> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/knowledge-base/vi/networking/how-to-use-external-ips-in-tenants.md).

# Cách sử dụng IP bên ngoài trong tenant

Trong VergeOS Virtual Data Centers sử dụng Tenants, một tenant có thể cần một địa chỉ IP công cộng (External IP) từ mạng External gốc để các VM bên trong không gian tenant sử dụng.

## Sử dụng Network Blocks

Network Blocks có thể được dùng để gán một nhóm IP như một đơn vị duy nhất, và thường là phương pháp đơn giản nhất để sử dụng External IP bên trong không gian tenant cho NIC của VM. Chúng được tạo trên mạng External gốc, hoặc trên giao diện external mà các IP bạn định dùng có thể định tuyến được.

{% hint style="info" %}
**Ưu/Nhược điểm**

Ưu - Cho phép gán trực tiếp một IP công cộng cho giao diện mạng của VM tenant.\
Ưu - Tận dụng các chức năng Layer 3 tích hợp sẵn, giữ đầy đủ khả năng hiển thị cấu hình để chẩn đoán và khắc phục sự cố.\
Nhược - Tối thiểu cần 4 địa chỉ IP để cung cấp 1 IP sử dụng được cho thiết bị; một network block /30.<br>
{% endhint %}

### Tạo một Network Block

Trong root hệ thống VergeOS:

1. Đi tới mạng đại diện cho 'rìa' của hệ thống VergeOS của bạn; điều này rất thường là mạng External gốc.
2. Nhấp *Khối mạng* từ menu bên trái.
3. Nhấp *Mới* để tạo một block mới.
4. Nhập địa chỉ IP của Network Block ở định dạng CIDR. (a.b.c.d/n)
5. *Tùy chọn* : Thêm mô tả hữu ích cho block của bạn.
6. Vì chúng ta đang dùng block này với một tenant, đặt "Owner Type" thành *thuê bao* và đặt "Owner" thành tenant mà bạn muốn gán block này cho.
7. Nhấp *Gửi* để lưu và gán Block.

{% hint style="info" %}
**Địa chỉ Block**

Khi tạo Network Blocks, VergeOS sẽ xác thực Block khi áp dụng các quy tắc tường lửa ở các bước tiếp theo. Việc không đặt IP bắt đầu phù hợp cho một dải nhất định sẽ dẫn đến lỗi. ví dụ: 10.1.2.108/30 là một block hợp lệ. 10.1.2.110/30, dù trong nhiều trường hợp biểu thị cùng một block, sẽ không xác thực được ở các bước sau và sẽ không hoạt động. Hãy xác thực bằng bộ tính toán subnet nếu bạn không chắc.
{% endhint %}

8. Quay lại trang chính của mạng mà bạn vừa thêm Block vào.
9. Ở phía trên, lưu ý thông báo "Rule changes need to be applied". Bạn có thể nhấp "Apply Rules" tại đây, hoặc nhấp "Rules" trong menu bên trái để xác thực trước khi áp dụng. Bạn cũng có thể để việc áp dụng quy tắc sau, nhưng bạn phải quay lại và áp dụng trước khi Block của bạn được định tuyến và hoạt động.
10. Đi tới chế độ xem Tenant Networks và, dùng các bộ lọc ở trên cùng, chọn "Needs FW Apply" "Yes"; mạng tenant của bạn sẽ được liệt kê.
11. Chọn mạng bằng một cú nhấp, rồi *Áp dụng quy tắc* trong menu bên trái để hoàn tất việc chuyển Network Block cho tenant.

Trong giao diện Tenant:

1. Đi tới mạng External của bạn. Bạn sẽ thấy Network Block được gán từ root của bạn được liệt kê với mô tả "External Network Address from service provider".
2. Chọn Block bằng một cú nhấp, rồi nhấp *Mạng mới* trong menu bên trái. Thao tác này sẽ tạo một mạng Internal mới trong tenant bằng cách dùng block địa chỉ.
3. Lưu ý Address Type tự động được đặt thành Static với địa chỉ Network Block đã được đặt sẵn. Dynamic DHCP cũng sẽ được bật với dải IP còn khả dụng đã được điền sẵn.
4. Đặt tên cho mạng mới.
5. Khi hoàn tất mọi tùy chỉnh khác bạn cần, nhấp *Gửi* để tạo mạng.
6. Bạn sẽ thoát ra mạng mới. Nhấp *Bật nguồn* từ menu bên trái để đưa mạng lên online. Một cửa sổ xác nhận sẽ xuất hiện để ngăn việc bật nhầm.

Gắn một VM NIC vào mạng với DHCP được bật để IP được tự động gán cho NIC. Hoặc, đặt thủ công địa chỉ IP trong hệ điều hành khách của bạn.

