{"id":73232,"date":"2020-03-08T08:42:18","date_gmt":"2020-03-08T05:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vxlan-v-nsx-v-trablshutim-underlay"},"modified":"2020-03-08T08:42:18","modified_gmt":"2020-03-08T05:42:18","slug":"vxlan-v-nsx-v-trablshutim-underlay","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/vxlan-v-nsx-v-trablshutim-underlay","title":{"rendered":"VXLAN a NSX-V-ben \u2014 hibaelh\u00e1r\u00edt\u00e1s underlay","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00dcdv\u00f6zl\u00f6m, \u00e9s el\u0151sz\u00f6r is egy kis l\u00edra. N\u00e9ha irigylem a t\u00e1voli munk\u00e1t v\u00e9gz\u0151 koll\u00e9g\u00e1kat \u2014 milyen csod\u00e1latos dolog, hogy a vil\u00e1g b\u00e1rmely pontj\u00e1r\u00f3l, ami Internet kapcsolatra csatlakozik, dolgozhatsz, b\u00e1rmikor szabads\u00e1got vehetsz ki, projektfelel\u0151ss\u00e9ggel \u00e9s hat\u00e1rid\u0151kkel rendelkezel, ahelyett, hogy 8-t\u00f3l 17-ig az irod\u00e1ban \u00fcln\u00e9l. Az \u00e9n poz\u00edci\u00f3m \u00e9s a munkak\u00f6ri k\u00f6telezetts\u00e9geim gyakorlatilag lehetetlenn\u00e9 teszik a hossz\u00fa t\u00e1v\u00fa t\u00e1voll\u00e9tet az adatk\u00f6zpontb\u00f3l. Azonban id\u0151nk\u00e9nt vannak \u00e9rdekes esetek, hasonl\u00f3an az al\u00e1bbihoz \u2014 \u00e9s meg\u00e9rtem, hogy kev\u00e9s olyan poz\u00edci\u00f3 l\u00e9tezik, ahol ilyen szabad teret kap a bels\u0151 troubleshooter kreat\u00edv kifejez\u00e9se.
\n<\/a><\/noindex>
\nKis diszklaimer \u2013 a cikk \u00edr\u00e1s\u00e1nak id\u0151pontj\u00e1ban az eset teljesen nem megoldott, de figyelembe v\u00e9ve a szolg\u00e1ltat\u00f3k v\u00e1laszidej\u00e9t, a teljes megold\u00e1s m\u00e9g h\u00f3napokat is ig\u00e9nybe vehet, m\u00edg a tapasztalataimat m\u00e1r most szeretn\u00e9m megosztani. Rem\u00e9lem, tisztelt olvas\u00f3k, megbocs\u00e1tj\u00e1k nekem ezt a siets\u00e9get. De el\u00e9g a vizet, mi a helyzet az esettel? <\/p>\n

El\u0151sz\u00f6r is a bevezet\u00e9s: van egy c\u00e9g (ahol h\u00e1l\u00f3zati m\u00e9rn\u00f6kk\u00e9nt dolgozom), amely \u00fcgyf\u00e9lmegold\u00e1sokat hostol priv\u00e1t VMWare felh\u0151ben. A legt\u00f6bb \u00faj megold\u00e1s VXLAN szegmensekhez csatlakozik, amelyeket az NSX-V kezel \u2013 nem fogom \u00e9rt\u00e9kelni, mennyi id\u0151t nyertem ezzel a megold\u00e1ssal, r\u00f6viden sz\u00f3lva \u2013 sokat. M\u00e9g a koll\u00e9g\u00e1k NSX ESG be\u00e1ll\u00edt\u00e1s\u00e1ra is siker\u00fclt tan\u00edtani, \u00e9s kis \u00fcgyf\u00e9lmegold\u00e1sok z\u00f6kken\u0151mentesen val\u00f3sulnak meg r\u00e9szv\u00e9telem n\u00e9lk\u00fcl. Fontos megjegyz\u00e9s \u2013 a control plane unicast-replik\u00e1ci\u00f3n alapul. A hipervizorok redund\u00e1nsan kapcsol\u00f3dnak k\u00e9t interf\u00e9szen kereszt\u00fcl k\u00fcl\u00f6nb\u00f6z\u0151 Juniper QFX5100 fizikai switch-ekhez (Virtual Chassis-be \u00f6ssze\u00e1ll\u00edtva) \u00e9s a route based on originating virtual port id\u0151z\u00edt\u00e9si politik\u00e1j\u00e1val \u2013 ez az\u00e9rt van, hogy teljes legyen a k\u00e9p.<\/p>\n

