Dotaz: VLAN Ubuntu

[Lukas]

Dobrý den,

mohl by mi prosím někdo doporučit nějaý dobrý tutoriál na VLAN pod Ubuntu? Všechno, co jsem našel, bylo takové povrchní nebo to bylo psané stylem "...udělal jsem tohle, nešlo to, pak jsem udělal tohle a šlo to, ale nevím, jestli to je ok nebo náhoda..."

V podstatě mi jde o to vše, co náseduje po nastavení vlan. Jak mám routovat provoz do té vlan, když mám virtuální stroje, můžu bridgovat tu vlan?

Nebo otázka, která mě pálí - můžu v rámci jedné virtuální mašiny udělat vlan a přes ní připojit ostatní virtuální mašiny?

Odpovědi

[D-Evil]

Možná by bylo lepší popsat o co přesně se snažíte a co vám nejde. Mám pocit že mícháte několik ne zcela souvisejících věcí dohromady.

[Lukas]

To je dost možné, snažím se do toho proniknout a v žádném případě bych si nedovolil tvrdit, že tomu rozumím. Popis pošlu později, z tlf je to nadýl.

[Michal Kubeček]

Proč chcete zrovna specifický turorial pro Ubuntu? Raději si přečtěte něco o tom, co to vlastně VLAN je a jak to funguje, pak se podívejte do dostatečně nové dokumentace k příkazu ip (nebo starší k vconfig), jak se to konfiguruje, a máte vystaráno.

Ve výsledku to bude mnohem užitečnější - nebo jste si snad stoprocentně jistý, že nikdy s jinou distribucí do kontaktu nepřijdete? Z konfigurace specifické pro Ubuntu vás může nanejvýš zajímat to, jestli lze použít jeho startovací skripty a konfigurační soubory nebo jestli si budete muset napsat vlastní skript.

[Sten]

Doporučuji hledat návody pro Debian, fungují i na Ubuntu. Ubuntisti asi moc netuší, k čemu VLANy jsou

VLAN je to samé jako druhá síťovka. Provoz se routuje tam, kam ho pošlou routovací pravidla (ip route). VLAN samozřejmě můžete i bridgovat, ale pokud bridgujete mezi VLANy na stejném rozhraní, tak je dost zbytečné vůbec ty VLANy vytvářet.

To záleží, jak jsou ty virtuály emulované, třeba s OpenVZ máte smůlu, ale v KVM můžete provozovat cokoliv včetně VLANů. Ale na tohle úplně stačí tomu jednomu virtuálu emulovat dvě síťovky a pak to na hostiteli akorát vhodně pospojovat.

[pavlix]

Pokud si správně pamatuju, tak takovéto standardní pořadí by mělo být, že se naspodu udělá bonding (pokud je potřeba), nad ním se vytvoří vlany, aby se člověk připojil ke správným virtuálním sítím, a nad nimi se vytváří bridge, do kterého se pak zapojí virtuální síťovky.

Takže ano, tak jak to chceš udělat, se to opravdu dělá. Nejlepší je asi najít si nějaký virtualizační nástroj, který tohle vše pro tebe udělá. Nehledal bych ani tak návod na Ubuntu, ale na ten virtualizační nástroj. Distribuci bych nevybíral předem, ale když už tak opět podle toho virtualizačního nástroje.

Další možností je vše nastavit přes /etc/network/interfaces a pak už jen zapojovat virtuály do bridgů. V budoucnu to stejné půjde i v NetworkManageru, ale prozatím doporučuju ho na daném stroji vypnout. Já na to zatím používám vlastní custom buildy, ale jen na testování.

[Michal Kubeček]

Pokud si správně pamatuju, tak takovéto standardní pořadí by mělo být, že se naspodu udělá bonding (pokud je potřeba), nad ním se vytvoří vlany, aby se člověk připojil ke správným virtuálním sítím, a nad nimi se vytváří bridge, do kterého se pak zapojí virtuální síťovky.

