与业主协会的另一名成员一起，我的任务是为我们的公寓楼设计和设置共享的高速互联网接入。我们的预算非常少，并且希望能够做到这一点，而硬件已经在手边（意思是不是最先进的）。

作为系统管理员，我有十多年的经验，但专注于服务器端。虽然对（大部分）术语并不陌生，并且至少在设置较小的网络方面有一些实践经验，但设计这样的设置肯定超出了我的主要能力范围。

我对如何做到这一点有一个想法，但我可能没有考虑到所有事情，当然欢迎第二个意见和健全性检查。

虽然这个问题是基于我的具体挑战，但我认为答案将形成一种普遍合理的方法，以在预算紧张的情况下建立公平共享、分段、多租户的互联网访问。我希望这个网站可以接受。

这怎么做最好？

范围

环境

• 54 套现有 CAT5e 布线的公寓
• 公寓将大约 50/50 分成两个配线间，中间有一根 CAT5e 电缆（以后可能会添加另一根）
• 基于光纤的互联网连接，最初上限为 300 Mbps，将在一个配线间终止
• 没有对 Internet 路由器的管理访问权限

硬件软件

所有硬件至少使用 5 年。有些是我们不久前买的，有些是送给我们的，因为它对于该公司的生产用途来说太旧了（昂贵的服务、性能等等）。

• HP Proliant DL380 G6，双 Xeon CPU，32 GB RAM，4 个千兆网卡
• 2 x Dell PowerConnect 5324 千兆托管交换机
• 2 个 HP ProCurve 2524 托管 100 Mbit 交换机
• 由于现有知识和经验，pfSense 作为网关/防火墙的首选
• 首选在 VMWare ESXi 上运行虚拟防火墙，因为它具有可管理性（快照、完整映像备份、硬件抽象）以及运行小型 Web 服务器的可能性，而无需额外的工具包

要求和目标

• 我们必须能够共同利用我们支付的互联网带宽
• 我们希望将来能够支持更高的带宽
• 作为 100 Mbps 交换机，我们需要能够将至少两条上行链路从 HP 中继/组合到 Dell 交换机
• 公寓之间不应有通道
• IP 地址必须由 DHCP 分配给公寓
• 我们还将运行 Web 服务器和邮件服务器，它们必须可以从内部和外部访问
• 有什么明显的遗漏吗？

粗略的设计理念

物理网络

• 在每个补丁室安装戴尔千兆交换机
• 通过配线间之间的单根电缆连接两台戴尔交换机
• 使用链路聚合通过两条上行链路将 HP 100 Mbit 交换机连接到每个戴尔交换机
• 将所有服务器网卡连接到千兆端口，保留一些额外的千兆端口以供将来使用
• 将尽可能多的公寓连接到可用的千兆端口，其余的连接到 100 Mbit 端口

局域网设置

• 为每间公寓创建一个 VLAN
• 将未标记的单个 VLAN 分配给每个公寓交换机端口
• 分配在（聚合）上行链路端口上标记的必要 VLAN
• 将上行链路上标记的所有公寓 VLAN 分配给“公寓 LAN”的服务器 NIC
• 将上行链路上未标记的默认 VLAN (ID 0) 分配给“管理 LAN”的服务器 NIC

服务器

• 为“Apartment LAN”专用一个物理服务器网卡，一个用于“Administrative LAN”，一个用于“WAN”，一个用于“DMZ”
• 安装 VMWare ESXi，为每个公寓创建虚拟 NIC（使用它们的 VLAN ID），链接到“公寓 LAN”物理 NIC
• 将“WAN”服务器网卡连接到互联网路由器
• 安装和配置 pfSense 以处理路由，添加所有公寓 vNIC，

问题

• 我们的想法是否通过了您的健全性检查？设计中有任何明显的缺陷或缺陷吗？
• 期望从运行虚拟化的 pfSense 中获得 300+ Mbps 的路由是否合理？
• 我们可以/应该使用哪种链路聚合将两个不同品牌的交换机连接在一起——最好同时提供容错和n倍 100 Mbps 上行链路
• 我们能否期望 VLAN 按预期工作，结合标记和未标记、跨不同品牌的交换机、通过链路聚合并传递到 VMWare？
• 鉴于所提议的设计，我不太确定我们将如何处理路由并允许从选定公寓（管理设置的公寓）访问管理 VLAN，但总的来说，这是一件小事。

