İki saytın sayt VPN-i üçün eyni VLAN ID-ləri olmalıdırmı?

İki ofisdə eyni VLAN nömrələri saytlararası tunelə kömək etməli kimi görünür və tunelin daşıdığı heç nəyi dəyişmir. VLAN ID bir binanın içində Ethernet yayım domenini işarələyir; tunel IP paketlərini şlüzlar arasında ötürür. İki sayt tamamilə fərqli VLAN nömrələməsindən istifadə edib yenə də bir-birinə marşrutlaşa bilər və iki sayt eyni VLAN nömrələməsindən istifadə edib yenə də bir-birinə çata bilməz. Əlçatanlığı müəyyən edən dəyişən ünvan planıdır.

Mif: hər iki tərəfdə eyni VLAN ID-ləri

İnanc ağlabatan yerdən gəlir. Bir binanın içində eyni VLAN-dakı iki port danışa bilər, fərqli VLAN-lardakı iki port isə bilməz, ona görə VLAN nömrəsi əlaqəni verən şey kimi görünür. Marşrutlaşdırılmış tunel boyunca teqin təsvir edəcəyi ortaq Ethernet seqmenti yoxdur və şlüzlar heç vaxt VLAN teqlərini mübadilə etmir.

Tunelin ehtiyacı üst-üstə düşməyən iki ünvan sahəsi və aralarındakı trafikə icazə verən siyasətdir. Hər hansı ofisdə VLAN-ı dəyişin, tunel işləməyə davam edir, çünki tunel konfiqurasiyasında heç nə ona istinad etmirdi. Mübahisəni həll edən sınaq budur: VLAN-ı yenidən nömrələyin, ünvanlara toxunmayın və tunelin işlək qalmasını izləyin.

Əks sınaq da eyni dərəcədə məlumatvericidir. Hər iki ofisə eyni alt şəbəkəni verin və VLAN nömrələrinin uyğunluğu nə qədər çox olsa da, ünvanı birmənalı etməyəcək.

Tunel əslində nə daşıyır

IPsec IP paketlərini ünvanlar, protokollar və portlarla ifadə olunan siyasətə uyğun qoruyur. IPsec arxitekturası həmin selektorları IP qatında təsvir edir, bu da kommutator teqinin təsvir etdiyi hər şeydən bir neçə qat yuxarıdadır. Paket tunelə daxil olduqda artıq VLAN-ı tərk etmiş olur; teqi yerli kommutator istehlak edib.

Siyasət əsaslı və marşrut əsaslı dizaynlar tuneli necə seçdiklərinə görə fərqlənir, nəyi daşıya bildiklərinə görə deyil. Siyasət əsaslı həmkar trafik selektorlarını uyğunlaşdırır və uyğun paketləri tunelə göndərir. Marşrut əsaslı həmkar trafiki tunel interfeysində marşrutlaşdırır və qərarı marşrut cədvəlinə buraxır. Hər ikisi hələ də qorunma sahəsi üzərində danışıqlar aparır, ona görə tunelə işarə edən marşrut həmkarların qorumağa razılaşdığını genişləndirmir.

Bu fərq tez-tez rast gəlinən yarımçıq uğursuzluğu izah edir: marşrut var, paketlər tunelə daxil olur, qarşı tərəf isə onları atır, çünki danışıqlar aparılmış selektorlar həmin prefiksi heç vaxt əhatə etməyib. Quraşdırılmış siyasətləri oxumaq hansı sahənin həqiqətən qüvvəyə mindiyini göstərir.

ip xfrm policy
ip route show
swanctl --list-sas

Həqiqətən qıran üst-üstə düşmə

Fərqli alt şəbəkələri olan iki ofis tuneldən təmiz marşrutlaşır və VLAN nömrələri əhəmiyyətsizdir. Eyni alt şəbəkəyə malik iki ofis isə yox, çünki müəyyən ünvana sorğunun iki mümkün mənası var və marşrut cədvəli yalnız birini seçə bilər. Bir saytı yenidən nömrələmək təmiz həlldir və DNS və firewall dəyişiklikləri hesablandıqdan sonra adətən alternativlərdən ucuzdur.