Az \u00fcgyf\u00e9lmegold\u00e1sok nagyon v\u00e1ltozatosak: a Windows IIS-t\u0151l, ahol minden webkiszolg\u00e1l\u00f3 komponens egy g\u00e9pen van telep\u00edtve, eg\u00e9szen a viszonylag nagyokig \u2013 p\u00e9ld\u00e1ul load-balanced Apache webfrontok + LB MariaDB Galera-ban + megoszt\u00f3 kiszolg\u00e1l\u00f3k, amelyeket GlusterFS seg\u00edts\u00e9g\u00e9vel szinkroniz\u00e1lnak. Gyakorlatilag minden szervert k\u00fcl\u00f6n kell figyelni, \u00e9s nem minden komponensnek van nyilv\u00e1nos c\u00edme \u2013 ha \u00d6n m\u00e1r tal\u00e1lkozott ezzel a feladattal, \u00e9s van eleg\u00e1nsabb megold\u00e1sa, \u00f6r\u00f6mmel fogadom a tan\u00e1csait.
\nAz \u00e9n megfigyel\u00e9si megold\u00e1som a t\u0171zfal (Fortigate) \"csatlakoztat\u00e1s\u00e1n\" alapul minden bels\u0151 \u00fcgyf\u00e9lh\u00e1l\u00f3zathoz (+SNAT, \u00e9s term\u00e9szetesen a megengedett forgalom t\u00edpus\u00e1ra vonatkoz\u00f3 szigor\u00fa korl\u00e1toz\u00e1sok) \u00e9s a bels\u0151 c\u00edmek figyel\u00e9s\u00e9n. Ezzel el\u00e9rhet\u0151 egyfajta egys\u00e9ges\u00edt\u00e9s \u00e9s a megfigyel\u00e9s egyszer\u0171s\u00edt\u00e9se. Maga a megfigyel\u00e9s a PRTG szerver klaszterb\u0151l t\u00f6rt\u00e9nik. A megfigyel\u00e9s v\u00e1zlata k\u00f6r\u00fclbel\u00fcl \u00edgy n\u00e9z ki:<\/p>\n

\"VXLAN
\n
\nAm\u00edg csak VLAN-okkal dolgoztunk, minden meglehet\u0151sen szokv\u00e1nyos volt \u00e9s pontosan \u00fagy m\u0171k\u00f6d\u00f6tt, mint egy \u00f3ra. A NSX-V \u00e9s VXLAN bevezet\u00e9se ut\u00e1n felmer\u00fclt a k\u00e9rd\u00e9s \u2014 lehet-e a r\u00e9gi m\u00f3don folytatni a megfigyel\u00e9st? E k\u00e9rd\u00e9s felvet\u00e9sekor a leg \"gyorsabb\" megold\u00e1s az NSX ESG telep\u00edt\u00e9se \u00e9s a VXLAN trunk interf\u00e9sz csatlakoztat\u00e1sa volt a VTEP h\u00e1l\u00f3zathoz. Gyorsnak id\u00e9z\u0151jelben, mivel a GUI haszn\u00e1lata az \u00fcgyf\u00e9lh\u00e1l\u00f3zatok, SNAT \u00e9s t\u0171zfalszab\u00e1lyok be\u00e1ll\u00edt\u00e1s\u00e1hoz b\u00e1r egys\u00e9ges\u00edti a kezel\u00e9st a vSphere egys\u00e9ges fel\u00fclet\u00e9n, de v\u00e9lem\u00e9nyem szerint meglehet\u0151sen terjedelmes \u00e9s mint minden, korl\u00e1tozza a hibakeres\u00e9shez rendelkez\u00e9sre \u00e1ll\u00f3 eszk\u00f6z\u00f6k k\u00f6r\u00e9t. Aki haszn\u00e1lta az NSX ESG-t \u201eval\u00f3di\u201d t\u0171zfal helyettes\u00edt\u00e9sek\u00e9nt, az val\u00f3sz\u00edn\u0171leg egyet\u00e9rtene. B\u00e1r tal\u00e1n egy ilyen megold\u00e1s stabilabb lenne \u2014 hiszen minden egyetlen besz\u00e1ll\u00edt\u00f3n bel\u00fcl t\u00f6rt\u00e9nik.<\/p>\n

