|
某大學系所採用了Enterasys Thin AP架構。
Controller上三張網路卡分別設定了管理IP 192.168.10.1 (管理介面)，
實體IP 140.YY.ZZ.205 (esa1介面)，與虛擬IP 172.20.90.102 (esa0介面)；
其中透過esa0介面建立了Routed Mode的VNS供無線網路使用者上網(192.168.200.XX/23)，
而系所實體IP區段裏的網管主機NetSight則透過了esa1介面進行Controller的狀態監控，
IT人員也在實體IP區段裏透過Controller的web管理介面來管理Controller。
無線使用者拿到Controller配發的192.168.200.0網段IP後，
由Controller做routing，再透過NAT Server 140.YY.ZZ.203將虛擬IP轉為實體IP後連到外部網路。
架構上看不出什麼問題，無線使用者連外也都正常；
但使用者反映透過無線上線，連不到系所網段的所有主機！
某天因緣際會之下，經高手提點後，
發現問題在於Enterasys Controller雖然可以做routing，但沒有NAT的功能！
也因為沒有NAT，所以環境中勢必要有一台NAT Server負責把無線虛擬IP轉為實體IP對外連線。
使用者的IP到了Controller進行路由後，發現系所實體IP網段140.YY.ZZ.0/24就在esa1介面上，
所以連到系所網段的封包就透過esa1介面直接連接。
但因為沒有進行NAT，所以系所網段主機看到的連線來源IP會是192.168.200.XX；
而192.168.200.XX是虛擬IP，系所主機無法判斷此網段的連結，
造成封包有去無回，無線使用者連不上自己系所的網站的窘境...
解決方法有二 - 在系所主機中加入一筆靜態路由，
讓系所主機知道192.168.200.0/23網段的封包要往140.YY.ZZ.205 (Controller esa1介面)丟。
這樣連線封包就有去有回了∼
這是大陸Enterasys高手提供的解法
也因為高手的提點，順子想到了第二種解法。
- 將esa1介面的IP改為另一虛擬網段的IP，例如10.1.1.205，
這樣Controller上就沒有直連的140.YY.ZZ.0/24路由，
無線使用者的封包就可以成功透過esa0介面的NAT Server來傳導。
但改了esa1的IP為虛擬IP後，原本140.YY.ZZ.0/24網段內的NetSight主機就管理不到Controller了...
解決方法是在NetSight的網卡上再綁上一個與esa1介面同網段的虛擬IP，
這樣NetSight就可透過此IP來管理Controller。
當然原本在系所實體IP網段裏的IT人員，也要在網卡上再綁一個與esa1介面同網段的虛擬IP，
並以新的esa1 IP連結web管理介面來管理Controller。
呃...好饒舌啊...
*****2015/03/26補充*****
關於“無線使用者連不上自己系所的網站”的問題，今天意外了發現了第三種解法。
我們可以在Controller設定140.YY.ZZ.0/24網段中要讓無線使用者連結的host route直接指向esa0外出，
例如140.YY.ZZ.7是要提供使用者連結的系所web站台，那麼我們可以增加如下的host route，140.YY.ZZ.7 255.255.255.255 Gateway 172.20.90.1
設定後，無線使用者要連到140.YY.ZZ.7時，就在會Controller中被導向172.20.90.1，然後做NAT連結到站台。
問題是140.YY.ZZ.7/32的host route不是與140.YY.ZZ.0/24的直接路由有重疊？
而直接連結路由的優先權不是大於手動設定的靜態路由嗎？
這樣的設定有效果嗎？？
是沒錯，直接連結路由的優先權比手動設定的靜態路由大；
但那是在子網路遮罩大小相同的情況下。
Host route由於子網路遮罩大小為32，而直接連結路由子網路遮罩大小為24，
所以host route的優先權會大於直接連結路由，
因此這樣的設定是有效的∼
而且這個做法不僅不需要在服務主機中增加靜態路由，
也不需要變更Controller的IP及NetSight、管理員的管理IP，
是三個方法中衝擊最小，也是最理想的做法！
由 shunze 在 2015-03-26, 17:44 最後修改.
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2015-03-22, 15:41
《分享》VNS的物件觀
《案例分享》無線使用者連不上自己系所的網站？
《分享》流量控管
