỏi chủ nền tảng một câu trước khi chạm vào nhóm cổng: thiết kế có yêu cầu VM này nhận các khung gửi đến người tham gia khác không? Nếu câu trả lời là không, không có gì trong phần này áp dụng, vì TUN định tuyến không bao giờ cần khả năng hiển thị đó. Nếu câu trả lời là có, hướng dẫn của Broadcom về chế độ promiscuous là tài liệu cần đọc: nó giải thích VM nhìn thấy bao nhiêu phần của vSwitch và khuyến nghị giới hạn chính sách đó trong một nhóm cổng.

Hãy coi đây là kiểm tra yêu cầu, không phải giấy phép. Bật cài đặt cho một kết nối chuyên dụng khi nhu cầu bắc cầu đã được ghi lại, và để tắt ở mọi nơi khác. Một trunk VLAN rộng sao chép từ ví dụ cầu khác là phần không ai nhớ gỡ bỏ, và thiết kế một VLAN nên giữ nguyên một VLAN.

Ghi lại nhóm cổng nào đã thay đổi và vì sao, tại cùng nơi đã ghi dòng thiết kế. Chính cặp đó làm cho lần kiểm toán tiếp theo khả thi.

Giữ các đối tượng của khách rõ ràng

Bên trong Linux, tư cách thành viên cầu và quyền sở hữu địa chỉ là các đối tượng riêng, và việc trộn chúng gây ra trạng thái nửa hoạt động khó hiểu. Gán địa chỉ cho giao diện cầu hoặc đường hầm định tuyến, không gán cho cả hai phía của cùng một đường, và giữ các cổng thành viên không có cấu hình IP.

Tránh đặt một mạng con độc lập trên TUN định tuyến và trên giao diện Ethernet không liên quan. Cấu hình đó tạo ra hai đường đến cùng một tiền tố, phản hồi không đối xứng và một luồng hỗ trợ về flapping không đề cập đến đường nào. Nếu khách cũng lưu trữ container hoặc hypervisor cục bộ, hãy kiểm tra rằng chúng chưa bắc cầu vào cùng uplink. Hai cầu trên một NIC là thiết kế, không phải tai nạn bạn muốn phát hiện trong cửa sổ thay đổi.

Xác nhận bằng đường đi gói, không phải ping

Xác minh đường đi thực tế, không chỉ khả năng tiếp cận. Từ máy khách, xác nhận địa chỉ nguồn nào đến dịch vụ xa, rồi xác nhận phản hồi quay lại cùng đường. Trên khách, kiểm tra bộ đếm chuyển tiếp cho luồng cụ thể, và trên nhóm cổng xác nhận không bật khả năng hiển thị bổ sung vượt quá nhu cầu của thiết kế đã chọn.

Cuối cùng, kiểm tra hướng lỗi. Dừng đường hầm hoặc ngắt máy khách và kiểm tra rằng lưu lượng không âm thầm rơi vào một đường định tuyến mà bạn tưởng là không dùng, vì sự rơi đó chính là cách thiết kế bắc cầu âm thầm trở thành bộ định tuyến ngoài ý muốn.