Egy m\u00e1sik megold\u00e1s az NSX DLR h\u00edd \u00fczemm\u00f3dban val\u00f3 haszn\u00e1lata VLAN \u00e9s VXLAN k\u00f6z\u00f6tt. Itt minden vil\u00e1gos \u2014 gyakorlatilag elveszik a VXLAN haszn\u00e1lat\u00e1nak el\u0151nye \u2014 hiszen ebben az esetben ugyan\u00fagy VLAN-t kell h\u00fazni a monitoroz\u00f3 telep\u00edt\u00e9shez. Egy\u00e9bk\u00e9nt ennek a megold\u00e1snak a kidolgoz\u00e1sa sor\u00e1n tal\u00e1lkoztam egy probl\u00e9m\u00e1val, amikor a DLR-h\u00edd nem k\u00fcld\u00f6tt csomagokat a virtu\u00e1lis g\u00e9pnek, amelyik ugyanazon a hoszton volt vele. Tudom, tudom \u2014 a NSX-V k\u00f6nyvekben \u00e9s \u00fatmutat\u00f3kban egy\u00e9rtelm\u0171en le van \u00edrva, hogy az NSX Edge-nek k\u00fcl\u00f6n klaszter kell, de ez a k\u00f6nyvekben van\u2026 Ak\u00e1rhogy is, a t\u00e1mogat\u00e1ssal elt\u00f6lt\u00f6tt p\u00e1r h\u00f3nap ut\u00e1n nem oldottuk meg a probl\u00e9m\u00e1t. Az elj\u00e1r\u00e1s logik\u00e1j\u00e1t viszont meg\u00e9rtettem \u2014 a hipervizor kernel modulja, amely a VXLAN encapsul\u00e1ci\u00f3\u00e9rt felel\u0151s, nem volt haszn\u00e1latban, ha a DLR \u00e9s a megfigyelt szerver ugyanazon a hoszton tal\u00e1lhat\u00f3, mivel a forgalom nem hagyja el a hosztot, \u00e9s logikailag kapcsol\u00f3dnia kell a VXLAN szegmenshez \u2014 az encapsul\u00e1ci\u00f3 nem sz\u00fcks\u00e9ges. A t\u00e1mogat\u00e1ssal a vdrPort virtu\u00e1lis interf\u00e9szn\u00e9l \u00e1lltunk meg, amely logikailag egyes\u00edti az uplinkeket, \u00e9s \u0151 is v\u00e9gzi a h\u00eddszer\u0171s\u00e9g\/encapsul\u00e1ci\u00f3t \u2014 itt \u00e9szlelt\u00fcnk elt\u00e9r\u00e9st a bej\u00f6v\u0151 forgalomban, amelyet jelen \u00fcgyben felvettem a feldolgoz\u00e1sra. De, mint mondtam, ezt az \u00fcgyet nem fejeztem be, mivel egy m\u00e1sik projektre ir\u00e1ny\u00edtottak, \u00e9s az \u00e1g kezdetben is zs\u00e1kutca volt, \u00edgy nem volt k\u00fcl\u00f6n\u00f6sebb kedvem fejleszteni. Ha j\u00f3l eml\u00e9kszem, a probl\u00e9ma az NSX 6.1.4 \u00e9s 6.2 verzi\u00f3iban volt megfigyelhet\u0151. <\/p>\n

