เข้าถึง VM โดยใช้อินเทอร์เฟซเครือข่ายบริดจ์ KVM ภายในเครือข่ายของบริษัทที่ไม่ทำงานนอก LAN ในห้อง

ฉันทำงานที่สถาบัน ดังนั้นคุณคงนึกออกว่าเรามีพร็อกซีทั่วไป, AD, DNS และอื่นๆ อยู่แล้ว กลุ่มของฉันกำลังมองหาการเปลี่ยนไปใช้ Linux สำหรับเซิร์ฟเวอร์ของเรา (ที่มี GPU หลายตัวสำหรับวัตถุประสงค์ในการวิจัยต่างๆ) เนื่องจากการตั้งค่าสภาพแวดล้อมของเราที่ง่ายขึ้น (การเรียนรู้ของเครื่อง การเรนเดอร์) และการเข้าถึงเครื่องมือที่จำเป็นสำหรับงานของเรา แต่ก่อนที่เราจะทำเช่นนั้น ฉันได้ลงมือเอง (โดยได้รับอนุญาตจากผู้ดูแลระบบไอทีและหัวหน้าของฉัน) เพื่อสร้างการตั้งค่าง่ายๆ ที่จะให้มุมมองบางอย่างแก่เราเกี่ยวกับสิ่งที่เราต้องการ

ฉันใช้เดสก์ท็อปพีซีปกติที่มี Ubuntu Server 20.04 LTS ตั้งค่าเป็นโฮสต์ สำหรับการจัดการฉันใช้ SSH (ผ่าน Putty) หรือเว็บอินเตอร์เฟส (ห้องนักบิน) ที่ด้านบนของโฮสต์ ฉันเรียกใช้ KVM ด้วย QEMU VM จำนวนมาก ซึ่งทั้งหมดนี้แชร์อินเทอร์เฟซเครือข่ายแบบบริดจ์เดียวกัน (เฉพาะ VM เดียวเท่านั้นที่สามารถเรียกใช้ได้ในแต่ละครั้งเนื่องจากมี PCI passthrouhg อยู่ในตำแหน่ง) โฮสต์และ VM มีชื่อโฮสต์ตามโครงร่าง

<hostname>.<domain>

เนื่องจากเจ้าหน้าที่ฝ่ายไอทีของเราเป็นแรงผลักดันที่ต่อต้านลินุกซ์อย่างเปิดเผยในแผนกของเรา เครื่องทุกเครื่องในแผนกที่ใช้ลีนุกซ์จะต้องได้รับการดูแลโดยพนักงานซึ่ง "เป็นเจ้าของ" เครื่องนั้น เราจะไม่ได้รับความช่วยเหลือใดๆ จากผู้ดูแลระบบหากเรามีปัญหาเกี่ยวกับเครื่องเหล่านั้น เครื่องลีนุกซ์ยังต้องมี -L ต่อท้ายเพื่อให้เขารู้ว่าไม่ใช่ปัญหาของเขา โดยทั่วไป ชื่อโฮสต์สำหรับพีซีและโน้ตบุ๊กเป็นไปตามโครงร่าง

<department>-<machine type><3 digit numeric value>

จึงจะสมบูรณ์

<department>-<machine type><3 digit numeric value>.<domain>

สมมติว่าฉันมีดังต่อไปนี้ด้วย foo.bar.com สิ่งมีชีวิต <domain>:

• ABC-DT001-L.foo.bar.com - พีซี, โฮสต์ที่ใช้ Ubuntu Server 20.04, ที่อยู่ IP 10.21.5.83
• ABC-DT001-L-VM0.foo.bar.com - VM, แขกที่ใช้ Xubuntu 20.04, ที่อยู่ IP 10.21.5.104
• ABC-NB001.foo.bar.com - โน้ตบุ๊ก, รัน Windows 10 พร้อมผู้ใช้ AD, ที่อยู่ IP 10.21.5.104
• สะพานเครือข่าย - แปลงอินเทอร์เฟซเครือข่ายเดียวของ ABC-DT001-L ไปยังสะพานซึ่ง VM ทุกตัวที่ฉันวางแผนจะใช้เป็นการตอบแทน
• HP ProCurve Switch 1810g-8 J9449A - สวิตช์ที่มีการจัดการเครื่องของฉันเชื่อมต่ออยู่ภายในสำนักงานของฉัน (ฉันไม่สามารถเข้าถึงได้) ที่อยู่ IP 10.21.99.10 (หรือตามที่ฉลากบอก)
• เกตเวย์เริ่มต้น - ที่อยู่ IP 10.21.5.1
• เซิร์ฟเวอร์ DHCP - ที่อยู่ IP 10.21.1.3
• เซิร์ฟเวอร์ DNS - ที่อยู่ IP 10.21.1.3
• เซิร์ฟเวอร์ WINS หลัก - ที่อยู่ IP 10.21.1.10

ฉันได้รับแจ้งจากแผนกไอทีของเราว่าถ้าเครื่องมีที่อยู่ MAC ถาวร ฉันสามารถทำได้เสมอ เช่น ABC-DT001-L.foo.bar.com ในการเข้าถึงของฉัน ABC-DT001-L เครื่องจักร.

