Layer-2-Netzwerke mit VergeOS routen

Anleitung zum Routing von Layer-3-IP-Verkehr für Layer-2-physische Netzwerke in VergeOS, um die Kommunikation zwischen physischen Geräten und internen VM-Workloads in unterschiedlichen Subnetzen zu ermöglichen.

Dieser Artikel führt durch eine effiziente Methode zum Routing von Layer-3-IP-Verkehr für physische Layer-2-Netzwerke mit dem leistungsstarken VergeOS-Netzwerksystem. Es gibt mehrere Möglichkeiten, dies zu erreichen; das Ziel dieses Artikels ist jedoch, klare und prägnante Anleitungen für ein bestimmtes häufiges Szenario zu geben. Dieser Artikel sollte insbesondere für Techniker und Administratoren von Edge-Installationen nützlich und interessant sein, in denen physische Geräte wie Telefone, CCTV-Kameras oder Netzwerkgeräte mit Workloads in VergeOS kommunizieren müssen, die auf unterschiedlichen IP-Subnetzen laufen können. Mit dieser Methode kann ein Betreiber direkte lokale Kommunikation zwischen diesen physischen Geräten außerhalb von VergeOS und den intern von VergeOS verwalteten Netzwerken erreichen.

Übersicht der Schritte

1. Externes Layer2-Netzwerk erstellen

   • Es ist wichtig, dass dieses Netzwerk ohne IP-Informationen erstellt wird. Wenn der IP-Block dieser Schnittstelle bereits zugewiesen ist, kann er im nächsten Schritt nicht der Standardroute hinzugefügt werden.
2. IP-Block im externen Netzwerk erstellen das den Verkehr routen wird (wahrscheinlich das Standard-External)

   • Indem wir den IP-Block hier hinzufügen, teilen wir VergeOS mit, dass dieser IP-Verkehr über diese Schnittstelle eingehen soll, und im nächsten Schritt teilen wir der Verge-Netzwerkinfrastruktur mit, wohin er gesendet werden soll.
   • IP-Block dem externen Netzwerk aus Schritt 1 (oder Tenant) zuweisen
   • Nach dem Speichern erstellt VergeOS automatisch Route(n), um eingehenden Verkehr mit passenden Ziel-IP-Adressen an unser Layer-2-Netzwerk zu senden, an das möglicherweise auch VMs angeschlossen sind. So können alle Clients innerhalb von Verge über Netzwerke hinweg kommunizieren (mit entsprechenden Firewall-Regeln) und über die Standardroute mit Netzwerken außerhalb von Verge.
3. Zurück zum Layer2-External, um IPs und andere L3-Optionen zuzuweisen

   • Abhängig von Ihrer Upstream-Konfiguration müssen Sie möglicherweise außerhalb von Verge zusätzliche Routen in Upstream-Routern einrichten, um Verkehr für dieses Subnetz (in unserem Beispiel 192.168.2.0/24) über die Verge-External-IP zu routen.

Hilfreiche zugehörige Dokumente

Einführung in Netzwerkblöcke: Übersicht über Netzwerkblöcke Grundlagen des Routings: Interne Netzwerke routen Netzwerkregeln: VergeOS-Produkthandbuch – Netzwerkregeln Netzwerk-Fehlerbehebung: VergeOS-Produkthandbuch – Netzwerk-Fehlerbehebung

Demo-Szenario

In unserem Beispiel unten routen wir den Adressbereich 192.168.2.0/24 über die VergeOS-External-Schnittstelle zu einem Layer-2-Netzwerk mit dem Namen "l2demo". In diesem Szenario könnte jede an l2demo angeschlossene VM mit einer statischen IP (im richtigen Adressbereich) oder mit aktiviertem DHCP auf das Internet zugreifen, ebenso wie alle physischen Geräte außerhalb von Verge über die L2-Schnittstelle. Eingehender Verkehr könnte durch weitere Regeln zugelassen und gesteuert werden. Ausgehender Verkehr könnte ebenfalls durch weitere Regeln eingeschränkt werden, wobei auf die Reihenfolge der Regeln zu achten ist.