编辑：我们最终得到了什么

很抱歉无线电静音，但我们费了很大力气才能按照我们的意愿进行网络设置。事实证明这是一个真正的 PITA，试图为每个交换机端口设置隔离，跨越各种品牌的交换机。

我们得到的特定型号的戴尔交换机是少数不支持专用 VLAN 的型号之一。相反，我们购买了一台旧的 48 端口 Allied Telesis 交换机，但是虽然“私有”端口无法相互通信，但每个端口都没有与我们要求的管理网络隔离。惠普的“端口隔离”功能如宣传的那样工作，但他们没有足够的端口。

经过一番努力，我们设法获得了 1 个 48 端口和 2 个 24 端口 Cisco Catalyst 2950 - 每个都有 2 个千兆上行链路端口，其余 100 Mbit。这有什么不同！无需再为使同一功能的不同供应商变体一起工作而烦恼。

我们运行 pfSense 虚拟机，以及一些低强度的 VM，并且可以轻松地路由 300 Mbps，而不会让服务器出汗。

在总结的项目符号形式中，这是我们为实现目标所做的，也是我们目前正在运行的。希望这可以证明对某人有用。感谢您的输入！

物理网络

• 与服务器和互联网在同一房间的 48 端口交换机 - 一个千兆上行链路到服务器中的租户 NIC，另一个到另一个房间的 24 端口交换机
• 另一个房间的两台24口交换机之间的千兆上行
• 100 Mbit 端口连接到服务器中的管理 NIC
• Internet 路由器连接到服务器中的 WAN NIC

开关配置

• 免费的 Cisco Network Assistant 软件用于从同一界面配置所有设备。强烈推荐！
• VLAN 1 被指定为我们的管理网络
• 在每个租户端口上配置受保护的端口（隔离）和端口安全性（每个端口的 MAC 地址有限）
• 由于交换机只是通过以太网链接，而不是堆叠，因此“受保护端口”在交换机之间没有任何影响。也就是说，一个交换机中的租户端口可以与其他交换机上的所有租户端口通信。为了解决这个问题，我们为每个交换机创建了一个单独的租户 VLAN，（VLAN ID 与交换机 IP 地址的第四个八位字节匹配）
• 配置了“Smartports”的交换机之间的上行链路端口，以启用中继。本机 VLAN 设置为 1，允许所有其他 VLAN（已标记）
• 在交换机 A 中，租户上行链路到服务器 NIC，配置为运行租户 VLAN A 本机、VLAN B 和 C 标记

pfSense（和一点 VMWare）配置

• 为 WAN、管理 LAN、租户 LAN 服务器 NIC 设置单独的 vSwitches (VMWare)
• 租户 vSwitch (VMWare) 从 VLAN ID 0（无）更改为 4095（全部）
• 在 pfSense 中分配的接口，相应标记（WAN、管理员、租户）
• 两个 VLAN 添加到租户 NIC，租户 VLAN B 和 C 的 ID（因为 VLAN A 已经运行未标记） - 现在我们在 pfSense 中有 3 个租户接口
• 添加了三个租户接口的接口组，以简化防火墙规则的管理

这几乎就是与我的问题有关的配置。我们还添加了用于远程管理员访问的 OpenVPN，从 Windows PC 自动配置备份，添加了 DMZ 接口，并继续微调和改进我们现在超级强大的 6 接口防火墙/路由器！:-)

我的挑战

我们在各个站点都有 Exchange 服务器，但也在船上。这些船只在海上时通过卫星链路连接到我们的网络，但在港口时切换到 WiFi 网桥。

由于高延迟（500+ 毫秒）和不常见的辍学（例如，当船转弯时），在海上尝试发送任何超过几兆字节的电子邮件很可能会失败并重试直到达到限制已经达到。结果：电子邮件没有送达，每次尝试都会消耗 sat 链接上宝贵的带宽。

一种“解决方案”是将电子邮件的最大大小限制为 5 MB，但这对用户来说很不友好，并且在端口时是一种不必要的限制。

粗略的想法

我宁愿做的是将所有大于设定限制的电子邮件排队，以便稍后在海上发送，同时立即发送所有小电子邮件。当时我想我会定期 ping 我们数据中心的集线器传输服务器，当延迟下降到 ~400 毫秒以下时，我会开始处理大型电子邮件队列。当延迟超过 400 毫秒时，我会堵上漏洞，让电子邮件再次排队。

