Ці патрэбны двум пляцоўкам аднолькавыя VLAN ID для пляцовачнага VPN?

Аднолькавыя нумары VLAN у двух офісах выглядаюць так, нібыта павінны дапамагчы тунелю паміж пляцоўкамі, але яны не змяняюць нічога з таго, што тунель пераносіць. VLAN ID пазначае дамен шырокавешчавання Ethernet унутры аднаго будынка; тунель перадае IP-пакеты паміж шлюзамі. Дзве пляцоўкі могуць выкарыстоўваць цалкам розную нумарацыю VLAN і ўсё роўна маршрутызавацца адна да адной, а дзве пляцоўкі могуць выкарыстоўваць аднолькавую нумарацыю VLAN і ўсё роўна не дасягаць адна адной. Зменная, якая вызначае дасяжнасць, — гэта план адрасоў.

Міф: аднолькавыя VLAN ID на абодвух канцах

Перакананне паходзіць з разумнага месца. Унутры аднаго будынка два парты ў адным VLAN могуць размаўляць, а два парты ў розных VLAN — не, таму нумар VLAN выглядае як тое, што дае злучнасць. Праз маршрутызаваны тунель няма агульнага сегмента Ethernet, які мог бы апісаць тэг, і шлюзы ніколі не абменьваюцца тэгамі VLAN.

Тунелю патрэбна пара адрасных абласцей, якія не перакрываюцца, і палітыка, якая дазваляе трафік паміж імі. Зменіце VLAN у любым офісе — тунель працягвае працаваць, бо нішто ў канфігурацыі тунеля на яго не спасылалася. Гэта і ёсць праверка, якая вырашае спрэчку: перанумаруйце VLAN, пакіньце адрасы нязменнымі і паназірайце, ці ўтрымаецца тунель.

Зваротная праверка не менш паказальная. Дайце абодвум офісам адну падсетку — і ніякая колькасць аднолькавых нумароў VLAN не зробіць адрас адназначным.

Што тунель насамрэч пераносіць

IPsec абараняе IP-пакеты згодна з палітыкай, выяўленай у адрасах, пратаколах і партах. Архітэктура IPsec апісвае гэтыя селектары на ўзроўні IP, што на некалькі ўзроўняў вышэй за ўсё, што апісвае тэг камутатара. Калі пакет уваходзіць у тунель, ён ужо пакінуў VLAN; тэг спажыў лакальны камутатар.

Дызайны на аснове палітык і на аснове маршрутаў адрозніваюцца тым, як яны выбіраюць тунель, а не тым, што яны могуць пераносіць. Пір на аснове палітыкі супастаўляе селектары трафіку і накіроўвае адпаведныя пакеты ў тунель. Пір на аснове маршрутаў маршрутызуе трафік на інтэрфейсе тунеля і дазваляе вырашаць табліцы маршрутызацыі. Абодва ўсё яшчэ ўзгадняюць межы абароны, таму маршрут, які паказвае на тунель, не пашырае тое, што піры дамовіліся абараняць.

Гэтая розніца тлумачыць частую палову-няўдачу: маршрут ёсць, пакеты ўваходзяць у тунель, а далёкі бок іх скідае, бо ўзгодненыя селектары ніколі не ўключалі гэты прэфікс. Чытанне ўсталяваных палітык паказвае, якая вобласць насамрэч уступіла ў сілу.

ip xfrm policy
ip route show
swanctl --list-sas

Перакрыццё, якое насамрэч ламае

Два офісы з рознымі падсеткамі чыста маршрутызуюцца праз тунель, і іх нумары VLAN не маюць значэння. Два офісы з аднолькавай падсеткай — не, бо запыт на пэўны адрас мае два магчымыя значэнні, а табліца маршрутызацыі можа выбраць толькі адно. Перанумарацыя аднаго аб'екта — чыстае рашэнне, і яна звычайна таннейшая за альтэрнатывы, калі палічыць змены DNS і фэйрвола.

Калі перанумарацыя немагчымая, наўмысны дызайн трансляцыі можа прадставіць кожнаму боку асобныя ўяўленні адрасоў. Гэта значыць адзін-да-аднаго адлюстраванне, супастаўленыя селектары, запісы DNS, якія адлюстроўваюць перакладзенае ўяўленне, і зваротную маршрутызацыю, якая перажывае перапісванне. Гэта падтрыманы дызайн з рэальнымі эксплуатацыйнымі выдаткамі, і гэта не тое, што робіць змена VLAN ID.

Аднолькавыя нумары VLAN на абодвух канцах часам з'яўляюцца выпадковасцю агульнага шаблона, і стаўленне да гэтай выпадковасці як да прычыны працоўнага тунеля вядзе да няправільнай змены, калі нешта пазней ламаецца.

Адна задача на кожны ўзровень, запісаная

Лакальны камутатар вырашае, якія парты дзеляць дамен шырокавешчавання, і яго нумарацыя VLAN — гэта лакальная справаздачнасць, якую не патрэбна ведаць ніводнаму іншаму аб'екту. Шлюз аўтэнтыфікуе піра і забяспечвае ўзгодненыя межы абароны. Табліца маршрутызацыі вырашае, куды далей ідзе расшыфраваны пакет, а палітыка доступу вырашае, ці трэба было наогул дазваляць гэты пакет.

Менавіта раздзяленне гэтых задач робіць змены бяспечнымі. Перанумарацыя VLAN у адным офісе закранае лакальны камутатар, абсяг DHCP і, магчыма, зону фэйрвола, і не закранае тунель. Змена прэфікса закранае селектары тунеля, маршруты на абодвух баках і палітыку доступу, і не закранае тэгі камутатара.

Зваротныя маршруты, прыватны DNS і патрабаванні да ідэнтычнасці праграм — зноў асобныя задачы, і ніводная з іх не прыходзіць праз капіраванне нумара VLAN з іншага аб'екта. Дакумент дызайну, які пералічвае дасяжныя прэфіксы і дазволеныя паслугі, перажывае абнаўленне камутатара; той, што пералічвае нумары VLAN, — не.

Пацвердзіце лакальную карціну інструментамі маста перад тым, як меркаваць, што тэг дасягае тунеля.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Калі пашырэнне layer-2 — сапраўднае патрабаванне

Некаторыя дызайны сапраўды патрабуюць паводзін Ethernet паміж пляцоўкамі: старая праграма, якая спадзяецца на выяўленне праз шырокавешчаванне, міграцыя, якая павінна захаваць адрас, пакуль машына перамяшчаецца, або пратакол, што ўбудоўвае здагадкі layer-2. Такія выпадкі патрабуюць накладання або маставой паслугі, якая пераносіць кадры, і тады членства ў VLAN, прадухіленне петелек і апрацоўка адмоваў становяцца наскрознымі пытаннямі.

Гэта значна большая вобласць адмоваў, і гэта павінна быць наўмысным выбарам, а не выпадковым вынікам спробы падаць сумесны доступ да файлаў. Звычайны файлавы сервер, база даных або вэб-праграма патрабуюць аўтарызаванага IP-шляху, і ім будзе лепш без расцягнутага дамена шырокавешчавання пад імі.

Запішыце кантракт VPN як дасяжныя прэфіксы плюс дазволеныя паслугі і фіксуйце тэг VLAN толькі там, дзе гэта патрэбна лакальным аперацыям. Тады кожны офіс зможа перанумараваць сваю камутацыю, не ператвараючы кожную змену ў перапраектаванне тунеля.