Details zum Demo-Szenario

• Zu routender IP-Block: 192.168.2.0/24
• Verge External IP: 10.1.1.2
• Verge External L2-Netzwerk: l2demo
• L2-Netzwerk-ID: 1010
• Verge Upstream-Gateway: 10.1.1.1
• Verge-physische Schnittstelle: phys1

L2-Netzwerk erstellen

Im Netzwerk-Menü:

1. Auf "New External" klicken
2. Name: l2demo
3. Beschreibung: Optional
4. Layer-2-Typ: vLan
5. Layer-2-ID: 1010
6. IP-Adress-Typ: Keine
7. Schnittstellen-Netzwerk: phys1
8. Zum Speichern auf Submit klicken.
9. Nach dem Speichern auf der Netzwerkseite auf "Power On" klicken.

   • Stellen Sie sicher, dass das Netzwerk in der Log-Box ohne Fehler startet

IP-Block auf External erstellen und zuweisen

1. Auf der Seite des External-Netzwerks auf "Network Blocks" klicken
2. Auf "New" klicken
3. Netzwerkblock: 192.168.2.0/24
4. Besitzertyp: Netzwerk
5. Besitzer: l2demo
6. Auf Submit klicken. Sie werden zur Seite "Network Blocks" zurückgeleitet, auf der nun Ihr neuer Block und der ihm zugewiesene Besitzer angezeigt werden.

IP-Informationen dem L2-Netzwerk zuweisen

1. Zurück zum l2demo-Netzwerk
2. Auf "Rules" klicken

• Bestätigen Sie, dass Firewall-Regeln auf die Anwendung warten. Prüfen Sie, ob nun eine ausgehende Route vorhanden ist; die neue Regel. Wir wenden sie später an.
• Auf Cancel klicken, um zur Netzwerkseite zurückzukehren

1. Auf Edit klicken, um dem Netzwerk IP-Informationen zuzuweisen.
2. IP-Adress-Typ: Statisch
3. IP-Adresse: 192.168.2.1
4. Netzwerkadresse 192.168.2.0/24
5. DNS: Einfach
6. DNS-Server: 10.1.1.1
7. DHCP: aktivieren
8. Dynamisches DHCP: aktivieren
9. DHCP-Startadresse: 192.168.2.200
10. DHCP-Stoppadresse: 192.168.2.254
11. Zum Speichern auf Submit klicken

An diesem Punkt haben Sie alles erstellt, was Sie benötigen sollten, aber die Anwendung steht noch aus, ebenso ein Neustart des Netzwerks, um Layer2 zu l2demo hinzuzufügen.

• Zurück zum Networks-Dashboard und auf All Networks klicken
• Beachten Sie die Netzwerke External und l2demo, die als "Needs FW Apply" markiert sind, sowie l2demo mit "Needs Restart"
• Starten Sie das l2demo-Netzwerk neu, indem Sie es auswählen und auf "Restart" klicken.

  • Akzeptieren Sie das Angebot, Firewall-Regeln beim Neustart anzuwenden, und klicken Sie zur Bestätigung auf "yes".
• FW-Regeln auf External anwenden, indem Sie es auswählen und auf "Apply Rules" klicken.

  • Zur Bestätigung auf "yes" klicken
• AUSSERHALB VON VERGE (im Upstream-Router): Richten Sie auf 10.1.1.1 eine Route ein, um 192.168.2.0/24 über 10.1.1.2 zu senden, und konfigurieren Sie alle weiteren erforderlichen Richtlinien für den Verkehr auf diesem Gerät.

Mandanten-Variante

Wenn der obige Prozess auf einen Mandanten angewendet wird, gibt es zwei allgemein gängige Implementierungen.

• Idealerweise würde eine Mandanten-VM, die auf ein physisches Layer-2-Netzwerk zugreifen muss, dies über Routen tun, indem passende Routen und Regeln erstellt werden, um Verkehr von einem internen Mandantennetzwerk zu einem Layer-2-Netzwerk zuzulassen; z. B. unser vorheriges Netzwerk "l2demo" über das Gateway 192.168.2.1.
• Wenn nativer Layer-2-Zugriff innerhalb von Mandantennetzwerken erforderlich ist, siehe Layer-2-Zugriff für einen Mandanten bereitstellen um einen virtuellen Switch-Port zu erstellen, der das Mandantennetzwerk mit der Layer-2-External-Schnittstelle außerhalb des Mandanten verbindet.

Wenn Geräte nicht auf das Internet zugreifen können, überprüfen Sie Folgendes doppelt:

• Upstream-Route zu 192.168.2.0/24 ist gesetzt
• Firewall-Regeln werden in der richtigen Reihenfolge angewendet
• VM- oder Geräte-IP/Subnetz entspricht dem zugewiesenen Block

---