שימוש בשני כרטיסי רשת בserver

[Popcorn110]

יש לי server עם שני כניסות lan
אני רוצה שאחד יתחבר לserver (AD DC)
והשני יתחבר למחשב וירטואלי שקיים על המחשב - אבל אני רוצה שלמחשב הוירטואלי לא תיהיה גישה בכלל לרשת
אלה שני חיבורי רשת לגמרי

1 - יתחבר לserver ולרשת שרשאית לגשת לסרבר
2- יתחבר רק למחשב הוירטואלי שנמצא על הסרבר (המחשב מתחבר לרשת השניה, מדפסות , מחשבים וכו')

יש אפשרות להפריד בניהם?
אם כן, איך עושים את זה?

תודה

[Dor1992]

@Popcorn110
·

תסביר עוד פעם מה הכוונה שלך?
יש לך רשת Lan אחת בבית ואתה רוצה שהסרבר יהיה בה ושהמחשב הוירטואלי לא תהיה לו גישה בכלל לרשת הLan או שלא תהיה לו גישה רק החוצה לWan?

[Popcorn110]

@Dor1992
·יש לי שתי רשתות שונות (במשרד), שתי adsl
אחת מחוברת על lan עם SERVER שהוא DOMAIN
ואחת מחוברת לרשת אחרת, רגילה

אני צריך תוכנה שתרוץ ברקע ברשת הרגילה
אני רוצה להתקין אותה על מחשב וירטואלי שנמצא ב SERVER

אבל לחבר כך שהרשת הרגילה לא תוכל לגשת לרשת ה DOMAIN

[Dor1992]

@Popcorn110
·

אוקיי הבנתי

אני כמעט בטוח שאתה צריך 2 כרטיסי רשת בסרבר ככה שתהיה לו גישה לשתי הרשתות. אני לא חושב שיש איזשהו מצב שמחשב וירטואלי יכול לדמות כרטיס רשת גם כי זה בכל זאת רכיב פיזי כבר.

ברגע שלסרבר יש 2 כתובת אייפי ככה המחשב הוירטואלי בסרבר יוכל להיות שייך לשתי הרשתות ויוכל לתת שירות ברשת אחת מבלי שבכלל תהיה לקליינט גישה לרשת השנייה.

זה פשוט מאוד.. השרת עתמו פשוט יהיה שייך לשתי רשתות בנפרד.

[Popcorn110]

@Dor1992
·
יש לי 2 כרטיסי רשת בסרבר

השאלה איך אני מגדיר בסרבר שהכרטיס השני ישמש רק למחשב הוירטואלי
ולא תיהיה לו גישה לסרבר

הרי שאני מחבר אותו לסרבר, הסרבר מקבל כתובת IP ממנו
גם איך אני גורם שלא תיהיה התנגשות?

[Dor1992]

@Popcorn110
·

אני לא חושב שאתה צריך להגדיר איזה משהו מיוחד. זה נשמע לי די סטנדרטי.

ניסית פשוט להגדיר במחשב הרגיל של הסרבר רשת אחת ובמחשב הוירטואלי של הסרבר את הרשת השנייה?

כשאתה משתמש במחשב הוירטואלי אתה מצליח לראות בלוח הבקרה את 2 הרשתות? וכך גם במחשב הרגיל?

חיברת כבלי רשת ל2 הכרטיסי רשת בסרבר? כי אם כן אתה אמור לראות גם במחשב הרגיל וגם במחשב הוירטואלי את 2 הכרטיסי רשת, ובעצם את 2 הרשתות.

[Dor1992]

@Popcorn110
·

אם אתה לא רוצה שלמחשב הוירטואלי תהיה בכלל גישה לרשת השנייה תמחק פשוט את הכרטיס רשת השני מההתקנים במחשב הוירטואלי. או שאתה חושש שמישהו שמשתמש במחשב הוירטואלי יתקין בחזרה את הדרייבר של הכרטיס רשת השני?

אם אתה חושש מכזה דבר אז יש המון דרכים לחסום התקנות של דרייברים. לדוגמא תוכל להגדיר במחשב הוירטואלי שרק משתמש הAdmin של מערכת ההפעלה יוכל להתקין דרייברים.

[udif]

אם איזה תוכנה אתה מקים רשת וירטואלית?
ב Hyper-V למשל אתה מקים בנפרד מתג תקשורת (virtual switch manager), קובע איזה כרטיס פיזי מחובר אליו, ומה סוג החיבור: External, Internal או private.
כרטיס הרשת משמש רק ב External בגלל ש Internal זה חיבור רשת וירטואלי למחשב ה host שלך, ו private זה ללא חיבור רשת בכלל.