现在，自 2003 版以来，我还没有真正接触过 Exchange。那时候，你可以安排大型电子邮件稍后发送，所以我的想法是在 Exchange 2010 中做类似的事情，然后编写一个切换发送方式的脚本在“总是”和“从不”之间安排大型电子邮件。

障碍

创建这样的脚本应该不会太复杂，但后来我读到我所依赖的功能已随 Exchange 2007 一起删除：

这是 Exchange 2003 中存在的一项功能，但已从 Exchange 2007 中删除。它在 SMTP 连接器上设置为“对超大邮件使用不同的传递时间”。

技术中心：是否可以在 Exchange 中根据大小安排电子邮件递送？

问题

是真的吗？- 此功能是否不再存在于 Exchange 2010 中，或者它只是转换成类似的东西，我可以用来实现我的目标？如果是这样，什么？

有没有其他方法可以在某些 Exchange 服务器上推迟大型电子邮件的传送？它可能基于一个时间表，甚至可能需要特定的操作——我相当肯定会有某种方式通过脚本触发交付，我只需要在船上的单独队列中处理大量电子邮件。

非常感谢您对此的想法！:-)

编辑#1：精致的粗略想法

我偶然发现了两个我认为可以让我非常接近我的目标的 PowerShell CmdLets：

• Suspend-Message
• Resume-Message

我用 Get-Message 玩了一会儿，看看上面的命令会处理什么样的消息。

最重要的是，这些命令接受邮件大小过滤器。此命令将列出当前服务器上大于 5 MB（5,242,880 字节）的排队消息：

get-message -Filter {Size -gt 5242880}

它似乎Get-Message只返回来自各种远程传递队列的消息。但是在服务器内流动的消息，无论多么短暂，是否会出现在 Get/Sus​​pend/Resume-Message 会弄乱的队列中？

如果没有，解决方案可以像每隔几分钟执行一次预定脚本一样简单，大致如下（伪代码）：

if ping_rtt > 400 Then
    Suspend-Message -Filter {Size -gt 5242880}
Else
    Resume-Message
EndIf

疑虑/后续问题：

现在大部分无关紧要 - 请参阅编辑 #2。

Get-Message只会返回来自远程传递队列的消息——从不返回服务器内传递的消息吗？如果不是，远程传递队列的身份名称是否遵循某种模式，我可以使用它进行过滤？

这可以/应该通过自定义传输代理（如@longneck 所建议的那样）或事件接收器（如果此概念在 Exchange 2010 中仍然存在）来完成吗？

假设我每 5 分钟运行一次脚本，这仍然意味着要发送大量消息，可能会导致问题长达 5 分钟，然后才会被暂停。我们仍然会比现在过得更好，但这不是最优的。我可以将频率增加到每分钟，但这不是最优雅的解决方案。

即使我只每 5 分钟检查一次往返时间（以节省 sat 流量），我需要设置什么 Exchange 机制，以便在每次提交到远程传递的消息时检查最后记录的 RTT排队，然后采取适当的行动？

编辑 #2：建议的解决方案

请允许我总结一下建议的解决方案，以及我所看到的它们的优缺点：

海关运输代理

概念

• 定期监控延迟，分类为高或低（阈值：400 毫秒？）
• 通过自定义传输代理，当延迟分类发生变化时，暂停/恢复所有大于设定阈值的电子邮件
• 通过自定义 TA，如果延迟很高，立即将随后提交的大消息置于“挂起”模式

优势

• 当延迟很高时，永远不会尝试发送大型电子邮件

弱点

• 没有内部开发技能（自我注意：作为与外部开发人员合同的一部分，源代码应属于我的公司）
• 与 Exchange 相关的第 3 方软件在打补丁或更新时可能会导致问题
• 必要的某种支持协议，以防出现问题（见上文）

审核大型邮件

概念

• 定期监控延迟，分类为高或低（阈值：400 毫秒？）
• 基于延迟分类，通过脚本配置 Exchange 传输规则，让所有消息流动或将大消息转发给主持人
• 当船在港口时批准主持人队列中的消息，可能由人

优势

• 当延迟很高时，永远不会尝试发送大型电子邮件
• 使用本机本机 Exchange 传输规则暂停邮件

弱点

• 从外观上看，当延迟很低时，无法以编程方式批准消息，因此每次船舶进港时都需要人工干预
• 如果不以编程方式处理审核，可能会出现隐私问题

问题

• 是否可以通过版主邮箱以编程方式批准消息？如何？

计划的 PowerShell 命令

概念

• 定期监控延迟，分类为高或低（阈值：400 毫秒？）
• 只要延迟很高，就经常（每分钟？）暂停任何大消息 ( Suspend-Message -Filter {Size -gt 5242880})
• 当延迟降到低时，恢复所有消息 ( Resume-Message)

