Изолированная сеть на VLAN

• Проверено на версии — 2.2.1
• Требуется — два сетевых агента в кластере, VLAN 300 на коммутаторе до обеих машин

Выделенной сети даётся собственная таблица маршрутизации: её трафик изолирован от остального трафика балансировщиков и от других таких же сетей, даже если адреса пересекаются. Сеть заходит на агенты по VLAN. Значения — из сквозного примера.

Что получится

• На каждом агенте кластера появится устройство demo со своей таблицей маршрутизации и подчинённый ему интерфейс ens19.300.
• Каждый агент получит адрес в сети 10.88.0.0/24.
• Адрес 10.88.0.1 будет поднят на одном из агентов и переедет на второй, если тот откажет.
• Трафик этой сети не будет виден из общей таблицы маршрутизации и наоборот.

Перед началом

• Оба сетевых агента зарегистрированы в кластере и находятся в состоянии Работает. Список — в разделе Сеть.
• VLAN 300 доведён коммутатором до интерфейса ens19 обеих машин. Система тег на коммутаторе не настраивает.
• Адреса 10.88.0.0/24 не используются в общей сети балансировщиков.

Настройка

1. Откройте раздел Главная → Кластеры балансировки и перейдите в кластер slb-1.
2. В боковом меню выберите раздел VRF и нажмите Создать VRF.
3. В поле Имя введите demo.
4. В блоке Сегменты подключения заполните единственный сегмент:
   • Интерфейс на агентах — Data-интерфейс агента, если рабочий трафик на обеих машинах идёт через один и тот же интерфейс. Иначе выберите Указать имя и введите ens19.
   • Тип подключения — VLAN.
   • VLAN ID — 300.
   • Сеть, IPv4 — 10.88.0.0/24.
   • Плавающий шлюз, IPv4 — 10.88.0.1.
5. Блок Узлы заполнять не нужно: оба агента кластера уже в списке, а адреса им выдаст система. Поля IPv4 оставьте пустыми.
6. Нажмите Сохранить.

Система назначит профилю номер таблицы маршрутизации и разошлёт настройки агентам. Выданные адреса появятся под полями IPv4 при следующем открытии формы.

Проверка

В интерфейсе системы

1. В списке VRF профиль demo показывает сеть 10.88.0.0/24, число агентов 2 и статус Работает.
2. На вкладке Сеть → <сетевой агент> → Интерфейсы у каждого агента появились устройство demo типа vrf и интерфейс ens19.300, оба в рабочем состоянии.
3. На вкладке IP/VIP у каждого агента есть адрес из сети 10.88.0.0/24, а у одного из них — ещё и плавающий шлюз 10.88.0.1.
4. На вкладке Соседи видны узлы сети 10.88.0.0/24 на интерфейсе ens19.300. Это подтверждает, что VLAN действительно доведён до машины: соседи появляются только при реальном обмене на канальном уровне.
5. Трафик сегмента можно снять инструментом TCP Dump, выбрав интерфейс ens19.300.

Переезд плавающего шлюза проверяется остановкой агента, который его держит: адрес 10.88.0.1 должен появиться на вкладке IP/VIP второго агента.

На машине

Нужно, только если картина в интерфейсе не сходится — например, устройство есть, а связности нет.

ip route show vrf demo                  # таблица маршрутизации сети
ip vrf exec demo ping -c3 10.88.0.114   # связность внутри VRF
ping -c3 10.88.0.114                    # то же вне VRF: пакеты идти НЕ должны

Последняя команда должна закончиться потерей всех пакетов либо сообщением о недоступности сети. Если она проходит, изоляции нет: проверьте, что тот же адрес не настроен где-то ещё, вне профиля.

Частые ошибки

Профиль сохранился, но на агентах ничего не появилось — откройте Проверку и диагностику.

Дальше

• Балансировка внутри VRF — поднять в этой сети конфигурацию балансировки.
• IPv4 и IPv6 в одном VRF — добавить сети IPv6.