spacewalk Dec 9 2016 at 13:49

Hetzner, сэкономить адреса IPv4 для виртуальных машин XenServer

3 min

5.3K

*nix*Virtualization*Configuring Linux*Network technologies*

Tutorial

Comments 26

SLASH_CyberPunk Dec 9 2016 at 13:57

Простите, но где здесь экономия?

spacewalk Dec 9 2016 at 14:00

в интернете я встречал много мануалов, когда во второй сети самому xen'у назначается адрес из выделенной /29 подсети, и он является шлюзом. в этом случае теряется 3 адреса — адрес на xen'е + 2 (адрес подсети и бродкаст)

SLASH_CyberPunk Dec 9 2016 at 14:08

Я могу ошибаться, но прям у Hetzner в wiki это прописано…
Вы бы лучше расписали, как с одним белым айпи настраивать виртуалки и форвадить порты между внешкой и виртуалками…

spacewalk Dec 9 2016 at 14:20

В wiki как раз советуется путь через назначения одного из адресов шлюзом + 2 неиспользуемые.

От этого я и пытался уйти

mxms Dec 9 2016 at 14:02

В сети /29 вы не сможете использовать все полученные 8 адресов подсети, а сможете только 6.

spacewalk Dec 9 2016 at 14:04

это решение обходит данную проблему

mxms Dec 9 2016 at 14:08

Гм. Не «по IP уставу» это.

spacewalk Dec 9 2016 at 14:22

по уставу) дело в том, что адреса прописаны с маской /32, это своего рода point-to-point

inkvizitor68sl Dec 9 2016 at 15:44

Угу, осталось теперь рассказать как-то всему интернету, что на адресе сети и на broadcast-адресе у вас хост, а не то, что там должно быть по стандартам.
И если с адресом сети попроще (в nix-ах как-то относительно подзабили на то, что этот адрес особенный), то вот с машиной на broadcast жить будет весело, ага.

spacewalk Dec 9 2016 at 16:26

Понятия адреса сети и бродкаст адреса это исключительно понятия вашей сети. Для интернета эти адреса маршрутизируются одинаково. Если бы я использовал на клиентах в настройках сети 46.4.205.64/29, то для них существовал бы адрес сети .64 и броадкаст .72. А у меня /32. Для кого .72 является бродкастом?

inkvizitor68sl Dec 9 2016 at 16:46

> я использовал на клиентах
Всем по*й, как ты настроил «клиенты». Маршрутизацией сети 46.4.205.64/29 занимается вышестоящее железо. А в RFC написано дропать пакеты с src 46.4.205.64 для сети 46.4.205.64/29.

Ну а вешать broadcast адрес на интерфейс — это вообще много ума иметь надо.

spacewalk Dec 9 2016 at 16:53

> А в RFC написано дропать пакеты с src 46.4.205.64 для сети 46.4.205.64/29
Можно ссылочку?

inkvizitor68sl Dec 9 2016 at 17:21

https://tools.ietf.org/html/rfc2644, section 3, например.

spacewalk Dec 9 2016 at 18:00

помоему вы путаете. хетнцер дает мне 8 адресов, /29. я могу их использовать как мне удобно. могу организовать шлюз .65, «клиенты» 66-71. тогда у меня будет бродкаст 72, и данная рекомендация
>>https://tools.ietf.org/html/rfc2644
будет по отношению к этому шлюзу
>> дропать пакеты с src 46.4.205.64 и .72 для сети 46.4.205.64/29. понятие бродкаст адреса лежит в рамках одного бродкаст домена, а не всего интернета. завтра мне захочется поделить мою /27 на две /28 и у меня станет уже два бродкаста. И мне рекомендуют (https://tools.ietf.org/html/rfc2644) закрыть хождение пакетов от бродкаста через мой шлюз, потому что если извне через шлюз придет пакет с dest_ip бродкаста моей подсети, на него ответят все узлы этой подсети

представленная сеть не имеет шлюза, не имеет бродкаст-доменов в полном их понимании, там маршрутизируются /32 адреса и на крайний адрес ответит только он и никто больше, потому что пакет придет не через шлюз в бродкаст домен, он придет конкретно к узлу с адресом .72 или .64

mxms Dec 9 2016 at 22:32

Ещё раз подумал. В принципе, если в не будете организовывать именно подсети у себя и таковую не будет подразумевать маршрутизирующий вам этот диапазон IP софт, то, действительно, пофигу на бродкасты.

MeGaPk Dec 9 2016 at 14:06

А в XenServer починили OpenSwitch который вырубал на сервере инет, от любого школо доса?

spacewalk Dec 9 2016 at 14:09

К счастью не сталкивался с такой ситуацией) поэтому не в курсе

MeGaPk Dec 9 2016 at 15:04

ну будьте бдительны. Мне пришлось плюнуть на XenServer как раз из-за этого :).

Neris Dec 9 2016 at 14:53

Не так давно хецнер прилепили защиту от ддоса. Правда пока не понятно, на сколько эффективно она работает.

kotomyava Dec 9 2016 at 15:22

Защита от DDoS в исполнении Hetzner это нульроут на любой чих. =)
Что, в общем-то, и нормально за такие деньги.

mikeus Dec 9 2016 at 17:02

Не совсем понятно почему

#xe network-param-set uuid=uuid other-config:static-routes=46.4.205.64/29/172.16.1.1

а не сразу
#xe network-param-set uuid=uuid other-config:static-routes=46.4.205.64/29/172.16.1.10

spacewalk Dec 9 2016 at 17:03

потому что это статический роут на всю подсеть /29 через интерфейс сети network 1, а этот интерфейс имеет адрес 172.16.1.1

mikeus Dec 9 2016 at 18:38

Ааа, /29 не заметил.

mikeus Dec 9 2016 at 18:51

Я не знаток Xen, а подключать виртуалки к Network 0 и прописывать им эти белые адреса (т.е. без создания странной дополнительной Network 1) можно?

spacewalk Dec 9 2016 at 21:08

Задача Network 1 — организовать сетевую доступность между виртуальными машинами и dom0. Network 0 наверное можно было бы обойтись, если назначить alias интерфейсу xenbr0 с адресом приватной сети 172.16.1.1/24.

Но без использования приватной сети мне решения не видится

kvazimoda24 Dec 26 2016 at 12:32

Эм… А в чем новость то? У них, вроде, на сайте это указано.
А сеть настраивал без доп. скриптов. Надо только создать серую сетку, чтобы не создавать мост. Дебиан умеет point-to-point, вот, что прописывается на госте:

iface eth0 inet static

 address 123.123.123.123/32

 netmask 255.255.255.255

 gateway 192.168.0.1

 pointopoint 192.168.0.1