优势

• 实施起来非常简单

弱点

• 不是最优雅的解决方案
• 只要Suspend-Message命令之间的间隔，就可以尝试传递每个新的大消息，可能仍然会浪费一些带宽并造成拥塞（尽管与不做任何事情相比非常短暂）

问题

• 关于如何防止尝试在Suspend-Message命令之间传递大消息的任何想法？
• Get-Message只会返回来自远程传递队列的消息——从不返回服务器内传递的消息吗？如果不是，远程传递队列的身份名称是否遵循某种模式，我可以使用它进行过滤？

编辑#3：前进的道路

在我的团队中提出建议的解决方案（包括 SMTP 代理，我未能将其包含在编辑 #2 中）之后，根据我自己的直觉，我们决定采用自定义 Exchange 传输代理。

我正在与几家咨询公司联系，他们会告诉我他们将如何解决这个问题以及需要花费多少。

如果您有任何外包编程任务的经验，请随时对我在 Stack Overflow 上的相关问题留下反馈，因为我没有。

我负责 Citrix Presentation Server 4.5 场。从 11 月 30 日星期五开始，我的服务器开始随机崩溃。到目前为止，我们已经经历了 80 次崩溃，所以这显然对我们来说正成为一个越来越大的问题。我有 12 年以上的 IT 经验，所以我知道 0 和 1 之间的区别，但我很难破解它。

我们已经回滚了我能想到的针对不同服务器组的所有最近更改，但所有组似乎仍然崩溃。我没有解释内存转储来找到罪魁祸首的技能。

• 有没有人遇到过相同或类似的问题？- 可能是一般的 Windows 问题
• 除了在 WinDbg 中执行“analyze -v”之外，我如何通过内存转储来查看实际触发 BSOD 的原因？
• 有什么建议的步骤来深入了解这个问题吗？

任何帮助是极大的赞赏。如有必要，我还可以提供指向内核内存转储或 WinDbg 输出的链接。

谢谢！

问题描述

我们遇到的大多数 STOP 错误是：

• 0x0000008e KERNEL_MODE_EXCEPTION_NOT_HANDLED (50%)
• 0x0000007e SYSTEM_THREAD_EXCEPTION_NOT_HANDLED (26%)
• 0x00000050 PAGE_FAULT_IN_NONPAGED_AREA (21%)

我们还看到一些0x0000000a IRQL_NOT_LESS_OR_EQUAL (3%)。

对于 0x0000008e 和 0x0000007e 错误检查，异常代码是0xc0000005（访问冲突）。在 WinDbg 中打开转储文件时，大部分细节完全相同，分别针对所有 0x0000008e 和 0x0000007e 错误检查：

0x0000008e

• 异常地址：0x808bc9e3
• 陷阱框：[变化]
• FAILURE_BUCKET_ID：0x8E_nt！HvpGetCellMapped+97
• 可能由 (IMAGE_NAME) 引起：ntkrpamp.exe

0x0000007e

• 异常地址：0x808369b6
• 异常记录地址：0xf70d3be0
• 上下文记录地址：0xf70d38dc
• FAILURE_BUCKET_ID：0x7E_nt！MmPurgeSection+14
• 可能由以下原因引起：memory_corruption

大约 30% 的崩溃发生在 17:00 到 19:00 之间，这让我相信这种情况在注销期间更容易发生。但话又说回来，只有约 15% 发生在 15:00 到 17:00 之间。

农场概要

• Windows Server 2003 R2 SP2 上的 Citrix Presentation Server 4.5 R06
• 所有高优先级补丁，至少从 10 月开始安装
• 在 HP Proliant BL460c G6 刀片服务器上使用 VMWare ESX/vSphere 4.1 进行虚拟化
• 大约 53 台 Presentation Server 处于生产状态，分为三个孤岛 - 只有其中最大的一个受到影响
• 每个演示服务器 2 个 vCPU（保留 5 GHz）、8 GB RAM（全部保留）
• 大量可用磁盘空间
• 很少的打印机驱动程序——每晚自动删除未经批准的驱动程序
• 约 1.000 个峰值并发用户，在 10:30 左右（工作日）达到
• 会话数在 15:00 和 19:00 之间稳步下降至 ~230