جسر TAP لشبكة VLAN واحدة: اربط الواجهة الفرعية

عميل TAP وصل إلى الشبكة المحلية قبل شبكات VLAN ثم توقّف بعدها تكون لديه عادةً جسر لا يزال يحتوي الواجهة الخاطئة. تمرير الإطارات لا يضيف وسم VLAN، لذا فإن إطار عميل غير موسوم يُرسل إلى الوصلة الصاعدة الفيزيائية يصل غير موسوم على منفذ ترنك، فيُهمَل أو يستقر في شبكة VLAN الأصلية. وجود الواجهة الفرعية في مكان ما على المضيف لا يغيّر شيئاً في قائمة أعضاء الجسر. تلك هي الخرافة التي يجب قتلها أولاً: الوسم تطبّقه الواجهة التي تملكه، لا المضيف لمجرد أنه يملك واحدة.

امتداد VLAN واحد يعني نطاقاً واحداً من الطبقة 2، وعلى الجسر أن ينضم إلى ذلك النطاق بدلاً من الترنك الذي يحملها جميعاً.

لا يظهر الوسم لأنك جسرت الترنك

خذ وصلة صاعدة لينكس eno1 تحمل VLAN 120 إلى مبدّل مُدار. التصميم الذي يعمل لشبكة VLAN واحدة هو tap_vpn مجسوراً إلى br_vpn، مع احتواء br_vpn على eno1.120 بدلاً من eno1. الواجهة الفرعية للـ VLAN تطبّق الوسم عند الخروج وتزيله عند الدخول، لذا لا يرى الجسر إلا إطارات غير موسومة لتلك الشبكة الواحدة. ضع الواجهة الفيزيائية في الجسر بدلاً من ذلك، فتخرج الإطارات نفسها غير موسومة على منفذ ترنك، وهذا ليس ما خططت له.

تجيير الترنك مع إيقاف تصفية VLAN ليس طريقاً مختصراً إلى النتيجة نفسها. فهو يمنح الجسر كل شبكة VLAN على ذلك السلك، بما فيها ما لا شأن للعملاء برؤيته.

تصميمان مشروعان، ومالك واحد للوسم

الجسر المدرك لـ VLAN هو الترتيب الصالح الآخر: يدخل الترنك منفذ جسر، وتحدد العضوية لكل منفذ وPVID وإعدادات الخروج الموسومة أي شبكات VLAN تمر. هناك يملك الجسر وسم العنونة، وإضافة واجهة فرعية للـ VLAN تحته ستُثبّت مالكاً ثانياً لمهمة واحدة. كلا التصميمين يعمل؛ أما أجزاء من كليهما فلا. قرّر أي كائن يطبّق الوسم قبل تعديل أي قائمة عضوية.

على منفذ المبدّل أن يتفق مع التصميم الذي تختاره. فمنفذ الوصول الذي يحمل VLAN غير موسومة يقترن بالواجهة الفيزيائية كرابط، بينما يقترن منفذ الترنك بواجهة فرعية موسومة. وإضافة واجهة فرعية إلى منفذ وصول غير متوافق لا تصلح شيئاً.

انقل العنوان مع العضوية

في تصميم الواجهة الفرعية، عنوان المضيف للنطاق الفرعي المجسور ينتمي إلى br_vpn، لا إلى منفذ VLAN المُستعبد حيث كان ربما موجوداً سابقاً. تركُه على المنفذ قد يبدو ناجحاً ثم يسلك سلوكاً غريباً، لأن الجسر يمرّر في الطبقة 2 بينما العنوان جالس على عضو. انقله كجزء من تغيير العضوية بدلاً من كونه تجربة منفصلة.

نقل العنوان قد يقطع مسار الإدارة. أنشئ مسار استعادة مستقلاً، واحفظ الإعدادات الحالية عبر مدير الشبكة الخاص بالتوزيعة، وتجنّب سكربت تشغيل منافساً سيعارضه بعد الترقية التالية.

عنونة العملاء تحتاج العناية نفسها. فالـ VPN المجسور يضع العملاء في النطاق الفرعي الممتد، لذا يجب ألا يتداخل مجمّع العنوانات مع إيجارات أو تعيينات ثابتة أخرى، وأن يكون ترتيب خدمة DHCP هو ما تتوقعه الشبكة المحلية فعلاً. مسار الطبقة 2 العامل لا يقول شيئاً عن العناوين المكررة.

تحقّق من العضوية قبل لوم المسارات

اقرأ الحالة الحالية لا المقصودة: ip -d link show dev eno1.120 يطبع معرّف VLAN وأباه، و ip link show master br_vpn يسرد أعضاء الجسر، و bridge vlan show يبيّن العضوية لكل منفذ ومعالجة الخروج. في تصميم الواجهة الفرعية، تأكد من أن جهاز TAP وجهاز VLAN هما العضوان. وفي جسر مدرك لـ VLAN، افحص سياسة المنفذ نفسها، لأن وجود جسر لا يثبت ما يسمح به.

ثم اختبر عميلاً مسموحاً واحداً مقابل خدمة في تلك الشبكة، وتذكّر أن ARP وسياسة جدار الحماية ومسار الرد شؤون منفصلة عن العضوية. إن التقطت الحزم، فاعلم أن تفريغ العتاد قد يغيّر موضع وسوم VLAN في الأثر. أبقِ النطاق صادقاً أيضاً: عميل TUN الموجّه لا يصبح عضو VLAN بأي تغيير في الجسر، وحركة عميل-إلى-عميل لا تحل محل ربط المضيف بالشبكة.