_前排提示，这绝不是一个最佳实践，它是在成本和硬件资源被限制的情况下，找到的一个折衷。_

## 故事背景

公司的网络拓补大概是这样的。最外面是一台防火墙，然后连着一台核心交换机（A），然后核心交换机上挂了若干台服务器和 AC，此外还有一台交换机（B）充当汇聚层。到这里为止，除了没有堆叠等高可用技术的使用，其实拓补层面上还算正常。

但是，要命的来了，在这台充当汇聚层的交换机（B）下面，又挂了 18 台傻瓜桌面交换机，每台傻瓜桌面交换机有 12 个口。

这种时候，如果办公室里面有一个人的电脑因为各种原因出现了问题，导致其出现了 ARP 攻击行为，整个办公室的所有傻瓜交换机都会出现问题而导致所有电脑都无法上网。

而更要命的是，这时候你登录到充当汇聚层的交换机（B）里面，你会发现根本没有办法判断到底广播风暴的源头是哪里。

最有效的办法就是换设备，将那些傻瓜桌面交换机都换成网管交换机，问题就很容易解决了。

那如果没有预算呢？而且还一定要保持 PC 的端 IP 地址没有变化（不能划分新的子网）呢？

## 应对思路

先看那些傻瓜交换机，这方面肯定没有什么办法了，毕竟开机就能用的东西，没有办法做任何配置。

所以，我们要达到的最理想的情况就是当发生广播风暴时，影响局限在一台傻瓜交换机里面。

我们知道 ARP 广播风暴的影响是通过二层网络作用的，而划分 VLAN 就能够起到隔离广播风暴的作用，如果我们能够给那台汇聚交换机（B）的每个端口划分一个 VLAN，那广播风暴将只能在一个 VLAN 里，从而不去影响其他的傻瓜交换机。

然而我们的情况并不允许我们划分新的子网，这是因为这家公司只是一个集团下辖的子公司，我们并不能随意的新增子网地址。

那有没有办法把一个子网地址，分布在不同的 VLAN 里，还要他们之间能够实现相互访问？

## Super VLAN

Super VLAN 利用 ARP Proxy 技术能够将

一个不完善的办公室网络解决方案

本文最后修订时间为 2022 年 07 月 25 日，以下描述基于本文最后修订时间可能会有调整。

## 前言

Maven Central [repo1.maven.org] 的服务器地址位于美国，即便是使用亚太的代理去访问有时候速度也是不怎么理想。

而国内的镜像站关的关，慢的慢，总之没有十分理想的替代品。

所幸的是，Apache Maven 的发起人 Jason van Zyl 创建了一个完整的中央仓库的镜像并托管在了 Google 云存储上。

## 项目地址

https://storage-download.googleapis.com/maven-central/index.html

Jason van Zyl 在 Blog 里面介绍了为什么要创建这个中央仓库的副本。

http://takari.io/2015/10/28/google-maven-central.html

得益于 GCS 覆盖了美国，欧洲，亚太的服务器节点，这个仓库要比 Maven Central [repo1.maven.org] 的速度快得多。

使用 GCS 的 Maven 中央仓库

可不可以在局域网内使用 Samba (共享文件夹) 来安装 Office 2016/2019 呢？

当然是可以的。

可不可以在安装 Office 2016/2019 时选择选择自己所需要的功能呢？

当然也是可以的。

## 创建描述文件

这是一份将会只生成 Word，Excel，PowerPoint，以及 Visio 的描述文件。

```xml
<Configuration>
  <Add OfficeClientEdition="64" Channel="PerpetualVL2019" AllowCdnFallback="True">
    <Product ID="ProPlus2019Volume">
      <Language ID="zh-cn" />
      <ExcludeApp ID="Access" />
      <ExcludeApp ID="Groove" />
      <ExcludeApp ID="Lync" />
      <ExcludeApp ID="OneDrive" />
      <ExcludeApp ID="OneNote" />
      <ExcludeApp ID="Outlook" />
      <ExcludeApp ID="Publisher" />
    </Product>
    <Product ID="VisioPro2019Volume">
      <Language ID="zh-cn" />
      <ExcludeApp ID="Groove" />
      <ExcludeApp ID="OneDrive" />
    </Product>
  </Add>
</Configuration>
```

描述文件也可以使用 Office Tool Plus 完成创建。

下载地址: [https://otp.landian.vip/zh-cn/](https://otp.landian.vip/zh-cn/)

