înregistrare Logare
Puncte:0
avatar Server

De ce fac drumuri către containere la nivel local și cum pot face mai bine?

drapel fr
Lars Hanke

Configurez un nou server pe un site nou. Serverul este plasat în spatele unui router / firewall. Serverul va rula mai multe containere LXC pentru diverse servicii. Containerele LXC sunt conectate la un pod brlxc. În plus, serverul se conectează la un alt site folosind OpenVPN într-un alt container LXC conectat la NIC-ul serverului. Din cauza problemelor legate de vechea configurație, scopul este de a pune funcționalitatea de rutare și firewall în routerul extern dedicat.

Sfarsim cu ceva de genul asta:

Router: 10.1.1.1
Server: 10.1.1.2
OpenVPN: 10.1.2.2 (conectat cu 10.1.1.2 NIC și conectat la router)
brlxc: 10.1.3.1 (pe server)
Container: 10.1.3.2 (pe brlxc)
Ext-Site: 10.2.0.0/16 (prin 10.1.2.2)

Din punct de vedere fizic, cutia routerului este conectată printr-un singur cablu la Server.

Serverul și clientul OpenVPN primesc 10.1.1.1 ca rută implicită; containerul 10.1.3.1 pe server. Routerul, 10.1.1.1, are o rută pentru a trimite 10.2.0.0/16 prin 10.1.2.2, o rută pentru a trimite 10.1.3.0/24 prin 10.1.1.2 și deocamdată are 10.1.0.0/16 ca LAN.

Primul lucru derutant pe care l-am observat a fost că aveam nevoie de 10.2.0.0/16 prin 10.1.2.2 ca rută statică pe server. În caz contrar, routerul ar trimite o redirecționare ICMP și conexiunea s-a întrerupt.

După ce am adăugat primul container LXC, trebuia să adaug 10.1.3.0/24 prin 10.1.1.2 la clientul OpenVPN.

Deși nu este chiar dificil să configurezi toate aceste rute și, în cele din urmă, să definești chiar și regulile de firewall pe server, acest lucru nu îndeplinește obiectivul meu de proiectare de a avea ruterul pentru rutare și firewall și serverul pentru a rula serviciile.

Bănuiesc că există o modalitate mai bună de a o face și se pare că îmi lipsesc unele lucruri esențiale. Aș aprecia niște îndrumări cu asta.

41
0 + 0
pod
lxc
djdomi avatar
drapel za
djdomi
Aveți, în opinia mea, o problemă de gândire, de unde ar trebui să știe serverul, ce pachet trebuie aruncat undeva? Cred că ar trebui să luați în considerare o dată mai mult modelul OSI ;)
0
Răspunde
drapel fr
Lars Hanke
Presupun că îmi lipsește ceva și cunoștințele mele despre straturile inferioare OSI au loc de îmbunătățire.O idee naivă a fost că serverul pur și simplu trimite totul către router și îl lasă pe acesta să decidă. Apoi ar putea returna pachetul folosind același cablu fizic pe care l-a primit. Dar probabil că ar trebui să le separ folosind VLAN - doar gândind...
0
Răspunde
Puncte:0
avatar Server
drapel fr
Lars Hanke

Am gasit o solutie pentru problema postata. Acum folosesc o interfață ethernet etichetată către router și distribuie VLAN-urile folosind eth0.VLAN interfață către poduri fără adresă către gazdă.

auto brvlanX
iface brvlanX inet static
  bridge_ports eth0.vlanX
  bridge_fd 0
  bridge_nowait 0
  adresa 0.0.0.0

Și gazda în sine își poate folosi interfața VLAN imediat.

Aceasta direcționează întregul trafic al mașinilor virtuale/containerelor gazdei prin router, care, la rândul său, poate aplica regulile de firewall.

0 + 0
drapel romania
SEF 777
întrebarea această in alte limbi:

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.