## Tạo một Virtual Switch Port

Virtual Switch Ports là một phương pháp phổ biến khác để tiêu thụ không gian IP cấp root bởi các workload tenant. Về cơ bản chúng tương tự như dây vật lý ở chỗ chúng cho phép lưu lượng mạng Layer 2 "bỏ qua" các phân đoạn mạng được định tuyến; trong trường hợp này cho phép một mạng Internal của Tenant giao tiếp trực tiếp với một mạng bên ngoài VergeOS. Đây có thể là một mạng "WAN" trực tiếp, hoặc mạng khác được cấu hình bên ngoài VergeOS có dải địa chỉ có thể sử dụng và có thể định tuyến ra internet.

{% hint style="info" %}
**Ưu/Nhược điểm**

Ưu - Cấu hình đơn giản trong VergeOS, bỏ qua cấu hình định tuyến Layer 3 nội bộ.\
Ưu - Cho phép sử dụng trực tiếp các External IP trên thiết bị biên bởi người dùng.\
Ưu - Chi phí địa chỉ tối thiểu; chỉ các địa chỉ IP được client sử dụng.\
Nhược - Virtual Switch Ports chỉ hoạt động khi cả hai mạng mà chúng kết nối đang chạy trên cùng một node.\
-Điều này yêu cầu mạng External và Tenant Node1 sử dụng một Nhóm High Availability (HA) để duy trì việc nhóm của chúng, điều này có thể ảnh hưởng đến kỳ vọng về sự kiện HA.\
Nhược - Có thể làm khắc phục sự cố và chẩn đoán khó hơn do loại bỏ WebUI VergeOS và khả năng hiển thị định tuyến gốc.
{% endhint %}

Để biết hướng dẫn tạo Virtual Switch Port, xem [Tạo một Virtual Switch Port](/knowledge-base/vi/tenants/provide-layer2-to-tenant.md).

Khi Virtual Switch Port của bạn đã được thiết lập, các máy ảo và các workload khác có NIC được kết nối với mạng Internal mà vwire gắn vào sẽ có kết nối Layer 2 ra khỏi VergeOS và sẽ hoạt động tương tự như một VLAN trong switch truyền thống về mặt địa chỉ và định tuyến.

## Chuyển đổi địa chỉ

Nếu một workload phải có một địa chỉ IP nhất quán, nhưng không cần địa chỉ đó được gán trực tiếp cho nó, Address Translation có thể là phương pháp tốt nhất. Điều này cho phép định tuyến Layer 3 tiêu chuẩn từ nhóm Public/External IP của bạn đến bất kỳ workload nào trong VergeOS thông qua hệ thống Rules và Networking tích hợp sẵn.

{% hint style="info" %}
**Ưu/Nhược điểm**

Ưu - Tuân theo các quy ước định tuyến tiêu chuẩn và dễ hiểu.\
Ưu - Cho phép hiển thị và kiểm soát đầy đủ route trong các bảng WebUI của VergeOS, điều này có thể hỗ trợ khắc phục sự cố và các thay đổi trong tương lai.\
Nhược - Không cho phép thiết bị cuối được gán IP Public một cách nguyên bản.\
Nhược - Không phải tất cả lưu lượng mạng đều đi qua được Address Translation, đặc biệt nếu cần xác thực source/destination.<br>
{% endhint %}

Do tính chất rất rộng và linh hoạt của các khả năng mạng trong VergeOS, chúng tôi sẽ cung cấp 2 cấu hình ví dụ, với Address Translation tại các điểm khác nhau trong hành trình định tuyến.

### Quy tắc DNAT và SNAT trên mạng Internal của Tenant

1. Đi tới mạng đại diện cho 'rìa' của hệ thống VergeOS của bạn; điều này rất thường là mạng External gốc.
2. Nhấp *Địa chỉ IP* từ menu bên trái.
3. Nhấp *Mới* để tạo một IP mới.
4. Đặt "Type" thành *IP ảo*.
5. Điền địa chỉ IP.
6. *Tùy chọn* : Thêm mô tả hữu ích.
7. Đặt "Owner Type" thành "Tenant"
8. Đặt "Owner" thành tenant mà bạn muốn gán IP này cho.
9. Nhấp *Gửi* để lưu.
10. Bạn sẽ được quay lại chế độ xem "IP Addresses".
11. Quay lại trang chính của mạng mà bạn vừa thêm Block vào.
12. Ở phía trên, lưu ý thông báo "Rule changes need to be applied". Bạn có thể nhấp "Apply Rules" tại đây, hoặc nhấp "Rules" trong menu bên trái để xác thực trước khi áp dụng. Bạn cũng có thể để việc áp dụng quy tắc sau, nhưng bạn phải quay lại và áp dụng trước khi Address của bạn được định tuyến và hoạt động.
13. Đi tới chế độ xem Tenant Networks và, dùng các bộ lọc ở trên cùng, chọn "Needs FW Apply" "Yes"; mạng tenant của bạn sẽ được liệt kê.
14. Chọn mạng bằng một cú nhấp, rồi *Áp dụng quy tắc* trong menu bên trái để hoàn tất việc chuyển IP Address cho tenant.