\u00c9s itt \u2014 bingo! A Fortinet bejelenti a nat\u00edv VXLAN t\u00e1mogat\u00e1st<\/a><\/noindex>. \u00c9s nem csak point-to-point vagy VXLAN-over-IPSec, nem szoftveres h\u00eddszer\u0171s\u00e9g VLAN-VXLAN \u2014 mindezt m\u00e1r az 5.4-es verzi\u00f3 \u00f3ta kezdt\u00e9k bevezetni (\u00e9s m\u00e1sokn\u00e1l is megjelent sz\u00e1ll\u00edt\u00f3kn\u00e1l<\/a><\/noindex>), valamint a t\u00e9nyleges t\u00e1mogat\u00e1st unicast control plane. A megold\u00e1s bevezet\u00e9sekor egy m\u00e1sik probl\u00e9m\u00e1val is szembes\u00fcltem \u2014 a megfigyel\u00e9s alatt \u00e1ll\u00f3 szerverek id\u0151nk\u00e9nt \"elt\u0171ntek\" \u00e9s ism\u00e9t megjelentek, b\u00e1r maga a virtu\u00e1lis g\u00e9p \u00e9lt. Mint kider\u00fclt, az volt a probl\u00e9ma, hogy elfelejtettem enged\u00e9lyezni a Pinget a VXLAN interf\u00e9szen. A klaszterek \u00fajraeloszt\u00e1sa sor\u00e1n a virtu\u00e1lis g\u00e9pek mozogtak, a vMotion a Pinget haszn\u00e1lta annak jelz\u00e9s\u00e9re, hogy melyik \u00faj ESXi hosztra ker\u00fclt a g\u00e9p. Ostobas\u00e1gom, de ez a probl\u00e9ma m\u00e9g egyszer al\u00e1\u00e1sotta a gy\u00e1rt\u00f3 \u2014 ebben az esetben a Fortinet \u2014 ir\u00e1nti bizalmat. M\u00e1r nem is besz\u00e9lve arr\u00f3l, hogy minden, VXLAN-nal kapcsolatos eset egy k\u00e9rd\u00e9ssel kezd\u0151dik: \"hol tal\u00e1lhat\u00f3 a be\u00e1ll\u00edt\u00e1saikban a softswitch VLAN-VXLAN?\" Most azt tan\u00e1csolt\u00e1k, hogy v\u00e1ltoztassak az MTU-n \u2014 ez a Pinghez, amely 32 b\u00e1jt. Azt\u00e1n \"j\u00e1tszogass\" a tcp-send-mss \u00e9s tcp-receive-mss \u00e9rt\u00e9kekkel a politik\u00e1ban \u2014 a VXLAN sz\u00e1m\u00e1ra, amely UDP-be van be\u00e1gyazva. Huh, bocs\u00e1nat \u2014 sok volt. Sz\u00f3val ezt a probl\u00e9m\u00e1t saj\u00e1t er\u0151b\u0151l oldottam meg. <\/p>\n

Miut\u00e1n sikeresen v\u00e9grehajtottuk a tesztforgalmat, \u00fagy d\u00f6nt\u00f6tt\u00fcnk, hogy bevezetj\u00fck ezt a megold\u00e1st. A termel\u00e9si k\u00f6rnyezetben kider\u00fclt, hogy egy-k\u00e9t nap ut\u00e1n fokozatosan minden elt\u0171nik, ami VXLAN-on kereszt\u00fcl van figyelve. Az interf\u00e9sz deaktiv\u00e1l\u00e1sa\/aktiv\u00e1l\u00e1sa seg\u00edtett, de csak id\u0151legesen. Eml\u00e9kezve a gy\u00e1rt\u00f3 t\u00e1mogat\u00e1s\u00e1nak lass\u00fas\u00e1g\u00e1ra, \u00e9n magam kezdtem el a hibaelh\u00e1r\u00edt\u00e1st \u2014 v\u00e9g\u00fcl is az \u00e9n c\u00e9gem, az \u00e9n h\u00e1l\u00f3zatom \u2014 az \u00e9n felel\u0151ss\u00e9gem. <\/p>\n

A hibaelh\u00e1r\u00edt\u00e1s menete spoiler alatt. Aki f\u00e1radt a bet\u0171kt\u0151l \u00e9s a henceg\u00e9st\u0151l \u2014 ugorjon \u00e1t, \u00e9s l\u00e9pjen a posztanal\u00edzishez.<\/p>\n

A hibaelh\u00e1r\u00edt\u00e1s menete<\/b>K\u00f6sz\u00f6n\u00f6m, hogy folytatt\u00e1k az olvas\u00e1st \u2014 folytassuk!<\/p>\n

