Kuidas seadistada võrku ja VLAN-i pühendatud serveris Hetzner ja Mikrotik

Kuna oled kokku puutunud küsimustega ja läbinud suure koguse dokumentatsiooni, püüa süsteematiseerida ja kirja panna, mida oled õppinud, et seda paremini meeles pidada. Samuti tee selle teemaga seoses juhend, et mitte korduvalt sama teed minna.

Algne dokumentatsioon on saadaval suures koguses https://forum.proxmox.com https://wiki.hetzner.de

Ülesande seadmine

Klient soovib ühendada mitu renti võetud serverit üheks võrguks, et vältida vajadust maksta mitme täiendava alamvõrgu eest, kujundada kogu oma infrastruktuuri ruuteri taha, määrata neile sisemised kohalikke aadresse ning kaitsta neid tulemüüriga. Nii saab kogu teenindustrafik liikuda VLAN-is. Lisaks tuleb virtuaalmasinad vanalt serverilt uuele üle viia ja seega vanast loobuda, uuendada kasutatud vana riistvara ning samas kolida värskesse Proxmoxisse.

Algselt on kliendil 5 serverit, igal ühel on oma täiendav alamvõrk, esimene aadress määratakse Proxmoxi täiendavale sillale eraldatud alamvõrgust.

Selle juures töötavad VM-id Windowsis ja neil on seadistatud aadress 85.x.x.177/29 koos värava 85.x.x.176-ga.
Ja sarnasel põhimõttel on seadistatud kõik 5 serverit koos oma virtuaalmasinatega.

Naljakas on see, et see konfiguratsioon on võrguseadistuses põhimõtteliselt vale, kasutades võrgu aadressi esimesena sõlmena ja sama ka väravana. Kui sellist konfiguratsiooni proovida virtuaalses masinas Ubuntu-s, siis võrk ei toimi.
 

Rakendamine

• Loome vSwitchi liideses, määrame sellele VlanID, lisame selle vSwitchi kõikidele vajalikutele serveritele.

• Teeme testserveri, et saaksime seadistada ja kolida probleemideta.

Tõuseme esimesena virtuaalmasinana chr Proxmoxi juhendi järgi.

Kui kasutate antud skripti, pöörake tähelepanu, et alguses kontrollitakse, kas kaust -d /root/temp on olemas, ja kui seda ei ole, luuakse kaust /home/root/temp, kuid töö käib ikkagi kaustas /root/temp. Skripti tuleb parandada, et luua vastav kaust.

• Seadistame võrgu Proxmoxile.

Lisame alamliidese VLAN numbri, märkides, et aadresside seadistus toimub sildade peal inet manual. OLULINE. IP-aadresse ei tohi seadistada liidestes, mida siis soovite silda lisada, kuidas see töötab ja kas see üldse töötab, on kellelegi teadmata.

Seejärel loome sild vmbr0 – ja paneme sellele esimese aadressi serveri, mille meie peateemal Hetznerilt välja andis, määrates silla port – esimene füüsiline liides ilma VLAN-ita ning samuti anname täiendava käsu meie lisavõrgu marsruudi lisamiseks, mis on tellitud Hetznerilt selle serveri jaoks läbi selle silla. Marsruudi lisamine töötab, kui liides tõuseb.

Teiseks sillaks meie jaoks on kohaliku liikluse liides, lisame sellele aadressi, et tagada ühendus Proxmoxi erinevate serverite vahel kohaliku võrgu kaudu ilma internetti minemata ja määrame portsabini liidese eno1.4000, mis on eraldatud meie VlanID jaoks.
Algse seadistuse puhul tullakse ette nõuannetega, et Proxmoxi jaoks võib lisada täiendava paketi ifupdown2 ja et serveri võrgu liideste muutmisel ei pea kogu serverit taaskäivitama. Kuid see on iseloomulik ainult esialgsele seadistusele ja kui kasutate sildu ja seadistate juba virtuaalmasinaid, siis seisate silmitsi probleemidega, et võrk virtuaalmasinates kukub ära. Kui te olete näiteks muutnud liidest vmbr2, siis konfiguratsiooni rakendamisel kukub võrk välja kõikidel sise-liidestel ja ei tõuse üles enne, kui server täielikult taaskäivitub. ifdown && ifup ei aita. Kui kellelgi on lahendus – oleksin tänulik.

Esimene seadistatud liides serveris jääb töövõimeliseks ja ligipääsetavaks.

• Aadressi määramine CHR-e jaoks, et mitte kaotada aadresse aadresside grupist.
  Hetzneri välja antud aadresside grupp näeb võrguhalduritele üsna imelik välja, umbes nii:

  

Imelik on see, et väravaks pakutakse kasutada füüsilise serveri oma aadressi.

Klassikaline variant, mille Hetzner ise pakub, on esitatud ülesande määratlemisel ja klient on selle iseseisvalt reaalsuseks teinud. Selles variandis kaotab klient esimese aadressi võrgu aadressiks, teise aadressiga sillal proxmoxi ja see on samuti värav ning viimane aadress on raadiosagedus. IPv4 aadressid ei ole üleliigsed. Kui proovite otseselt määrata CHR-ile IP-aadressi 136.x.x.177/29 ja väravat 0.0.0.0/0 148.x.x.165, siis saate seda teha, kuid värav ei ole otseühendatud ja seetõttu on see saavutatav.

Probleemist saab välja tulla, kui kasutada 32-aadressilisi alamvõrke iga aadressi jaoks ja määrata võrguna vajalik aadress, mis võib olla ükskõik milline. Saame analoogilise point-to-point ühenduse.

Sellest juhul on värav loomulikult saadaval ja kõik töötab nii, nagu me soovime.
Arvestage, et sellises konfiguratsioonis ei soovitata kasutada SRC-NAT masquerade reeglit, kuna väljundiaadress võib olla määratlemata, on õigem kasutada action: src-NAT ja täpset aadressi, kust te klienti välja lasete.

• Ja lõpuks.
  Proxmoxi internetist ligipääsu blokeerimiseks kasutage sisseehitatud vahendeid: seal on suurepärane tulemüür.

Ärge kasutage hetzneri pakutavat tulemüüri, et mitte segadusse minna seadistuste asukohta. Samuti mõjutab hetzner kõiki võrke, sealhulgas neid, mis on loodud CHR-ile ja portide avamiseks ja edastamiseks peab olema avatud ka teenusepakkuja veebiliideses.

Allikas: habr.com