Trong giao diện Tenant:

1. Đi tới mạng External của bạn. Bạn sẽ thấy IP Address được gán từ root của bạn được liệt kê với mô tả "External IP from service provider".
2. Chọn IP Address bằng một cú nhấp, rồi nhấp *Chỉnh sửa* trong menu bên trái.
3. Đặt "Owner Type" thành "Network".
4. Đặt "Owner" thành mạng mà NIC của VM bạn đang gắn vào.
5. Nhấp *Gửi* để lưu.
6. Quay lại chế độ xem mạng Tenant External.
7. Nhấp *Áp dụng quy tắc* để kích hoạt quy tắc tự động được tạo để định tuyến IP của bạn.
8. Đi tới mạng Tenant mà bạn đã thiết lập ở bước 4.

Tùy chọn DNAT: (Nếu workload của bạn tương thích)

1. Nhấp *Quy tắc* trong bảng bên trái.
2. Nhấp *Mới* trong bảng bên trái để tạo một Rule mới.
3. Đặt tên cho rule của bạn.
4. *Tùy chọn* : Viết một mô tả hữu ích..
5. Đặt "Action" thành *Dịch*.
6. Đặt "Destination Type" thành *Địa chỉ IP của tôi*.
   1. Chọn IP Address bạn đã chuyển tiếp từ danh sách.
7. Đặt "Target" thành một trong các tùy chọn sau:
   1. "Type" *Địa chỉ IP của tôi* và chọn địa chỉ IP tĩnh mà bạn đã cấu hình cho NIC của VM này trong VergeOS.
   2. HOẶC "Type" *IP/Tùy chỉnh* và nhập thủ công IP tĩnh bạn đã đặt *IP cục bộ* bạn đã đặt trên NIC của VM từ trước.
8. Nhấp *Gửi* để lưu.

Cấu hình SNAT: (Bắt buộc cho dịch địa chỉ đi ra)

1. Nhấp *Quy tắc* trong bảng bên trái.
2. Nhấp *Mới* trong bảng bên trái để tạo một Rule mới.
3. Đặt tên cho rule của bạn.
4. *Tùy chọn* Viết một mô tả hữu ích.
5. Đặt "Action" thành *Dịch*.
6. Đặt "Source" thành một trong các tùy chọn sau: (Dùng cùng IP như "Target" từ các bước trước)
7. "Type" *Địa chỉ IP của tôi* và chọn địa chỉ IP tĩnh mà bạn đã cấu hình cho NIC của VM này trong VergeOS.
8. HOẶC "Type" *IP/Tùy chỉnh* và nhập thủ công IP tĩnh bạn đã đặt *IP cục bộ* bạn đã đặt trên NIC của VM từ trước.
9. Đặt "Destination Type" thành *Địa chỉ IP của tôi*.
   1. Chọn IP Address bạn đã chuyển tiếp từ danh sách.
10. Đặt "Pin" thành *Đầu trang* để đặt Rule này lên trên các rule khác, đảm bảo nó được áp dụng sớm.
11. Nhấp *Gửi* để lưu.

Tùy chọn định tuyến: (Có thể hữu ích nếu workload của bạn không tương thích DNAT)

Nếu workload của bạn không hỗ trợ DNAT, client phải truy cập nó bằng IP gốc trên thiết bị, VÀ bạn chỉ có 1 IP khả dụng, thì có một lựa chọn thay thế cho "DNAT Option" ở trên. Hãy làm theo các hướng dẫn "DNAT Option" ở trên, và tại *Bước 5* set your action to *Định tuyến* thay vì Translate. Điều này sẽ gửi lưu lượng cho IP công cộng đến VM qua IP riêng gốc. Sau đó, trên NIC trong Guest OS của bạn, đặt một *thứ cấp* IP với IP công cộng và subnet /32 (255.255.255.255). Hãy làm theo "SNAT Configuration" như đã viết để dịch lưu lượng đi ra. Tùy chọn này *hoàn toàn* phụ thuộc vào GuestOS và có thể không hoạt động trong mọi tình huống.

Để dùng phương pháp này, hãy làm theo các hướng dẫn "DNAT Option" ở trên với *1 thay đổi, Bước 5. đổi thành:* 5. Đặt "Action" thành *Định tuyến*.

Đặt địa chỉ IP Public/External như một *thứ cấp* địa chỉ trên NIC của VM, bên trong hệ điều hành khách. Điều này sẽ cho phép lưu lượng hướng đến IP được định tuyến tới IP nội bộ gốc, sau đó cho phép hệ điều hành khách xử lý nó trên IP đơn /32. Các bước "SNAT Configuration" có lẽ vẫn cần được làm theo; lưu lượng đi ra từ NIC của VM vẫn sẽ xuất phát từ IP cục bộ, không phải IP công cộng được gán làm địa chỉ phụ, và do đó Source NAT sẽ cần thay đổi nó trên đường ra.

***

{% hint style="info" %}
**Thông tin tài liệu**

* Cập nhật lần cuối: 2025-02-17
* Phiên bản VergeOS: 4.13.3
  {% endhint %}


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.verge.io/knowledge-base/vi/networking/how-to-use-external-ips-in-tenants.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.