Teh\u00e1t, a megfigyel\u00e9s egy ideig m\u0171k\u00f6dik, majd mag\u00e1t\u00f3l le\u00e1ll. Ez\u00e9rt a t\u0171zfal politik\u00e1kban val\u00f3sz\u00edn\u0171leg nincs probl\u00e9ma. Azonban, mivel kor\u00e1bban m\u00e1r szembes\u00fcltem a Fortigate 5.6+ verzi\u00f3kban l\u00e9v\u0151 rendszerfolyamatok fagy\u00e1s\u00e1nak probl\u00e9m\u00e1j\u00e1val, el\u0151sz\u00f6r a \u201ediagnose debug flow\u201d-t n\u00e9zz\u00fck \u2014 a forgalom v\u00e1rhat\u00f3an enged\u00e9lyezve van, \u00e9s elhagyja az interf\u00e9szt, \u00e9s v\u00e1rhat\u00f3an semmi sem \u00e9rkezik v\u00e1laszk\u00e9nt. Teh\u00e1t tov\u00e1bb \u00e1sunk a veremben. Sajnos el kell rejtenem a c\u00edmeket, m\u00e9g ha RFC1918-as c\u00edmekr\u0151l is van sz\u00f3, de rem\u00e9lem, hogy elegend\u0151 le\u00edr\u00e1st adok a folyamat meg\u00e9rt\u00e9s\u00e9hez. A VXLAN-on bel\u00fcli szerver c\u00edme x.x.x.15, a Fortigate interf\u00e9sze x.x.x.254, az \u00f6sszes t\u00f6bbi c\u00edm a VTEP h\u00e1l\u00f3zathoz tartozik.<\/p>\n

A VXLAN encapsulated packet transfer requires correct information in several tables. For the overlay, this includes ARP and OVSDB, while for the underlay, it also includes ARP and CAM. In the case of Fortigate, VXLAN FDB is OVSDB. Let\u2019s start there:<\/p>\n

 fortigate (root) #diag sys vxlan fdb list vxlan-LS\nmac=00:50:56:8f:3f:5a state=0x0002 flags=0x00 remote_ip=\u00fc.\u00fc.\u00fc.47 port=4789 vni=5008 ifindex=7\n<\/code><\/pre>\n
\nEverything here is quite straightforward \u2014 the MAC address of the virtual machine must be on the VTEP with the address \u00fc.\u00fc.\u00fc.47. Looking at the contents and settings of the ESXI cluster, I find that the MAC of the virtual machine is correct, and the VTEP address is also correct. I check the CAM\/ARP table on the Fortigate \u2014 once again everything matches with the settings of the ESXI host:<\/p>\n
fortigate (root) #get sys arp | grep \u00fc.\u00fc.\u00fc.47\n\u00fc.\u00fc.\u00fc.47 0 00:50:56:65:f6:2c dmz\n<\/code><\/pre>\n
\nA t\u00e1bl\u00e1zatok helyesek, \u00e9s a forgalom t\u00e1vozik \u2014 lehet, hogy a probl\u00e9ma nem a Fortigate-ben van? Sz\u00e1nd\u00e9kosan kihagytam a forgalom v\u00e1lt\u00e1s\u00e1nak elemz\u00e9s\u00e9t a Junipern\u00e9l \u2014 logikusan itt kellene folytatni a hibaelh\u00e1r\u00edt\u00e1s k\u00f6vetkez\u0151 l\u00e9p\u00e9s\u00e9t, de a h\u00e1l\u00f3zatom egyszer\u0171 \u2014 mind\u00f6ssze egy VLAN van a VTEP-hez, minden komponens k\u00f6zvetlen\u00fcl csatlakozik. Plusz eszembe jut a DLR-h\u00edd, a VDR \u00e9s a elt\u0171n\u0151 forgalom esete \u2014 snifflizni megyek az ESXi hoszton, k\u00f6zben l\u00e9trehozok egy esetet a VMWare-n\u00e9l. Az al\u00e1bbi MAC \u201e97:6e\u201d a fortihoz tartozik, a vmnic1 pedig az a fel\u00fclet, amelynek VTEP c\u00edme a.u.u.47, sniffliz\u00fcnk mindk\u00e9t ir\u00e1nyban \"\u2014dir 2\" alatt:<\/p>\n