## 下载安装文件

下载 Office Deployment Tool

[https://www.microsoft.com/en-us/download/details.aspx?id=49117](https://www.microsoft.com/en-us/download/details.aspx?id=49117)

安装后，能够看到一个 setup.exe 和若干个 xml 文件，你可以删掉那几个 xml 文件，也可以置之不理。

将我们的描述文件 configuration.xml 放到 setup.exe 所在的目录，并使用 CMD 执行如下命令

```cmd
setup.exe /download configuration.xml
```

一切顺利的话，你会看到一个名为 Office 的文件夹。

## 创建共享文件夹

使用 Windows 搭建一个共享文件夹，当然你也可以使用 Linux 搭建一个 Samba 服务器，然后将 setup.exe configuration.xml 以及 Office 放到这个共享文件夹中。

确保你能够在其他计算机上使用类似 `\\192.168.10.254\OFFICE2019\` 的方式访问到安装文件。

## 创建一个安装脚本

- Network-INSTALL-OFFICE.bat

```batch
@echo off

setlocal

::Store working directory to return after finished
set WORKDIR=%CD%

::Map and switch to a network drive and give it unmapped drive letter
pushd \\192.168.10.254\OFFICE2019\

::Store the name of the network drive so it can be unmapped when finished
Set NETDRIVE=%CD%
set NETDRIVE=%NETDRIVE:\=%

::Change back to the original directory
cd /d %WORKDIR%

::Run commands with the network drive mapped
%NETDRIVE%\setup.exe /configure

::Uncomment this to catch errors from the executable
::if %errorlevel% GTR o exit %errorlevel%

::Unmap the network drive
net use %NETDRIVE% /delete /y

endlocal
```

## 执行安装

只需要把安装脚本 Network-INSTALL-OFFICE.bat 拷贝到目标计算机上，然后双击执行即可安装。

根据本文的实际测试，千兆有线网络下，在 PD 虚拟机内安装完 Word, Excel, PowePoint 以及 Visio 总计耗时不到 5 分钟。

从局域网络安装 Microsoft Office

本文最后修订时间为 2021 年 12 月 15 日，以下描述基于本文最后修订时间可能会有调整。

_前排提醒，本文观点仅仅适用于作者本人，如果你也恰好有同样的需求，那或许对你有所帮助。_

## 一些条条框框

事实上作者对电子产品的要求十分苛刻，但是并不标准化。

* 轻薄，便携  
  这两点在作者做设备选型的时候会是首先考虑的

* 较高的屏幕素质  
  由于作者对高分屏有着强烈的执念，QHD 级别的屏幕已经成为刚需。

* 恰到好处的性能  
  作者对性能的要求实际上并不苛刻，但是应该满足特定场景的需求。

* 必要的扩展性  
  在满足上面的要求下，作者还需要对特定的场景所使用的设备有一定的扩展性要求。

* 异形本限制  
  不考虑可分离设计，作者对这种设计觉得不可接受。

所有的设备选型会尽可能同时符合以上五个需求，并针对具体场景进行取舍。

## 物品清单

### PixelBook 2017

作者心目中的最佳便携笔记本电脑，12.3 寸，1.11kg，能够刚好放到作者不大不小的双肩包里面。有着令人惊叹的颜值和手感，较好的续航能力搭配 45w 口红电源。搭配一根 type-c 转 Console 的线缆，简直是运维工程师外出办公的最佳设备。

如今的 ChromeBook 搭配 Linux 子系统（ 远超 WSL 的体验）+ Android 子系统，实际上已经能够足以胜任简单的文字办公或是轻量的代码编程。

![PixelBook-A](https://cncd-stor-1251100968.cos.ap-chengdu.myqcloud.com/Blog/my-device-list/pixelbook-a.jpg)

![PixelBook-B](https://cncd-stor-1251100968.cos.ap-chengdu.myqcloud.com/Blog/my-device-list/pixelbook-b.jpg)

2021 年 12 月 08 日更新:

随着 Macbook Air 杀入了高分屏领域，或许在未来有必要作者会考虑这台机器。

### Dell Latitude E7490 （黑苹果）

Macbook Pro 从来不是作者的目标设备，这是因为当作者在考虑使用一台 WorkStation 的时候，RJ45 与丰富的接口将变得十分重要，而且对于作者心目中的一台理想的 WorkStation 来说，金属壳从来都是减分项。