Ano, to je nejobvyklejší konfigurace, ale už jsem viděl i různé jiné, třeba to, že se bonding skládal až uvnitř guesta (dokonce i když šlo o Xen, kde tím člověk přijde o MII monitor). Takže asi opravdu bude lepší, když tazatel napíše, čeho chce vlastně docílit.

[pavlix]

Souhlasím. Já jsem to právě řešil s lidmi od nějakých virtualizačních konfiguračních nástrojů. Chtěli mít, především asi z důvodu návrhu konfiguračního rozhraní, možná i kvůli testování, jedno konkrétní pořadí těchto prvků a nejlépe jim vycházelo toto.

[Lukas]

Díky za ochotu. Čeho chci docílit:

Mám router krabičku od o2, z ní vede ethernet do serveru. Router má IP 10.0.0.1, netmask 255.255.0.0. Na serveru mám eth0, který je přebridgeovaný na br0 s IP 10.0.10.10, netmask 255.255.0.0.

Na serveru mám KVM hosta, pod kterým mi běží 3 VM, všechny mají svůj virtuální eth0 napojený na br0. Jejich IP je 10.0.10.11, 10.0.10.12, 10.0.10.13, všechny netmask 255.255.0.0.

VM1 s IP 10.0.10.11 je na routeru vystrčený do DMZ a forwarduje mi porty na ostatní VM. U VM2 (IP 10.0.10.12) a VM3 (10.0.10.13) mám jako gateway nastavený VM1 (IP 10.0.10.11). Dokonce to i funguje!

Když jsem to tady řešil na fóru, tak se kolegové chytali za hlavu, že se to tak vůbec nedělá a že si mám udělat nějaký VLAN pro všechny VM, povolit IP FORWARDING a L3 strukturu a do něj nějak zapojit ty VM. Celkem jsem to nepochopil, ale chtěl bych se poučit a mít to správně, ať se třeba někdy někdo nezděsí, kdyby se v tom musel hrabat po mě.

Takže to je to, čeho bych chtěl dosáhnout. A kdyby to navíc fungovalo, tak by to bylo super. Moje řešení je sice asi prasácké, ale na všechny VM se dostanu tak, jak potřebuju, i z venku, jen mám brouka v hlavě, že to není podle nějaké koncepce.

[pavlix]

VM1 s IP 10.0.10.11 je na routeru vystrčený do DMZ

Mluvíš na mě skoro čínsky. Teda přesněji řečeno jazykem čínských krabiček, kde se pojem DMZ používá dost podivně.

Správný krok by byl požádat poskytovatele o IP adresy. Když už musíš nutně NATovat jednu veřejnou IP (nastavovat port forward), tak to dělej stroji, který má tu veřejnou IP. V tomhle setupu nevidím pro VLAN žádné použití.

Takže to je to, čeho bych chtěl dosáhnout. A kdyby to navíc fungovalo, tak by to bylo super. Moje řešení je sice asi prasácké, ale na všechny VM se dostanu tak, jak potřebuju, i z venku, jen mám brouka v hlavě, že to není podle nějaké koncepce.

O tom, jak to máš udělané, bych si netroufl říct, že to funguje. Serveru bez IP adresy neříkám z venku dostupný server.

[Lukas]

Dobrý den,

DMZ je demilitarized zone a na toto interní IP router směruje veškerý provoz z venčí, nemá-li jiné pravidlo ve vlastním NAT. Někdo chytrý mi poradil, že když toto interní IP nastavím na obsluhovaných VM jako gateway, tak to i bude fungovat. A ono to i funguje.

A protože, jak správně píšete, se jedná o čínskou krabičku, kterou dává navíc operátor za 1 Kč, takže jistě kvalita, je počet pravidel NAT na ní omezen. Proto mám v DMZ jednu VM, která mi NATuje za tu krabičku a kde si to můžu pomocí IPTABLES ošéfovat poněkud lépe.

Je to zbastlené home made koleno solution, to uznávám, ale opravdu mi to funguje. Jenže bych to chtěl mít na úrovni, i když pro to nemám praktický důvod.