pktcap-uw --uplink vmnic1 --vni 5008  --mac 90:6c:ac:a9:97:6e --dir 2 -o \/tmp\/monitor.pcap\n<\/code><\/pre>\n
\n\"VXLAN
\n
\nProgress \u2014 in the sniff, I see an ARP request and the incoming response. I only bring the ARP response, and everything is correct there. I didn\u2019t mention that during all this time, the monitoring server is pinging the address \u0445.\u0445.\u0445.15 \u2014 where is the ICMP traffic? I remember that I have two uplinks. One could argue that the source virtual port is the same (my teaming policy), which means that the same uplink should be chosen for the same vNIC, but since I am on the host, checking the other uplink is not a problem:<\/p>\n
pktcap-uw --uplink vmnic4 --vni 5008  --mac 90:6c:ac:a9:97:6e --dir 2 -o \/tmp\/monitor.pcap\n<\/code><\/pre>\n
\n\"VXLAN
\n
\nT\u00f6bb k\u00e9r\u00e9s \u00e9rkezik a FortiGate-t\u0151l, de v\u00e1lasz nincs. Vagyis a probl\u00e9ma nem a FortiGate-ben van. H\u00e1t mindegy \u2013 gondoltam \u2013 megint ugyanaz a probl\u00e9ma a VDR elt\u0171n\u0151 forgalm\u00e1val, megint p\u00e1r h\u00f3napig tart, am\u00edg a megfelel\u0151 ir\u00e1nyba terelgetem az \u00fcgyet. P\u00e1r nap m\u00falva lenyugodva, \u00e9s nem akarva megel\u00e9gedni a felf\u00fcggesztett \u00e1llapottal, elkezdtem m\u00e9g t\u00f6bb sniffert gy\u0171jteni a t\u00e1mogat\u00e1shoz, hogy felgyors\u00edtsam a folyamatot. \u00c9s itt a \u201ev\u00e9letlen\u00fcl\u201d a tekintetem az Ethernet kapszul\u00e1z\u00e1s alatt l\u00e9v\u0151 burkolatra t\u00e9ved. A kir\u00e1ly nem igazi \u00e9s a VTEP MAC c\u00edme nem egyezik az IP-j\u00e9vel. Alaphelyzetbe \u00e1ll\u00edtom, sniffelem, kutatom \u2013 igaz, hogy nem igaz. Itt van az ARP t\u00e1bl\u00e1zat a k\u00f6nnyebb \u00f6sszehasonl\u00edt\u00e1s \u00e9rdek\u00e9ben. K\u00e9rj\u00fck, figyeljen a legels\u0151 Ethernet kapszul\u00e1z\u00e1sra a fenti k\u00e9pen:<\/p>\n
fortigate (root) #get sys arp | grep 1.1.1.47\n1.1.1.47 0 00:50:56:65:f6:2c dmz\nfortigate (root) #get sys arp | grep 1.1.1.42\n1.1.1.42 0 00:50:56:6a:78:86 dmz\n<\/code><\/pre>\n
\nTeh\u00e1t, mit kapunk az eredm\u00e9ny\u00fcl \u2013 a virtu\u00e1lis g\u00e9p migr\u00e1l\u00e1sa ut\u00e1n a FortiGate megpr\u00f3b\u00e1lja forgalmat k\u00fcldeni a VTEP-re a (helyes) VXLAN FDB-b\u0151l, de hib\u00e1s DST MAC c\u00edmet haszn\u00e1l, \u00e9s a forgalmat v\u00e1rhat\u00f3an eldobja a hypervisor fogad\u00f3 interf\u00e9sze. R\u00e1ad\u00e1sul az esetek egy a n\u00e9gyb\u0151l ez a MAC a migr\u00e1ci\u00f3s g\u00e9pet ind\u00edt\u00f3 eredeti hypervisorhoz tartozott.<\/p>\n