Yenidən nömrələmə mümkün olmadıqda, qəsdən hazırlanmış tərcümə dizaynı hər tərəfə fərqli ünvan görünüşləri təqdim edə bilər. Bu, birə-bir xəritələmə, uyğun selektorlar, tərcümə olunmuş görünüşü əks etdirən DNS qeydləri və yenidən yazılmadan sonra da işləyən geri marşrutlaşdırma deməkdir. Bu, real əməliyyat xərci olan dəstəklənən dizayndır və VLAN ID-nin dəyişdirilməsinin etdiyi şey deyil.

Hər iki tərəfdə eyni VLAN nömrələri bəzən ortaq şablonun təsadüfüdür və bu təsadüfü işlək tunelin səbəbi kimi qəbul etmək, sonradan nəsə pozulduqda yanlış dəyişikliyə gətirib çıxarır.

Hər qat üçün bir vəzifə, yazılı şəkildə

Yerli kommutator hansı portların yayım domenini paylaşdığını müəyyən edir və onun VLAN nömrələməsi heç bir başqa saytın bilməsinə ehtiyac olmayan yerli uçotdur. Şlüz həmkarı autentifikasiya edir və danışıqlar aparılmış qorunma sahəsini tətbiq edir. Marşrut cədvəli deşifrə olunmuş paketin sonra hara getdiyini, giriş siyasəti isə o paketə ümumiyyətlə icazə verilməli olub-olmadığını müəyyən edir.

Bu vəzifələri ayrı saxlamaq dəyişiklikləri təhlükəsiz edən şeydir. Bir ofisdə VLAN-ın yenidən nömrələnməsi yerli kommutatora, DHCP sahəsinə və bəlkə də firewall zonasına toxunur, tunelə toxunmur. Prefiks dəyişikliyi tunel selektorlarına, hər iki tərəfdəki marşrutlara və giriş siyasətinə toxunur, kommutator teqlərinə toxunmur.

Geri marşrutlar, özəl DNS və tətbiq kimliyi tələbləri yenə ayrı vəzifələrdir və heç biri digər saytdan VLAN nömrəsini kopyalamaqla gəlmir. Əlçatan prefiksləri və icazə verilən xidmətləri sadalayan dizayn sənədi kommutator yenilənməsindən sağ çıxır; VLAN nömrələrini sadalayan isə yox.

Teqin tunelə çatdığını güman etməzdən əvvəl yerli mənzərəni körpü alətləri ilə təsdiqləyin.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

layer-2 uzadılması həqiqi tələb olduqda

Bəzi dizaynlar saytlar arasında həqiqətən Ethernet davranışına ehtiyac duyur: yayım kəşfinə güvənən köhnə tətbiq, maşın köçərkən ünvanı saxlamalı olan miqrasiya və ya layer-2 fərziyyələrini ehtiva edən protokol. Belə hallar kadrları daşıyan overley və ya körpülənmiş xidmət tələb edir və sonra VLAN üzvlüyü, döngənin qarşısının alınması və nasazlıqların idarəsi ucdan-uca məsələlərə çevrilir.

Bu, qat-qat böyük bir nasazlıq sahəsidir və fayl paylaşımını işlətməyə çalışmağın təsadüfi nəticəsi deyil, qəsdən verilmiş seçim olmalıdır. Adi fayl serveri, verilənlər bazası və ya veb tətbiqi icazəli IP yoluna ehtiyac duyur və altında uzadılmış yayım domeni olmadan daha rahat olacaq.

VPN müqaviləsini əlçatan prefikslər və icazə verilən xidmətlər kimi yazın və VLAN etiketini yalnız yerli əməliyyatların ona ehtiyacı olan yerdə qeyd edin. Sonra hər ofis hər dəyişikliyi tunelin yenidən dizaynına çevirmədən öz kommutasiyasını yenidən nömrələyə bilər.