OpenVZ - routing przez router, bez pośrednictwa matki

[HaPe 242]

Witam. W openvz domyślnie ruch routowany jest przez adres ip matki. Czy jedyną opcją, aby to pominąć i zamiast tego routować ruch od razu na router, jest zrobienie bridge warstwy 2 pomiędzy kontenerem a fizycznym portem matki czy są na to inne metody?

[kafi 2425]

Użyj interfejsów veth zamiast venet (a sprowadzi się zasadniczo do tego, co napisałeś )

[HaPe 242]

Każdy wtedy vps ma swój mac? Istnieje możliwość zmiany mac-a z poziomu kontenera?

[Gość patrys]

Może mieć swój mac, z poziomu kontenera nie da się tego zmienić.

[chmuri 89]

Ta operacja jest ryzykowna.

[Gość patrys]

czemu miała by być ryzykowna ?

[HaPe 242]

Gdyby jeszcze każdego vps miećw osobnym vlanie to moim zdaniem bezpieczeństwo na plus. Chmuri, co dokładniej na myśli miałeś?

[www.ionic.pl 535]

Gdyby jeszcze każdego vps miećw osobnym vlanie to moim zdaniem bezpieczeństwo na plus. Chmuri, co dokładniej na myśli miałeś?

 

no szczególnie na 1 fizycznym porcie ...

[HaPe 242]

 

no szczególnie na 1 fizycznym porcie ...

Co złego jest w terminowaniu każdego VPS do osobnego vlanu? Odpowiedni switching można zastosować wtedy na switchu warstwy 2. Dodatkowo przy dużej ilości kontenerów można do grupowania zastosować QinQ.

[www.ionic.pl 535]

ale po co ?

[HaPe 242]

Aby odseparować użytkowników od siebie, ukryć adresacje matek i wiele, wiele innych...

[tgx 575]

Aby odseparować użytkowników od siebie, ukryć adresacje matek i wiele, wiele innych...

 

Ale komplikujesz bardzo konfigurację co przy setkach/tysiącach vpsów może być trudne do ogarnięcia

 

Raczej wszędzie lepiej się kierować zasadą "keep it simple" niż robić sobie dodatkową pracę i tworzyć strukturę, gdzie uzysk nie jest wielki ( bo co daje ukrycie IP matki ) w porównaniu do komplikacji.

 

Im mniej ingerencji w konfigurację sieci przy dodawaniu nowych klientów czy usuwaniu nieaktywnych usług tym lepiej.