Tegnap kaptam egy levelet a Fortinet t\u00e1mogat\u00e1s\u00e1t\u00f3l \u2013 az \u00fcgyemmel kapcsolatban nyitottak egy hib\u00e1t, 615586. Egy\u00e1ltal\u00e1n nem tudom, \u00f6r\u00fcljek-e vagy szomorkodjak: egyesek szerint a probl\u00e9ma nem a be\u00e1ll\u00edt\u00e1sokban van, m\u00e1sok szerint a jav\u00edt\u00e1s a legjobb esetben a k\u00f6vetkez\u0151 firmware friss\u00edt\u00e9ssel \u00e9rkezik. Az eg\u00f3m duzzasztja egy m\u00e1sik hib\u00e1t is, amelyet m\u00falt h\u00f3napban fedeztem fel, igaz, akkor az HTML5 GUI vSphere-ben. H\u00e1t, ez m\u00e1r egy helyi QA oszt\u00e1ly a sz\u00e1ll\u00edt\u00f3kt\u00f3l...<\/p>\n
Mer\u00e9szen felt\u00e9telezem a k\u00f6vetkez\u0151t:<\/p>\n
1 \u2014 a multicast vez\u00e9rl\u00e9si s\u00edk val\u00f3sz\u00edn\u0171leg nem lesz kit\u00e9ve a le\u00edrt probl\u00e9ma - hiszen a VTEP MAC c\u00edmek a csoport IP c\u00edm\u00e9b\u0151l sz\u00e1rmaznak, amelyre az interf\u00e9sz fel van iratkozva. <\/p>\n
2 \u2014 val\u00f3sz\u00edn\u0171leg a FortiGate probl\u00e9m\u00e1ja van a Network Processorra (nagyj\u00e1b\u00f3l a CEF-hez hasonl\u00f3) t\u00f6rt\u00e9n\u0151 \u00fcl\u00e9sek offloadol\u00e1s\u00e1val \u2013 ha minden csomagot a CPU-n kereszt\u00fcl enged\u00fcnk \u00e1t, akkor olyan t\u00e1bl\u00e1zatok l\u00e9pnek m\u0171k\u00f6d\u00e9sbe, amelyek tartalmazz\u00e1k a helyes \u2013 legal\u00e1bbis l\u00e1tsz\u00f3lag \u2013 inform\u00e1ci\u00f3t. Ennek a felt\u00e9telez\u00e9snek kedvez az is, hogy seg\u00edt az interf\u00e9sz lez\u00e1r\u00e1sa \/ megnyit\u00e1sa vagy n\u00e9h\u00e1ny perc v\u00e1rakoz\u00e1s \u2013 5 percn\u00e9l hosszabb. <\/p>\n
3 \u2014 a teaming politika megv\u00e1ltoztat\u00e1sa, p\u00e9ld\u00e1ul explicit failover-re, vagy a LAG bevezet\u00e9se nem oldja meg a probl\u00e9m\u00e1t, mivel a megfigyel\u00e9sek szerint a forgalom a kapszul\u00e1zott csomagokban a forr\u00e1st ad\u00f3 hypervisor MAC c\u00edm\u00e9nek \u201emegreked\u00e9s\u00e9t\u201d figyelt\u00e9k meg.<\/p>\n
Ennek f\u00e9ny\u00e9ben megoszthatom, hogy nemr\u00e9g fedeztem fel blogra<\/a><\/noindex>, ahol az egyik cikkben azt \u00e1ll\u00edtott\u00e1k, hogy a stateful t\u0171zfalak \u00e9s a cache-elt adat\u00e1tviteli m\u00f3dszerek csak ideiglenes megold\u00e1sok. Nos, nem vagyok el\u00e9g tapasztalt az IT ter\u00e9n ahhoz, hogy ilyet \u00e1ll\u00edtsak, r\u00e1ad\u00e1sul nem minden blogcikk \u00e1ll\u00edt\u00e1s\u00e1val \u00e9rtek egyet r\u00f6gt\u00f6n. De valami azt s\u00fagja, hogy van igazs\u00e1g Ivan szavaiban.<\/p>\n
K\u00f6sz\u00f6n\u00f6m a figyelmet! \u00d6r\u00f6mmel v\u00e1laszolok a k\u00e9rd\u00e9sekre \u00e9s v\u00e1rom a konstrukt\u00edv kritik\u00e1t.
