Opciones de VPN de Capa 2 para mitigar los bucles

Existen dos opciones para mitigar los bucles. Las instancias de NSX Edge y las máquinas virtuales pueden estar en hosts ESXi diferentes o en el mismo host ESXi.

Opción 1: separar los hosts ESXi para las instancias de Edge de VPN de Capa 2 y las máquinas virtuales

1. Implemente las instancias de Edge y las máquinas virtuales en hosts ESXi distintos.
2. Configure la directiva de formación de equipos y conmutación por error para el grupo de puertos distribuidos asociado con la vNic troncal de Edge de la siguiente forma:
   1. Establezca el equilibrio de carga en "Enrutar según el puerto virtual de origen" (Route Based on originating virtual port).
   2. Configure solo un vínculo superior como Activo (Active) y el otro como En espera (Standby).
3. Configure la directiva de formación de equipos y conmutación por error para el grupo de puertos distribuidos asociado con las máquinas virtuales de la siguiente forma:
   1. Cualquier directiva de formación de equipos está bien.
   2. Es posible configurar varios vínculos superiores.
4. Configure las instancias de Edge para que utilicen el modo de puerto de recepción y deshabilite el modo promiscuo en la vNic troncal.

Nota:

• Deshabilite el modo promiscuo: si usa vSphere Distributed Switch.
• Habilite el modo promiscuo: si usa un conmutador virtual para configurar la interfaz de enlace troncal.

Si un conmutador virtual tiene habilitado el modo promiscuo, algunos de los paquetes procedentes de los vínculos superiores que no esté usando el puerto promiscuo en ese momento no se descartarán. Debe habilitar y, a continuación, deshabilitar ReversePathFwdCheckPromisc, lo que descartará explícitamente en el puerto promiscuo todos los paquetes procedentes de los vínculos superiores que no se estén usando en ese momento.

Para bloquear los paquetes duplicados, active la comprobación de RPF para el modo promiscuo desde la CLI de ESXi donde se encuentra NSX Edge:

esxcli system settings advanced set -o /Net/ReversePathFwdCheckPromisc -i 1
esxcli system settings advanced list -o /Net/ReversePathFwdCheckPromisc
Path: /Net/ReversePathFwdCheckPromisc
Type: integer
Int Value: 1
Default Int Value: 0
Max Value: 1
Min Value: 0
String Value:
Default String Value:
Valid Characters:
Description: Block duplicate packet in a teamed environment when the virtual switch is set to Promiscuous mode.

En la directiva de seguridad de PortGroup, cambie Modo promiscuo (PromiscousMode) de Aceptar (Accept) a Rechazar (Reject) y vuelva a establecer Aceptar (Accept) para activar el cambio configurado.

• Opción 2: instancias de Edge y máquinas virtuales en el mismo host ESXi

  

  1. Configure la directiva de formación de equipos y conmutación por error para el grupo de puertos distribuidos asociado con la vNic troncal de Edge de la siguiente forma:
     1. Establezca el equilibrio de carga en "Enrutar según el puerto virtual de origen" (Route Based on originating virtual port).
     2. Configure solo un vínculo superior como activo y el otro como en espera.
  2. Configure la directiva de formación de equipos y conmutación por error para el grupo de puertos distribuidos asociado con las máquinas virtuales de la siguiente forma:
     1. Cualquier directiva de formación de equipos está bien.
     2. Solo puede haber un vínculo superior activo.
     3. El orden de los vínculos superiores activo/en espera debe ser igual en el grupo de puertos distribuidos de las máquinas virtuales y el grupo de puertos distribuidos de la vNic troncal de Edge.
  3. Configure la instancia de Edge independiente del lado del cliente para que utilice el modo de puerto de recepción y deshabilite el modo promiscuo en la vNic troncal.