KVM 802.1q (configuração de VLAN marcada)

Question

Eu tenho lido muito sobre marcação de VLAN em redes com bridge KVM, mas estou ficando muito confuso sobre o que precisa ser marcado (os dispositivos de rede física, ou as pontes conectadas a esses dispositivos) e se O convidado da VM precisa marcar seu dispositivo interno ou isso acontece no lado do host quando a NIC virtual de convidados é anexada a uma ponte marcada.

Disclaimer : Eu faço algumas suposições abaixo com base nos fragmentos que eu peguei de algumas entradas de blog / páginas de tecnologia. Como muitas coisas, parece haver muitas maneiras de realizar a tarefa. Se eu estiver completamente errado e alguém souber de um bom guia, envie-me a URL e eu revisarei o que fiz e voltarei se não funcionar

Eu tenho um número de hosts virtuais KVM todos (incluindo seus convidados) atualmente conectados a uma rede.

Eu gostaria de segmentar isso para que haja uma rede logicamente separada em uso por alguns convidados (mas obviamente não em todos). Fiz muita leitura sobre como realizar isso, mas tenho algumas perguntas básicas sobre o processo real.

A configuração:

kvmhost1

• eth0

• br0

  kh1guest1

  • eth0 (conectado ao kvmhost1 br0)

  kh1guest2

  • eth0 (conectado ao kvmhost1 br0)

kvmhost2

• eth0
• br0

• br0.10 (marcado com VLAN10)

  kh2guest1

  • eth0 (conectado ao kvmhost2 br0)

  kh2guest2

  • eth0 (conectado a kvmhost2 br0.10)

kvmhost3

• eth0
• br0

• br0.10 (marcado com VLAN10)

  kh3guest1

  • eth0 (conectado ao kvmhost3 br0)

  kh3guest2

  • eth0 (conectado a kvmhost3 br0.10)

Estou fazendo algumas suposições aqui:

• para que tudo funcione, todos os hosts / convidados precisam do 802.1q ativado
• todos os hosts com convidados que precisam acessar a VLAN marcada precisam de uma ponte adicional, marcada na VLAN
• qualquer VM convidada que precise acessar a VLAN marcada precisa de sua rede conectada à ponte de rede marcada (br0.10 no (s) host (s))

Desculpe a minha ignorância aqui, mas meu conhecimento de VLANs é bastante limitado, e eu realmente só lidei com eles em um nível físico até agora (NIC na porta de switch da VLAN)

Qualquer ajuda seria ótima, ou mesmo um guia sobre a maneira correta de realizar isso.

    

Answer 1

O que você configurou está bem logicamente.

Esses convidados poderão ver uns aos outros porque estão na vlan nativa:
kh1guest1, kh1guest2, kh2guest1, kh3guest1

Estes convidados poderão ver uns aos outros porque estão na vlan 10:
kh2guest2, kh3guest2

O administrador do switch pode precisar configurar seus switchports como "portas de tronco" para poder passar a tag vlan que você está adicionando. Deixe-os saber o que você configurou e seus requisitos para ter uma tag vlan.

Se você estiver em uma grande rede gerenciada, talvez seja necessário solicitar que um número de vlan seja alocado para você, porque outra coisa já possui vlan10.

Pense na tag vlan como um "wrapper" em torno de um frame Ethernet. Você só precisa definir um local para adicionar / remover o wrapper. Todos os itens a seguir são válidos, a interface em negrito mostra onde a marcação é feita:

• fio - > host eth0 - > host br0 - > host br0.10 - > convidado eth0
• fio - > host eth0 - > host eth0.10 - > host br10 - > convidado eth0
• fio - > host eth0 - > host br0 - > convidado eth0 - > convidado eth0.10

Se você quiser unir interfaces físicas no host, não poderá adicionar as interfaces marcadas com vlan a uma ligação. Então, isso seria válido:

• fio - > host ethX - > host bond0 - > host bond0 - > host br0 - > host br0.10 - > convidado eth0
• fio - > host ethX - > host bond0 - > host bond0.10 - > host br10 - > convidado eth0
• fio - > host ethX - > host bond0 - > host bond0 - > host br0 - > convidado eth0 - > convidado eth0.10

E isso está errado:

• fio - > host ethX - > host ethX.10 - > vínculo de hospedeiro - > e assim por diante

Answer 2

A melhor opção é fazer o seguinte:

• marca a interface (ou ligação) - por ex. eth0 - > eth0.100 (ou eth0 + eth1 - > bond0 - > bond0.100)
• construir ponte sobre a interface marcada
• conecte VMs à ponte

Desta forma, todo o tráfego de e para as VMs será marcado. Para tráfego não marcado, é melhor criar outra ponte na interface não marcada e conectar outra NIC da VM a essa

    

Answer 3

A regra simples é que uma conexão deve ser desmarcada nas duas extremidades (lado do host e lado do convidado) ou marcada nas duas extremidades.

Os convidados geralmente não precisam de suporte à marcação. Por enquanto, ignore o fato de que você está em um ambiente virtualizado. Como cada convidado seria configurado se fosse uma máquina física? Em seguida, implemente o mesmo no KVM.

O que você provavelmente quer em kvmhost2 e kvmhost3 são duas pontes, br0 e br1. br1 pode ter eth0.10 como membro. Então, kh2guest2 e kh3guest3 podem conectar sua eth0 à br1 do seu respectivo host.