בקיצור מה שאתה שואל זה משהו די סטנדרטי. את כרטיס א' תחבר כרגיל, את כרטיס ב' תבטל ברשת הפנימית שלך, אבל תשתמש בו כשתגדיר רשת וירטואלית למחשב הוירטואלית.

אני בטוח שלפתרונות וירטואליזציה אחרים (vmware, virtualbox)יש מנגנונים דומים.

בכל מקרה, עם סוויצ' פיזי מתאים (לא סוויצ' טיפש) ניתן לעשות זאת גם עם כרטיס רשת יחיד באמצעות VLANs.

[sys_admin]

@Popcorn110
·
למרות שנראה שיש לנו כאן מקרה מובהק של המשחק הידוע והמוכר של הטלפון השבור, שבמסגרתו בין הסיפור המקורי לבין מה שהגיע לכאן יש דברים שנצטרך להשלים או לנחש וכל פיסה נוספת של מידע בסיפור סותרת את הפיסה הקודמת של הפאזל זה, בכל זאת אנסה לנחש את הסיפור המקורי ואת השאלה שבא אחריו.

לפי מה שמסתמן, יש שני רשתות נפרדות עם שני נתבים שונים שמחברים כל אחד את הרשת שלו לאינטרנט. ברשת אחת יש שרת WINDOWS כלשהוא שגם רוצים שיתפקד כמארח של מכונות וירטואליות. אם אכן מדובר על שרת MICROSOFT , אז מדובר על מערכת של Hyper-V . אותו שרת משמש גם כ DC יחיד ברשת.
המכונה הווירטואלית שצריכה לרוץ עליו לא צריכה לראות את הרשת של עם DOMAIN וכן צריכה להיות ברשת השנייה. שרת DC גם צריך להיות לא נגיש מהרשת השנייה, שהיא ללא DOMAIN. לשרת זה קיים כרטיס רשת פיזי עם שני פורטים.

אם ניחשתי את הסיפור המקורי, אז מדובר כאן על דבר טריוויאלי לגמרי, שניתן לבצע אותו בקלות.

הנה השלבים של מה שצריך לעשות.
מגדירים etherchannel במתג לשני הפורטים של השרת וגם בשרת מגדירים את אותו etherchannel בהתאם.
אחרי זה על etherchannel זה מגדירים VLAN Trunk בצד המתג ואת VLAN של רשת שבה נמצא DC מגדירים כ Native VLAN . כך שרת DC נמצא ברשת שהוא צריך להיות.
בממשק ניהול של Hyper-V יוצרים Virtual Switch שמחובר ל External Network דרך etherchannel שיצרנו מקודם בשרת זה. בהגדרות של מכונה וירטואלית נדרשת מגדירים אותה כ Access ל VLAN של רשת ללא ה DOMAIN.
כל הפורטים Access של מתג פיזי משייכים ל VLAN רלוונטי להם.
זה כל הסיפור.

קיבלנו מחשב וירטואלי שיושב על שרת MICROSOFT ונמצא ברשת נפרדת ממנו ושרת זה נמצא רק ברשת שהוא צריך לשמש שם כ DC.
צירפתי צילום מסך של ממשק Hyper-V רלוונטי.

[Popcorn110]

@sys_admin
·
השלמת את הסיפור במלואו
רק תוספת אחת, אין סוויץ חכם ואין vlan ברשת.

מה שכן יש זה שני כרטיסי רשת פיזי שונים במחשב.
השאלה שלי היא איך אני מחבר למחשב (סרבר) שני כרטיסי רשת שונים
אבל אומר לסרבר לא להשתמש באחד מהם (כביכול זה כמו לעשות disable במחשב רגיל)
רק בווינדוס יש hyper-v שאנו רוצה שכן ידע לדבר עם הכרטיס הזה בלבד

תודה רבה

[NegativeIQ]

@Popcorn110
אין שום בעיה למנוע מ-VM גישה לכרטיס רשת של ה-Host, פשוט תגדיר ל-VM כרטיס רשת וירטואלי אחד ותעשה Bridge לכרטיס הפיסי שאתה רוצה שתהיה אליו גישה. אל תגדיר אף כרטיס וירטואלי כ-Bridge לרשת עם ה-AD ואף כרטיס רשת במצב NAT וזהו.
הבעיה היא כמובן בכיוון ההפוך - אין שום דרך למנוע מה-Host מלגשת לרשת שמיועדת ל-VM.