ในระดับ KVM ฉันมีบริดจ์เริ่มต้น (virbr0 หรือบางอย่าง) ที่ตั้งค่าไว้เมื่อสร้าง VM เพื่อให้ระบบของ VM สามารถซิงก์เวลาได้ เช่นเดียวกับบริดจ์ของฉันเองที่ผูก VM เข้ากับพอร์ตอีเทอร์เน็ตเดียวที่โฮสต์ของฉันมี อนุญาตให้เข้าถึงอินเทอร์เน็ตเช่นเดียวกับ เครือข่ายภายในสถาบันของเรา ดังนั้นในแง่ของที่อยู่ MAC บนพีซีของฉัน ฉันมี

• ABC-DT001-L.foo.bar.com - หมายเลขทางกายภาพ 14:b3:1f:07:ee:5ก
• ABC-DT001-L-VM0.foo.bar.com - หมายเลขทางกายภาพ 52:54:00:2ก:b8:4ฉ

เกี่ยวกับสะพานของฉัน

ในกรณีที่คุณสนใจสะพานเริ่มต้นที่ฉันมี 52:54:00:58:04:50 (ฝั่งเจ้าบ้าน) และ 52:54:00:1e:cf:8b (ด้าน VM).

นี่คือสิ่งที่ได้ผล:

• ABC-NB001 - สามารถ ping และ SSH ABC-DT001-L
• ABC-NB001 - สามารถ ping, SSH และ VNC เชื่อมต่อได้ ABC-DT001-L-VM0 (พอร์ต 5900 สำหรับห้องนักบิน, พอร์ต 5901 สำหรับโปรแกรมดู VNC อื่น ๆ เนื่องจากฉันยังเรียกใช้ X11VNC ควบคู่ไปกับห้องควบคุมที่มีให้อยู่แล้วเพื่ออนุญาตให้เข้าถึงเฉพาะ VM เท่านั้นในอนาคต ไม่ใช่เซิร์ฟเวอร์พื้นฐาน)
• ABC-DT001-L - สามารถ ping และ SSH ABC-DT001-L-VM0สามารถ ping ABC-NB001
• ABC-DT001-L-VM0 - สามารถ ping และ SSH ABC-DT001-Lสามารถ ping ABC-NB001

นอกจากนี้ ฉันสามารถ ping และเข้าถึงเว็บคอนโซลของ ABC-DT001-L จากเซิร์ฟเวอร์ Windows ของเรา (เซิร์ฟเวอร์ที่เราจะแปลงเป็น Linux ในอนาคต) เพื่อนร่วมงานของฉันที่ทำงานในโฮมออฟฟิศยังสามารถ (ผ่าน VPN) ping และเข้าถึงได้ ABC-DT001-L.

นี่คือสิ่งที่ใช้งานไม่ได้:

• การเข้าถึง ABC-DT001-L-VM0 จากเซิร์ฟเวอร์ของเรา ซึ่งรวมถึงเพียงแค่ ping
• การเข้าถึง ABC-DT001-L-VM0 จากเครื่องเพื่อนร่วมงานของฉันผ่าน VPN

ดังนั้นจึงดูเหมือนว่าสิ่งใดที่อยู่นอกเหนือสวิตช์ไม่สามารถเข้าถึง VM ในลักษณะที่เป็นไปได้ สิ่งหนึ่งที่ฉันสังเกตเห็นซึ่งฉันเดาว่าเป็นสิ่งที่คาดหวังคือด้านหลังสวิตช์ฉันสามารถใช้ชื่อโฮสต์แทนชื่อเต็มเพื่อเข้าถึงเครื่องทั้งหมดของฉัน

ปรากฏว่าปัญหาคือสะพาน ก่อนที่ฉันจะไปแหย่หมี (แผนกไอทีของเรา) ฉันอยากจะลองดูในการแก้ปัญหา (ด้วยความช่วยเหลือจากคุณ)