\n
Forr\u00e1s: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u041f\u0440\u0438\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e, \u0438 \u0441\u043f\u0435\u0440\u0432\u0430 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043b\u0438\u0440\u0438\u043a\u0438. \u042f \u0438\u043d\u043e\u0433\u0434\u0430 \u0437\u0430\u0432\u0438\u0434\u0443\u044e \u043a\u043e\u043b\u043b\u0435\u0433\u0430\u043c, \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u043c \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u2014 \u0432\u0435\u0434\u044c \u044d\u0442\u043e \u043f\u0440\u0435\u043a\u0440\u0430\u0441\u043d\u043e \u0438\u043c\u0435\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0438\u0437 \u043b\u044e\u0431\u043e\u0433\u043e \u043a\u043e\u043d\u0446\u0430 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u0433\u043e \u043a Internet \u043c\u0438\u0440\u0430, \u043a\u0430\u043d\u0438\u043a\u0443\u043b\u044b \u0432 \u043b\u044e\u0431\u043e\u0435 \u0432\u0440\u0435\u043c\u044f, \u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0441\u0442\u044c \u0437\u0430 \u043f\u0440\u043e\u0435\u043a\u0442\u044b \u0438 \u0434\u0435\u0434\u043b\u0430\u0439\u043d\u044b, \u0430 \u043d\u0435 \u043d\u0430\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u043e\u0444\u0438\u0441\u0435 \u0441 8 \u0434\u043e 17. \u041c\u043e\u044f \u043f\u043e\u0437\u0438\u0446\u0438\u044f \u0438 \u0440\u0430\u0431\u043e\u0447\u0438\u0435 \u043e\u0431\u044f\u0437\u0430\u043d\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0438\u0441\u043a\u043b\u044e\u0447\u0430\u044e\u0442 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0434\u043e\u043b\u0433\u043e\u0433\u043e \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u0432 \u0434\u0430\u0442\u0430\u0446\u0435\u043d\u0442\u0440\u0435. […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":73233,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-73232","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47VXLAN az NSX-V-ben \u2014 hibakeres\u00e9s underlay | ProHoster","description":"\u00dcdv\u00f6zl\u00f6m, el\u0151sz\u00f6r egy kis l\u00edra.","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/vxlan-v-nsx-v-trablshutim-underlay","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47VXLAN \u0432 NSX-V \u2014 \u0442\u0440\u0430\u0431\u043b\u0448\u0443\u0442\u0438\u043c underlay | ProHoster","og:description":"\u041f\u0440\u0438\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e, \u0438 \u0441\u043f\u0435\u0440\u0432\u0430 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043b\u0438\u0440\u0438\u043a\u0438.","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/vxlan-v-nsx-v-trablshutim-underlay","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-03-08T05:42:18+00:00","article:modified_time":"2020-03-08T05:42:18+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"73232","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 18:36:23","updated":"2022-09-27 15:26:08","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/73232","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=73232"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/73232\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/73233"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=73232"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=73232"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=73232"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}