Müştəri VLAN-ları, yoxsa işarələnmiş trunk: düzgün OpenVPN rejimini seçin

Demək olar ki, eyni ifadə ilə iki sorğu gəlir: hər VPN müştərisini seçilmiş VLAN-a yerləşdir, ya da mövcud VLAN trunk-ını VPN üzərindən daşı. Bunlar fərqli məhsullardır. OpenVPN-in daxili VLAN-şüurlu rejimi birinci sorğu üçün kommutator modelidir və şəffaf teq ötürülməsinin sinonimi deyil. Yanlış seçim konfiqurasiya edilmiş görünən, amma sizin üçün vacib olan çərçivələri səssizcə atan bir dizayn yaradır.

VLAN-şüurlu rejim əslində nə qurur

Yalnız server üçün TAP yerləşdirməsində vlan-tagging aktiv olduqda, demon öz TAP cihazını və hər qoşulmuş müştərini daxili kommutatorun portları kimi modelləşdirir. Müştəri portları işarəsizdir və onların VLAN əlaqəsi serverdə hər müştəri üçün vlan-pvid konteksti ilə təyin olunur, müştərinin göndərdiyi heç bir şeylə deyil. Modelin bütün məntiqi budur: üzvlük autentifikasiya olunmuş həmkar barədə server tərəfində verilən qərardır. Müştəri profilində heç nə onun hansı VLAN-a aid olduğunu bilməməlidir.

Serverin TAP tərəfi vlan-accept vasitəsilə öz işarəli və ya işarəsiz qəbul siyasətini alır. Həmin kommutator daxilində yönləndirmə yalnız uyğun VID-lər arasında baş verir, o cümlədən client-to-client təyin edildikdə, buna görə də iki fərqli VLAN-dakı müştəri hər ikisi ona qoşulsa da, server vasitəsilə bir-birinə çata bilməz.

Bu model giriş portu modelidir. Müştərini tərk edən çərçivələr işarəsizdir və əlaqə server tərəfindən kimliyə əsasən tətbiq edilir. Noutbukdan öz trafikini işarələməsini istəmək başqa bir dizayn istəməkdir.

Təyinatlar autentifikasiya olunmuş müştəri kimliyinə uyğun olmalıdır, müştərinin özü haqqında təqdim etdiyi dəyərə deyil. Buraxılmış təyinat karantin vəziyyəti də deyil: müştəri standart PVID-ə düşür, yəni çatışmayan ccd qeydi neytral deyil, səssiz siyasət qərarıdır.

Şəffaf trunk bunun əvəzinə nə tələb edir

Artıq işarələnmiş çərçivələri başdan-başa daşımaq VLAN-şüurlu emalı söndürməklə başlayır. Kommutator modeli ilə teqin qorunması alternativlərdir və ikisini birlikdə aktivləşdirmək bir funksiyadan digərinin işini tələb etməkdir.

Onu söndürmək yalnız başlanğıcdır. Hər son nöqtədəki körpü və fiziki kommutator portları hansı VLAN-lara icazə verildiyi, hansı teqin doğma olduğu və işarəsiz çərçivələrə necə baxıldığı barədə razılaşmalıdır. Məhdudiyyətsiz trunk-ı uzatmaq birləşdirmək istədiyiniz ikidən qat-qat çox yayım domenini açıq qoyur.

Çərçivə ölçüsü öz büdcəsini tələb edir. İşarəli Ethernet çərçivəsi üstəgəl inkapsulyasiya təlimatdan köçürülən faydalı yük rəqəmindən böyükdür və yönləndirilmiş tunel üçün yaxşı olan MTU trunk yolunun işlədiyinə sübut deyil.

Cavabı həll edən üç şərt

Birincisi, müştəri platforması ümumiyyətlə TAP-ı dəstəkləyirmi? Android və iOS dəstəkləmir, macOS dəstəyi isə məhduddur, buna görə mobil istifadəçilərdən ibarət park VLAN-ların necə düzüldüyündən asılı olmayaraq hər iki TAP dizaynını istisna edir. Yönləndirilmiş TUN sessiyası Ethernet çərçivələrini deyil, IP paketlərini daşıyır və server tərəfindəki heç bir VLAN konfiqurasiyası bunu dəyişmir. Topologiyanı dizayn etməzdən əvvəl parkı yoxlayın, çünki bu, yan keçmək mümkün olmayan şərtdir. Həm də bu, kommutator işi bitdikdən sonra ən çox aşkar edilən şərtdir.

İkincisi, VLAN-ı kim təyin edir? Cavab «kimin autentifikasiya olduğuna əsasən server»dirsə, kommutator modeli uyğundur. Cavab «artıq mövcud olan teqlərlə mövcud kommutator infrastrukturu»dursa, sizə trunk dizaynı lazımdır.

Üçüncüsü, şəbəkənin nə qədəri əldə edilə bilən olmalıdır? Kommutator modeli hər müştərini quruluşuna görə bir VLAN-da saxlayır. Trunk dizaynı körpüdür və səhv konfiqurasiya edilmiş körpü ayrı qalmalı olan yayım domenlərini birləşdirir.

Etdiyiniz seçimi sınamaq

İcazə verilən VLAN-da olmalı olan bir müştəri və olmamalı olan bir müştəri qoşun, sonra serverin özündən deyil, real son nöqtədən test edin. Server tərəfində əldə edilə bilənlik körpünün və ya kommutatorun mövcud olduğunu sübut edir; müştərinin hansı VLAN-a düşdüyünü sübut etmir.

ip -d link show tap0
bridge vlan show

Serverdə ikinci əmr hər körpü portunun VLAN üzvlüyünü, o cümlədən portun işarəli və ya işarəsiz olduğunu göstərir. İkinci qatdan yuxarıda hər hansı sazlamağa başlamazdan əvvəl bunu nəzərdə tutduğunuz təyinatla müqayisə edin.

Yerləşdirmənin iki dizayndan hansını istifadə etdiyini qeyd edin. «VLAN şüurlu» yazan qeyd ikimənalıdır və növbəti mühəndis ilk öyrəndiyi variantı fərz edəcək. OpenVPN VLAN arayışıkommutator davranışını və hər müştəri üçün konteksti müəyyən edir və hansı modeli işlətdiyinizi təsdiqləməyin ən qısa yoludur.