[Michal Kubeček]

DMZ je demilitarized zone

Což o to, tu zkratku znám a nepochybuji, že ji zná i pavlix…

a na toto interní IP router směruje veškerý provoz z venčí, nemá-li jiné pravidlo ve vlastním NAT.

…ale tohle zcela určitě neznamená. Nešlo by se té "krabičky od O2" zbavit a dát místo ní něco, co se dá nakonfigurovat příčetně?

[Ivan]

PS: mozna je to off-topic, ale pokud je tak "krabicka" ADSL modem, nebylo by mozne prepnout ho do bridge modu a ukoncit pptp tunel primo na tom ubuntu?

Odpadl by tim jeden hop a mozna by se to cele zjednodusilo.

[Ivan]

Uz blbnu: s/pptp/pppoe/g

[pavlix]

K tomu, co napsal Michal jen dodám…

Jestliže z nějakého důvodu firewall nevyhovuje jako natující mašina, tak použijou další „firewall“ po cestě. Tedy ten bridgující fyzický stroj. Bridging a routing jsou si v Linuxu dost blízké, mimojiné i tím, že jde obojí firewallovat i NATovat na IP vrstvě stejným způsobem.

[lertimir]

Pánové a chápete proč to má takto zamotaně? Za krabičkou od o2 za korunu?

[pavlix]

Já ano.

[Lukas]

1. opravdu tomu moc nerozumím 2. mám obavy vystrčit KVM hosta na DMZ, když by se mi tam někdo dostal, o čemž díky svým mizerným znalostem zabezpečení nepochybuju, tak mi bude moct odstřelit všechny VM.

[lertimir]

No já moc ne. Podle mne provozuji nějakou službu na některém serveru, pak na NAT routeru definuji pravidlo, které mě příslušný port forwarduje na konkrétní router a to udělám pro každou službu a je to. proč pouštět všechny pakety na nějaký server do něčeho jako DMZ, když je nepotřebuji. Bezpečnost stejně v podstatě závisí na bezpečnosti těch daemonů, které obsluhují jedoucí služby a je skoro jedno přes kolik míst se k nim paket dostane. Všechno ostatní je zavřené.

[pavlix]

Se vším, co píšeš, naprosto souhlasím. Jen jsem odpovídal na to, jestli rozumím tomu, proč to takhle blbě dělá :).

[hates]

Asi takhle pokud mate takto jednoduchou infrastrukturu tak bych to nechal tak jak to mate.

Vyhoda VLAN spociva pouze v tom ze pokud pred hostitelskou masinou budete mit napriklad switch s nastavenymi VLANy a pote chcete kazdou VM posadit na jinou VLANu tak udelate ze switche do hostitelskeho systemu uplink a pustite do nej VLANy ktere chcete mit na VM. Pote si vytvorite ty VLANy na hostitelskem stroji a ty s pomoci virtualni sitovky date do bridge a pripojite na VM. Co z toho vnikne je to ze VM bude mit pristup pres tu sitovku do konkretni VLANy a nemusite pote konfigurovat VLANy na te VM masine. Doufam ze jsem to popsal srozumitelne. Perfektne je to napriklad zobrazeno ve vCenter pro VMware kde to vidite pekne i graficky znazorneno.

[Michal Kubeček]

To jste ale pořád popsal jen současné řešení, ne cíl, kterého chcete dosáhnout.

[D-Evil]

Zabejvat se v takhle jednoduchý konfiguraci nějakejma VLAN je naprosto zbytečný, vůbec nic to nepřinese. Pouze by se dalo uvažovat o tom, že ty porty by forwardoval už ten router od O2. Ale to je jen kosmetická úprava.

Co se týká "prasáckosti" tohohle řešení, tak tu vidim jenom v tom, že je to všechno v jednom velkym bridgi. Dalo by se to oddělit do jinýho subnetu. Ale pro pár mašinek to je jedno.

[l123456]

Na akej vrstve OSI modelu pracuju VLANy? Poznate OSI model?

Ak nie, tak sa naucte aspon zaklady a zodpovie Vam to mnoho otazok.