然而 MacOS 却是作者心目中的白月光，因为较少的游戏需求，加上对 MacOS 的青睐，如果要选一台具备便携能力（运维工程师有时候不得不把环境搬到什么地方去做一些事情）的 WorkStation 的话，能够运行黑苹果和丰富的接口就是作者的需求。

不过 E7490 很难买到 QHD 分辨率的版本，没办法，只能买了 E7490 再买 E7480 的屏幕进行手动更换。

E7490 的 Hackintosh 能够在除了睡眠与触摸板以外的地方，基本和白苹果没有什么区别。

![E7490](https://cncd-stor-1251100968.cos.ap-chengdu.myqcloud.com/Blog/my-device-list/e7490.jpg)


### KBS9 三盘位迷你软路由

使用了网友设计的机箱，搭配 32G SLC 的 mSATA 作系统盘，2 块 SATA 组软 Raid-1 做存储，用来放一些比较稀缺的资源。

![KBS9](https://cncd-stor-1251100968.cos.ap-chengdu.myqcloud.com/Blog/my-device-list/kbs9.jpg)

至于作者还拿它干了什么，感兴趣的可以看《个人基础设施》一文。

### ROG 硬盘盒

败家之眼的硬盘盒散热效果相当不错，作为 CZ80 的曾经使用者，觉得这个速度就中规中矩吧。

![ROG](https://cncd-stor-1251100968.cos.ap-chengdu.myqcloud.com/Blog/my-device-list/rog.jpg)

### ThinkPlus 口红电源 45w/65w

45w 用来给 PixelBook 和手机充电，65w 用来给 E7490 充电。这是联想为数不多值得推荐的产品

![ThinkPlus](https://cncd-stor-1251100968.cos.ap-chengdu.myqcloud.com/Blog/my-device-list/thinkplus-supply.jpg)

### Lenovo 10e Chromebook Tablet

这个东西买来吃灰的，本来想用来追剧，结果发现还是用 PixelBook 追剧更有意思。不过这东西续航特别强劲，或许能有用武之地。

不过这吃灰的东西，就懒得翻出来拍照了。

## 全家桶合照

![ALL](https://cncd-stor-1251100968.cos.ap-chengdu.myqcloud.com/Blog/my-device-list/all.jpg)

## 结语

如果你也是一个便携控爱好者，或是你也是一位运维工程师/SRE，希望作者的文章对你有所帮助，毕竟背着沉甸甸的电脑逛街太累了。

我的硬件设备清单

CoroSync 是我在使用 Proxmox 虚拟化的时候了解到的高可用集群方案。与 Keepalived 不同的是，该方案能够为有状态服务提供 VIP 切换。

## 设定主机名

```bash
hostnamectl set-hostname ng-a.runlion.priv
hostnamectl set-hostname ng-b.runlion.priv
hostnamectl set-hostname ng-c.runlion.priv
```

## 设定统一的 Host File

```bash
# 在所有节点上执行
echo -e "192.168.173.161 ng-a ng-a.runlion.priv\n192.168.173.162 ng-b ng-b.runlion.priv\n192.168.173.163 ng-c ng-c.runlion.priv\n192.168.173.138 ng-front ng-front.runlion.priv" >> /etc/hosts
```

## IPv4 转发设定

```bash
# 在所有节点上执行
echo -e "net.ipv4.ip_nonlocal_bind = 1\nnet.ipv4.ip_forward = 1" >> /etc/sysctl.conf
```

## 安装 Nginx

尽管本文介绍的是「使用 Corosync + Pacemaker 完成 Nginx 的高可用」，但是如何安装 Nginx 这不是本文所关注的，需要注意的是你需要为 Nginx 配置 systemd

本文使用 Yum 快速完成 Nginx 的安装

```bash
# 在所有节点上执行
yum -y install nginx
```

安装后请不要启动 Nginx

```bash
# 在所有节点上执行
systemctl stop nginx
```

## 安装 Pacemaker + CoroSync + Crmsh

Crmsh 是一款使用 Python 编写的集群管理工具，在安装前你需要配置 YUM 源

```bash
[network_ha-clustering_Stable]
name=Stable High Availability/Clustering packages (CentOS_CentOS-7)
baseurl=http://download.opensuse.org/repositories/network:/ha-clustering:/Stable/CentOS_CentOS-7/
priority=1
gpgcheck=0
enabled=1
```

