Xen: Bridges and vlans

Недавно срочно понадобилось на ксеновую ноду запихать машинки из сети из влана, отличного от того, что был прокинут. Времени на то, чтобы разбираться с мостами и вланами не было, просто подцепил второй интерфейс железки, сделал мост и на него машины повесил.
Но это как-то неправильно.
Наконец, дошли руки разобраться с этим вопросом. Интуитивно всё вроде было просто, но не завелось, немного перепутал порядок настройки )

Задача по сути такая: создать несколько мостов для разных вланов. Пусть один нативный, второй с тегом.

1. Настраиваем интерфейс в нативном влане, указывая мост:

# cat /etc/sysconfig/network-scripts/ifcfg-eth1
DEVICE="eth1"
BRIDGE="br1"
ONBOOT="yes"
TYPE="Ethernet"
HWADDR="00:9A:8F:11:22:33"

2. Настраиваем бридж для нативного влана:

# cat /etc/sysconfig/network-scripts/ifcfg-br1
DEVICE="br1"
BOOTPROTO="static"
HWADDR="00:9A:8F:11:22:33"
IPADDR="111.222.34.56"
NETMASK="255.255.254.0"
ONBOOT="yes"
TYPE="Bridge"

3. Настраиваем интерфейс с тегом:

# cat /etc/sysconfig/network-scripts/ifcfg-eth1.4
DEVICE="eth1.4"
VLAN="yes"
BRIDGE="br14"
ONBOOT="yes"
TYPE="Ethernet"
HWADDR="00:9A:8F:11:22:33"

4. Настраиваем бридж для этого тега:

# cat /etc/sysconfig/network-scripts/ifcfg-br14
DEVICE="br14"
BOOTPROTO="static"
HWADDR="00:9A:8F:11:22:33"
IPADDR="222.33.45.67"
NETMASK="255.255.254.0"
ONBOOT="yes"
TYPE="Bridge"

Рестарт сети и готово )
Да, возможно модуль для вланов понадобится запихать
modprobe 8021q

Теперь можно прокидывать в виртуалки оба влана, прицепляем новый мост:

xm network-attach test-ve mac=00:16:3e:87:b5:6c bridge=br14 script=vif-bridge

tshark and port 3333

Офигенный прикол - если дампить трафик tshark с параметрами

tshark -l -i p33p1 -f 'port 3333' -T fields -e frame.date -e frame.time -e ip.src -e ip.dst -e tcp.srcport -e tcp.len -e data

то акула не покажет содержимое пакета дальше tcp хедера.
Оказалось, что она резолвит порт 3333 в протокол ENTTEC и выводит содержимое пакета только при указании полей  enttec.

Решается путём запрета резолва протокола enttec в конфиг файлике )
Походу, справедливо для всех известных протоколов

EX4200: JunOS upgrade

Надо обновить ось на juniper ex4200. Стоит совсем старая 10.0, надо вкатить свежую 11.4Предположим, что мы его сбросили to factory:
На панелке свича находим в меню раздел обслуживания, там нашли фактори и подтвердили сброс.
Потом выставили дату и рутовый пароль (в cli):

set date 201202011053
set system root-authentication plain-text-password

Зацепились миникомом, настройка:

Serial Device      : /dev/ttyS0
Lockfile Location     : /var/lock
Callin Program      :
Callout Program      :
Bps/Par/Bits       : 9600 8N1
Hardware Flow Control : No
Software Flow Control : No

Качаем инсталлер отсюда:
http://www.juniper.net/support/products/junos/dom/11.4/#sw
а именно вот это:
https://download.juniper.net/software/junos/11.4R1.6/jinstall-ex-4200-11.4R1.6-domestic-signed.tgz
и лодер:
https://download.juniper.net/software/junos/specials/jloader/jloader-ex-3242-11.3I20110326_0802_hmerge-signed.tgz

Сначала накатывается новый загрузчик, зачем это надо - описано тут:
http://www.juniper.net/alerts/viewalert.jsp?actionBtn=Search&txtAlertNumber=PSN-2011-03-201&viewMode=view
потом ребут и накатывается сам инсталлер.

зашли, настроили один порт - чтобы скачать всё.
я всё хозяйство к себе качал, по scp заливаю на свич. Заливать надо именно в /var/tmp, иначе при установке придётся соснуть хцов из-за нехватки места.

cd /var/tmp scp xxx@192.168.48.33:~/Downloads/jloader-ex-3242-11.3I20110326_0802_hmerge-signed.tgz .
scp xxx@192.168.48.33:~/Downloads/jinstall-ex-4200-11.4R1.6-domestic-signed.tgz .

ставим загрузчик:

cli
request system software add jloader-ex-3242-11.3I20110326_0802_hmerge-signed.tgz

request system reboot

Если установка зафейлилась - гуглим. Скорее всего либо дата кривая, либо джунос саааавсем старый.

Теперь инсталлер:

cd /var/tmp
cli
request system software add jinstall-ex-4200-11.4R1.6-domestic-signed.tgz
request system reboot

При загрузке видим:

Copyright (c) 1996-2011, Juniper Networks, Inc.
All rights reserved.
Copyright (c) 1992-2006 The FreeBSD Project.
Copyright (c) 1979, 1980, 1983, 1986, 1988, 1989, 1991, 1992, 1993, 1994
        The Regents of the University of California. All rights reserved.
JUNOS 11.4R1.6 #0: 2011-11-15 10:57:04 UTC

VLAN'ы в линуксе - нюанс

Столкнулся с ситуацией - поднял неск. вланов на серваке, все на одном физическом интерфейсе. Внутри вланов все интерфейсы видно, а снаружи видно только один - в котором дефолт. Смотрю tcpdump - трафик в другие вланы приходит и дропается, попыток ответить нет. Оказалось, что виноват rp_filter - reverse path filtering. Вырубаем сисктлом и не забываем прописать в sysctl.conf:

sysctl -w net.ipv4.conf.all.rp_filter=0
sysctl -w net.ipv4.conf.default.rp_filter=0
sysctl -w net.ipv4.conf.eth0.rp_filter=0
....

и так далее по всем интерфейсам
Потестил на разных дистрах - в шестом дебиане по дефоту отключено, в центосе и бубубунте включено.

Если при загрузке не поднимается сеть.

Себе на заметку: не забудь проверить /etc/sysconfig/network-scripts/ifcfg-,
опция "ONBOOT".

Linux для домашнего роутера

Обнаружил интересную штуку: OpenWRT
Это открытая прошивка для роутеров, основанная ни линуксе. мой девайc Acorp WR-G+, к сожалению, в список поддерживаемых устройств не входит.
эх, надо было Линксис брать..