[sakinaga]

Idee on panna virtuaalmasinasse jooksma pfsense, kuid jään hätta (ja ei leidnud googeldades) head infot kvm-i võrgunduse seadistamiseks. ESXi kohta on infot lademetes, kuid vähemalt praegu teen asja ubuntu peale, sest kavatsen datastore hoida zfs poolis, mida soovitatakse tungivalt jooksutada native'lt.

Praegune seis:
pfsense virtuaalmasin on loodud ja bootib, aga ei ole sealt edasi liikunud, sest ei mõista veel päris täpselt, mis asjad kuhu kirjutada tuleb, et kõik õhku ei lendaks.

Hosti /etc/networking/interfaces

[kaabakas]

Tulemüür on dedicated raud. Wifi ap istub switchis. Host istub ühes vlanis, guestid teises ja wifi võibolla kolmandas. Kuskil on mingi lan ka? Ühesõnaga, võrgutopoloogia on asi, mis on võrgus ja mida teeb võrk. Siis jäab klientseadmetel teda ainult lauluga tarbida. Vastasel juhul on pudru ja kapsad kiirelt taga, töökindlus küsitav, hallatavus madal, arusaadavus nullilähedal - igal sammul raiskab aega ja vaeva.

Virtuaalne tulemüür, isegi kui bsd võrgundus peaks tänapäeval juba kvm'i peal inimliku kiirusega käima, on ikkagi see asi mis paistab naela moodi, kui haamer käes on. Selline lahendus tähendab et parimal juhul sa kulutad toores koguses hosti cpu võimsust tegemaks midagi millega spetsaparaat pingutuseta hakkama saaks. Aga reaalsuses sel ajal kui guestid tööd teevad löövad nad võrgu pingi lakke ja läbilaske auku. See tähendab et võrk on seda kehvema kvaliteediga, mida rohkem sa teda parajasti kasutad!
Mul on üks sarnane lahendus kasutuses sest provider tahaks eraldi tulemüüri eest 1000$/kuu. Sakib.

Ühesõnaga, ma mõistan kust see plaan tuleb, aga tee parem hästi ja õigesti:)

[aht0]

[sakinaga]

kaabakas, mul ei ole soovi koju racki ehitada. Iga lisamasin on lisakulu, lisahooldus, lisamüra jne. Teoreetiliselt lisanduvad mõned rünnakuvektorid (bugid hypervisoris?), aga võrreldes praeguse consumer-grade ruuteriga on olukord parem kindlasti. Üsna levinud praktika on pfSense'i just nii kasutada. Erilist sisulist vahet ei ole, kas jooksutada teda dedicated masinas või vm-s, kui võrgu sätted õiged on. Sellepärast ka see teema siin.

aht0, ausaltöeldes misiganes põhjusel ei olnud seda isegi kaalunud, loen nädalavahetusel sel teemal pikemalt.

[aht0]

kas tohib küsida mis riistvaraga konkreetselt tegu?

re0 ja re1 osutavad Realteki kaartidele (integr?). 2tk samal plaadil?

[sakinaga]

Emaplaat: http://www.supermicro.com/products/motherboard/QPI/5500/X8DTU-F.cfm

re1 on emaplaadi integreeritud pesa ja re0 on virtuaalne võrgukaart, mis on ühenduses Ubuntu br0-ga. Vähemalt minu arusaamist mööda. Teine emaplaadi integreeritud pesa on praegu ühendatud wifi ruuterisse, kustkaudu saan üle ssh masinale ligi. Kui kõik on seadistatud ja toimib, siis annan ka teise emaplaadi pesa pfsense'i kasutada ja jagan sealtkaudu võrku praegusele ruuterile, mis hakkab siis tööle switchi/Wifi-AP-na.

[kaabakas]

Ega ma ei pakugi et peaksid racki ehitama. Ma pigem vihjan sellele et sul on juba olemas ruuter, seal sees tulemüür ja switch? Kas need jäävad tõesti nii jänni et ei suuda planeeritud liiklust läbi lasta? Kui see tõesti nii on siis ntks mikrotiku purgid algavad paarikümnest tugrikust, see on kindlasti väärt jätmaks ära seda vaeva ja vindumist mis on virtualiseeritud tulemüür.

aht0, hypervisori emuleeritud realteki võrgukaart on tüüpiline nähtus virtualiseerimise guestis, sest pole ilmselt opsüsteemi, millel tolle draiverit poleks. Kui võrgu läbilase huvitab, vahetad need ilmselt hypervisori pakutavate spetskaartide vastu - ntks kvm puhul virtio. Kui pfsense/freebsd seda tänapäeval normaalselt toetab, võib mingil juhul isegi söödava tulemuse saada.

Millest ei järeldu, et virtualiseeritud tulemüür oleks hea mõte. Seda võib teha siis kui kõik muud võimalused on ammendatud. Muude võimaluste alla kuulub lisaks eelpoolmainitud bhyve'le veel ka näiteks iptables host masinas.

[aht0]

[Armagedon]

Mul jookseb pfSense mõnda aega juba virtuaalmasinas. Setup selline, et serveriks on Tyani serveri emaplaat + Xeon protsessor (4x2 coret) ja peale see tasuta versioon VMVarest (kuni 8 coret). Serveri 3 võrgukaardist üks on antud ainult sellele virtuaalmasinale, milles on pfSense ja see on tulemüüri WAN, mille otsas on Interneti modem. Serveri ülejäänud 2 võrgukaarti on virtuaalmasinate ja erinevate VLANide vahel jagatud. pfSense virtuaalmasin sai 1 CPU core ja 1GB RAM'i ning koormus on tegelikult väga väike.
Kõik tundub toimivat samamoodi, kui eraldi raua peal pfSense (proovisin ka sellist varianti, kuid elektri kokkuhoiu nimel sai tulemüür ikkagi virtuaalmasinasse lükatud, sest server nagunii 24/7 voolu all).

Parandus-järeldus: Pärast mingit aega tarbimist tekkis vajadus riistvaralise tulemüüri järele ja siis selgus, et virtuaalmasinas pfSense tegelikkuses tekitab liiklusesse viiteid. Ei soovita kasutada .

[simon10362]