然后运行以下命令完成安装

```Bash
# 在所有节点上执行
yum -y install pacemaker corosync crmsh pcs
```

## 配置 CoroSync

### 生成 CoroSync 集群之间的密钥

在开始之前，我们需要安装 haveged 以更好的生成随机数。

```Bash
# 在所有节点运行
yum install -y haveged
```

```Bash
# 在任意一个节点执行
corosync-keygen
```

### 修改配置文件

CoroSync 能够有多种方式配置集群成员，比如使用组播的方式，这样是无需在配置文件中填写成员的。不过，当网络设备不支持组播或是网络性能有限时，可以配置单播的方式，并将成员信息手动写入配置。显然，这各有利弊。请根据情况各自取舍。

本文使用单播的配置方式，并填写全部的成员信息。

```yaml
totem {
        version: 2
        cluster_name: test-ng-cluster
        token: 10000
        secauth: on
        ip_version: ipv4
        interface {
                ringnumber: 0
                bindnetaddr: 192.168.173.0
                knet_transport: sctp
        }
}

nodelist {
        node {
                name: ng-a
                nodeid: 1
                quorum_votes: 1
                ring0_addr: 192.168.173.138
        }
        node {
                name: ng-b
                nodeid: 2
                quorum_votes: 1
                ring0_addr: 192.168.173.161
        }
        node {
                name: ng-c
                nodeid: 3
                quorum_votes: 1
                ring0_addr: 192.168.173.162
        }
}

logging {
        fileline: off
        to_stderr: no
        to_logfile: yes
        logfile: /var/log/cluster/corosync.log
        to_syslog: yes
        debug: off
        timestamp: on
        logger_subsys {
                subsys: QUORUM
                debug: off
        }
}

quorum {
        provider: corosync_votequorum
}

service {
        ver:0
        name:pacemaker
}

aisexec {
        user :root
        group:root
}
```

### 向所有节点复制上述的配置文件与认证文件

```bash
cd /etc/corosync
scp -r authkey corosync.conf root@192.168.173.162:/etc/corosync
scp -r authkey corosync.conf root@192.168.173.163:/etc/corosync
```

## 启动所有的集群服务

### 启动 CoroSync

```bash
# 在所有节点执行
systemctl start corosync
systemctl enable corosync
```

### 启动 Pacemaker

```bash
# 在所有节点执行
systemctl start pacemaker
systemctl enable pacemaker
```

### 查看集群状态

```Bash
# 检查节点在线状态
crm status

# 检查 CoroSync 成员信息
corosync-cmapctl | grep members
```

## 配置 Nginx 高可用

### 关闭 Stonith

Stonith 是个好东西，但是我们没有这样的设备，所以只能关闭掉它

```bash
# 在任意一个节点执行
crm configure property stonith-enabled=false
crm configure property no-quorum-policy=ignore
```

### 配置 VIP 资源

```bash
# 在任意一个节点执行
crm configure primitive nginx_ip \
ocf:heartbeat:IPaddr2 params ip="192.168.173.138" \
cidr_netmask="32" op monitor interval="10s" \
meta migration-threshold="10"
```

### 配置 Nginx 资源

```bash
# 在任意一个节点执行
crm configure primitive nginx \
ocf:heartbeat:nginx configfile=/etc/nginx/nginx.conf \
op start timeout="40s" interval="0" \
op stop timeout="60s" interval="0" \
op monitor interval="10s" timeout="60s" \
meta migration-threshold="10"
```

### 查看资源的状态

```bash
# 在任意一个节点执行
crm resource status
```

### 创建资源组

```bash
# 在任意一个节点执行
crm configure group nginx_ha nginx_ip nginx
```

### 查看资源组的状态

```Bash
# 在任意一个节点执行
crm resource show
```

## 验证阶段

经过上面的配置，Nginx 与 VIP 应该已经被 Pacemaker 拉起，访问 <http://192.168.173.138> 应该能够看到熟悉的 Nginx 欢迎页面。

你可以关闭掉任意一台节点以验证 Nginx 与 VIP 能否实现漂移。

## 进阶讨论

尽管通过上述方案 Nginx 与 VIP 能够实现了高可用，但是 Nginx 的配置与静态资源文件并没有被集群间实现共享。网络上常见的方案是使用 GFS2 和 NFS 的方式来实现。

但是，现在到了 9102 年了，我更建议使用 GlusterFS 或是 BeeGFS 这样的分布式存储来实现集群之间的数据共享。需要注意的是，如果文件是非只读的情况下，应考虑开启分布式锁。