Layer 3 Switch und bond0 (LACP)

[whiterabbit]

Hallo.
Hier ist ein Problem aufgetaucht, das damit zusammehing, dass wir auf unserem Layer3 Switch mit diversen ACL-Regeln experimentiert haben und trotzdem keinen Traffic von einem Subnetz in ein anderes leiten konnten. Nach "endloser" Suche auf dem Switch kam die Idee auf, dass es evtl am Hypervisor liegen könnte, wenn der nur auf Layer2 arbeite!?!?
Ein Blick in die /etc/network/interfaces zeigte dann, dass im Moment diese Einstellungen aktiv sind:

auto bond0
iface bond0 inet manual
slaves eth1 eth2 eth3 eth4
bond_miimon 100
bond_mode 802.3ad

Es fehlt also ein Eintrag wie

bond_xmit_hash_policy layer2+3
oder
bond_xmit_hash_policy layer3+4

Daher die Frage: Kann es daran liegen? Wie reagiert der Hypervisor, wenn in den Einstellungen GAR nichts eingetragen ist? Und falls es das sein kann: Welche Einstellung ist zu bevorzugen?
Danke!

 

[dcsapak]

default ist 'layer2' siehe https://github.com/torvalds/linux/blob/master/Documentation/networking/bonding.txt für details

 

[whiterabbit]

d.h. dass die Ursache des Problems tatsächlich hier liegt, ja?
Ich werden 3+4 ausprobieren. Danke für die Infos!

 

[whiterabbit]

Ok, ich habe die Option eingetragen und kann jetzt von einem Host in VLAN.50 auf einen anderen Host in VLAN.60 zugreifen. Was mir aber nicht einleuchtet: Nun komme ich plötzlich von JEDEM anderen VLAN auch auf die IP in VLAN.60! Das sollte so eigentlich nicht klappen, da die ACL-Regeln auf dem L3-Switch das verbieten. Routet der Proxmox mit der o.g. Option nun auch selbst oder wie muss ich das verstehen?

 

[dcsapak]

Ohne mehr informationen (configs, etc.) schwer zu sagen was hier das problem ist

 

[whiterabbit]

.. welche brauchst du?

 

[fireon]

Switchmodel, Switchconfig.

 

[whiterabbit]

Also: der L3-Switch ist ein Cisco SG300 Small Business Switch. Der hat diverse VLANs eingestellt und eigentlich sind alle VLANs per ACE/ACL voneinander abgechottet. Das ursprüngliche Problem war nun, dass ein VLAN auf eine IP in einem anderen VLAN zugreifen können sollte. Das hat aber nicht so geklappt wie ich mir das vorgestellt hatte. Daher hatte ich mir auch die Gegenseite angesehen und auf das Bond0 geschaut (4-fach bond.0 mit LACP an den L3-Switch). Nachdem ich die Option "bond_xmit_hash_policy layer3+4" aktiviert hatte und den Proxmox-Server neu gestartet hatte, gab es plötzlich merkwürdige Effekte, denn jetzt konnte ich von allen VLANs auf die freigegebene IP zugreifen. Es sah danach aus, als würde der Proxmox-Server jetzt plötzlich selbst anfangen zu routen und sich nicht um die Einstellungen auf dem L3-Switch kümmern. Kann sowas sein? Ich komme leider nicht weiter, da ich keine Idee mehr habe, in welche Richtung ich das Problem weiter eingrenzen kann ...

 

[fireon]

Sorry, Cisco hab ich keinen Plan, wir haben hier nur HP.

 

[whiterabbit]

Ich muss leider nochmal genauer nachfragen: Die Option layer2+3 dient zur Lastenverteilung auf dem bond. Aber in der oben verlinkten Doku steht auch

"This policy is intended to provide a more balanced
distribution of traffic than layer2 alone, especially
in environments where a layer3 gateway device is
required to reach most destinations."

Wie ist es jetzt: Ist die Einstellung 2+3 optional oder zwingend, wenn man einen Proxmox mit bond.0 (LACP) und einem Layer-3-Switch benutzt?

 

[fireon]

Ich schätze mal optional. Aber wenns der Switch kann, stell ich es immer ein. Hat bei den letzten 40 Stück immer schön funktioniert