[quote postid="16128799" userid="65766" name="mini-ryttge"]
Ett HA kluster brukar bestå av minst 2 noder och ett SAN https://en.wikipedia.org/wiki/Storage_area_network
Ett SAN går på ett par hundratusen nytt.
Alla diskar sitter då i SANet och noderna brukar ha usbminne/minneskort att köra OS från.
Dom låter som ett jetplan och drar snarlika mängder kraft.
Det är förmodligen inte intressant förän du har ett helt gäng VPSer
En DMZ brukar konfigureras för att vara helt låst. Den droppar alla paket som det inte finns regler för. Brandvägg i din hemmarouter eller i ditt virusskydd släpper ut all trafik men släpper inte in någon som du inte specifikt tillåter (typ öppna port 80 för en webbserver på http)
Man brukar ställa in en DMZ på samma sätt fast även internt. Så utan att öppna port 80 från tex plex server till WAN och port 53 (DNS) till WAN så kan inte maskinen surfa ut på internet. Detta för att interna servrar inte ska kunna nå varandra om de blir hackade. Enbart de servrar som behöver nå varandra kan då nå varandra.
Passthrough rimmar halvdant med HA, pfSense är ingen fara, däremot om du har 3 noder med pfSense med passthrough på node1 och node1 dör så dör även nätet, skulle gå att konfigurera ett HA kluster med 3 virtuella pfSense en på varje node och exkludera dessa från att flyttas.
Det går med hjälp av proxmox att dirigera trafik efter regler
https://pve.proxmox.com/wiki/Open_vSwitch
https://pve.proxmox.com/wiki/Network_Model
VirtIO kan användas istället för att emulera ett nätverkskort och ger högre prestanda.
Har inte riktigt tiden idag, kanske till helgen. Annars kommer här ett par /etc/network/interfaces exempel om detta hjälper dig att förstå (de är riktade till din setup)
auto lo
iface lo inet loopback
iface eth0 inet manual
iface eth1 inet manual
iface eth2 inet manual
iface eth3 inet manual
iface eth4 inet manual
iface eth5 inet manual
#MGMT
auto vmbr0
iface vmbr0 inet static
address 192.168.1.x
netmask 255.255.255.0
gateway 192.168.1.1
bridge_ports eth0
bridge_stp off
bridge_fd 0
#WAN pfSense
auto vmbr1
iface vmbr1 inet manual
bridge_ports eth1
bridge_stp off
bridge_fd 0
#LAN pfSense
auto vmbr2
iface vmbr2 inet manual
bridge_ports eth2
bridge_stp off
bridge_fd 0
#DMZ pfSense
auto vmbr3
iface vmbr2 inet manual
bridge_ports eth3
bridge_stp off
bridge_fd 0
Detta borde fungera när jag tänker efter du behöver dock en kabel in i MGMT porten från switchen om du vill ha en sådan. eth1 går med kabel från ISP, eth2 till LAN switchen eth3 bör inte behöva någon kabel.
Sätt alla servrar som ska ha DMZ på vmbr3 och alla som ska ha LAN på vmbr2 och kör in en kabel i eth2 till LAN switch och om du ska ha fler maskiner i DMZ en kabel i eth3 till DMZ switch. Är dock inte helt 100 på om denna konfiguration fungerar.
#LAN Proxmox
auto vmbr0
iface vmbr0 inet static
address 192.168.1.x
netmask 255.255.255.0
gateway 192.168.1.1
bridge_ports eth0
bridge_stp off
bridge_fd 0
#DMZ proxmox
auto vmbr1
iface vmbr1 inet static
address 10.10.10.x
netmask 255.0.0.0
gateway 10.10.10.1
bridge_ports eth1
bridge_stp off
bridge_fd 0
#WAN pfSense
auto vmbr2
iface vmbr2 inet manual
bridge_ports eth2
bridge_stp off
bridge_fd 0
#LAN pfSense
auto vmbr3
iface vmbr3 inet manual
bridge_ports eth3
bridge_stp off
bridge_fd 0
#DMZ pfSense
auto vmbr4
iface vmbr4 inet manual
bridge_ports eth4
bridge_stp off
bridge_fd 0
Detta borde definitivt fungera men kräver en kabel mellan eth 1 och eth 4 och kommer kräva att eth3 går in i en switch och att en kabel går tillbaka från switchen till servern in i eth0.
Har du en vettig switch kan du också göra en bond (link aggregation på 2 portar) Dessa ska då helst vara på samma nätverkskort och leder till att DMZ Proxmox kommer hamna på ditt pci kort.
auto bond0
iface bond0 inet manual
slaves eth0 eth1
bond_miimon 100
bond_mode 802.3ad
#LAN Proxmox
auto vmbr0
iface vmbr0 inet static
address 192.168.1.x
netmask 255.255.255.0
gateway 192.168.1.1
bridge_ports bond0
bridge_stp off
bridge_fd 0
I pfSense är det inga problem att göra regler för de interna näten du kan routa (och köra Allow eller NAT) så plex server på 10.0.10.20 kan nå NAS på 192.168.1.30 via tex port 445 tcp och vice versa. (445 är en del av SMB/CIFS)
Då får du sätta upp en VNC med GUI på varje maskin vilket blir jobbigt, här är iaf en config fil för TigerVNC på Ubuntu
#!/bin/sh -e
### BEGIN INIT INFO
# Provides: vncserver
# Required-Start: networking
# Default-Start: 3 4 5
# Default-Stop: 0 6
### END INIT INFO
PATH="$PATH:/usr/X11R6/bin/"
# The Username:Group that will run VNC
export USER="user"
#${RUNAS}
# The display that VNC will use
DISPLAY="1"
# Color depth (between 8 and 32)
DEPTH="16"
# The Desktop geometry to use.
#GEOMETRY="<WIDTH>x<HEIGHT>"
#GEOMETRY="800x600"
#GEOMETRY="1024x768"
GEOMETRY="1280x1024"
# The name that the VNC Desktop will have.
NAME="DINSERVER"
OPTIONS="-name ${NAME} -depth ${DEPTH} -geometry ${GEOMETRY} :${DISPLAY}"
. /lib/lsb/init-functions
case "$1" in
start)
log_action_begin_msg "Starting vncserver for user '${USER}' on localhost:${DISPLAY}"
su ${USER} -c "/usr/bin/vncserver ${OPTIONS}"
;;
stop)
log_action_begin_msg "Stoping vncserver for user '${USER}' on localhost:${DISPLAY}"
su ${USER} -c "/usr/bin/vncserver -kill :${DISPLAY}"
;;
restart)
$0 stop
$0 start
;;
esac
exit 0
Helt sonika stulen från någon
På Ubuntu 14.04 behöver du köra
sudo chmod +x /etc/init.d/vncserver
Om jag bara får flika in ang HA och behovet av SAN. Ja, ska en hypervisor tar över körande VMar från en annan utan nertid krävs det ju någon form av gemensam lagring. Det behöver ju dock inte nödvändigtvis vara ett Hitachi SAN för 2 mille I princip alla nyare NAS burkar klarar ju av att dela ut iSCSI disk via ethernet till 2 burkar.
Bir ju då såklart NASen som blir single point of failure, men... Duger ju kanske för en hemmalösning?