[sys_admin]

@sys_admin
·
השלמת את הסיפור במלואו
רק תוספת אחת, אין סוויץ חכם ואין vlan ברשת.

מה שכן יש זה שני כרטיסי רשת פיזי שונים במחשב.
השאלה שלי היא איך אני מחבר למחשב (סרבר) שני כרטיסי רשת שונים
אבל אומר לסרבר לא להשתמש באחד מהם (כביכול זה כמו לעשות disable במחשב רגיל)
רק בווינדוס יש hyper-v שאנו רוצה שכן ידע לדבר עם הכרטיס הזה בלבד

תודה רבה

...

·

ללא שימוש במתג מנוהל ובהגדרות של VLANs כפי שהסברתי אותן לפני זה לא יעזור כלום. כי, אם אתה "אומר" לא להשתמש באחד הכרטיסי רשת "לסרבר", אז פשוט לא תוכל להשתמש בכרטיס זה גם במערכת של Hyper-V בשרת זה וגם לא לתקשר דרכו במכונות הווירטואליות שבשרת זה. רק שימוש ב VLAN Trunk נותן לך את האפשרות הפשוטה של להשאיר את הסגמנט הרשת שעובר ב Tagged VLAN ב VLAN Trunk זה כבלתי נראה למערכת ההפעלה של השרת, גם משכבה של L2 (דבר שחיוני בסגמנט רשת L2 משותף, כפי שיש במקרה שלך ). ומצד שני זה נותן לך את האפשרות של תקשורת עם סגמנט רשת שעובר בתוך VLAN Trunk כ Native VLAN בצורה שקופה לצורך המערכת הפעלה של השרת DC ולצורך של תקשורת של רשת שמחוברת ל Native VLAN.

מדובר על דבר הכי בסיסי ופשוט, גם בהקשר של שרתי וירטואליזציה וגם בהקשר של עבודה עם מכונות וירטואליות שרצות בשרתים אלה. אין כאן שום חידוש וכך מחברים מערכות כאלה לשרתי Hyper-V כבר מעל עשור.

[sys_admin]

@Popcorn110
אין שום בעיה למנוע מ-VM גישה לכרטיס רשת של ה-Host, פשוט תגדיר ל-VM כרטיס רשת וירטואלי אחד ותעשה Bridge לכרטיס הפיסי שאתה רוצה שתהיה אליו גישה. אל תגדיר אף כרטיס וירטואלי כ-Bridge לרשת עם ה-AD ואף כרטיס רשת במצב NAT וזהו.
הבעיה היא כמובן בכיוון ההפוך - אין שום דרך למנוע מה-Host מלגשת לרשת שמיועדת ל-VM.

...

·

כמובן שזה לא נכון, וגם מכמה סיבות מאוד פשוטות ואחת מהן, היא שבכל כרטיס רשת שמוגדר כ Bridged עם כרטיס רשת אחר, כל התקשורת L2 ב BRIDGE זה נגישה לשני כרטיסי רשת אלה וגם סיבה נוספת מספיק טובה היא שבמערכת של Hyper-V לא מגדירים כרטיס רשת כ Bridge, אלה שיוצרים בה Virtual Switch שאחד הפורטים שלו ניתן לקשר לממשק רשת פיזי.
ואם משתמשים בכרטיס רשת פיזי שזמין במערכת ההפעלה של השרת ועוד שמחובר בהמשך למתג פיזי אחר, אז גם השרת המערכת הפעלה של השרת וכל השירותים בה יהיו נגישים לאותה הרשת פיזית, גם הפוך כל הרשת זו תוכל לגשת לשרת זה.
כך שלא צריך לנסות לבלבל את הפותח הדיון, שגם כך הוא מצליח לגמרי לבד התבלבל בדברים הכי פשוטים אלה.

[udif]

@sys_Admin לא מבין למה אתה מסבך:

את הרשת של ה HOST מחברים לכרטיס הרשת הראשון.
את הרשת של ה VM מחברים לחיבור הרשת הפיזי השני.

מגדירים ב HYPER-V מתג וירטואלי חדש בעזרת ה virtual switch manager, בוחרים במצב external ומחברים אותו לכרטיס הרשת השני. בנוסף דואגים לכבות את האופציה 'Allow management operating system to share this network adapter' ובכך מונעים מה HOST גישה רגילה לכרטיס הרשת השני וכל מה שמחובר אליו.

מה הבעייה במה שהגדרתי? לא צריך שום VLAN במקרה הזה.