Klijentski VLAN-ovi ili označeni trunk: odaberite pravi OpenVPN režim

Dva zahtjeva stižu gotovo istom formulacijom: smjestite svakog VPN klijenta u odabrani VLAN ili prenesite postojeći VLAN trunk kroz VPN. To su različiti proizvodi. Ugrađeni OpenVPN režim svjestan VLAN-a je model preklopnika za prvi zahtjev i nije sinonim za transparentan prijenos oznaka. Pogrešan izbor daje dizajn koji izgleda konfigurisan, a tiho odbacuje okvire koji su vam bitni.

Šta režim svjestan VLAN-a zapravo gradi

Kada je vlan-tagging uključen na TAP postavci samo za server, demon modelira svoj TAP uređaj i svakog povezanog klijenta kao portove na internom preklopniku. Klijentski portovi nisu označeni, a njihova VLAN veza postavlja se na serveru kroz kontekst vlan-pvid za svakog klijenta, a ne kroz bilo šta što klijent šalje. U tome je cijela poenta modela: članstvo je odluka na strani servera o autentifikovanom partneru. Ništa u profilu klijenta ne mora znati kojem VLAN-u pripada.

Serverska TAP strana dobija sopstvenu politiku prihvatanja označenih ili neoznačenih okvira kroz vlan-accept. Prosljeđivanje unutar tog preklopnika dešava se samo između podudarnih VID-ova, uključujući kada je postavljen client-to-client, pa dva klijenta u različitim VLAN-ovima ne mogu doći jedan do drugog kroz server iako su oba povezana na njega.

Taj model je model pristupnog porta. Okviri koji napuštaju klijenta nisu označeni, a vezu nameće server na osnovu identiteta. Tražiti od laptopa da sam označi svoj saobraćaj znači tražiti drugi dizajn.

Dodjele moraju slijediti autentifikovani identitet klijenta, a ne vrijednost koju klijent nudi o sebi. Izostavljena dodjela takođe nije stanje karantina: klijent pada na zadani PVID, pa je nedostajući ccd unos tiha odluka politike, a ne neutralna.

Šta transparentni trunk umjesto toga traži

Prijenos već označenih okvira od kraja do kraja počinje isključivanjem obrade svjesne VLAN-a. Model preklopnika i očuvanje oznaka su alternative, a uključivanje oba traži da jedna funkcija radi posao druge.

Isključivanje je samo početak. Most na svakom kraju i fizički portovi preklopnika moraju se složiti koji su VLAN-ovi dozvoljeni, koja je oznaka izvorna i kako se tretiraju neoznačeni okviri. Proširenje neograničenog trunka izlaže mnogo više broadcast domena nego dva koja ste htjeli povezati.

Veličina okvira traži sopstveni budžet. Označeni Ethernet okvir plus enkapsulacija veći je od broja za korisni teret koji ljudi prepisuju iz vodiča, a MTU koji je bio dobar za rutirani tunel nije dokaz da trunk put radi.

Tri uslova koja odlučuju odgovor

Prvo, podržava li klijentska platforma TAP uopšte? Android i iOS ne podržavaju, a podrška za macOS je ograničena, pa flota mobilnih korisnika isključuje svaki TAP dizajn bez obzira na to kako su VLAN-ovi raspoređeni. Rutirana TUN sesija prenosi IP pakete, a ne Ethernet okvire, i nikakva serverska VLAN konfiguracija to ne mijenja. Provjerite flotu prije projektovanja topologije, jer je ovaj uslov jedini koji se ne može zaobići. To je i uslov koji se najčešće otkrije nakon završetka radova na preklopniku.

Drugo, ko dodjeljuje VLAN? Ako je odgovor «server, na osnovu toga ko se autentifikovao», model preklopnika odgovara. Ako je odgovor «postojeća preklopnička infrastruktura, s oznakama koje već postoje», potreban vam je trunk dizajn.

Treće, koliki dio mreže treba biti dostupan? Model preklopnika po konstrukciji drži svakog klijenta u jednom VLAN-u. Trunk dizajn je most, a pogrešno konfigurisan most spaja broadcast domene koji su trebali ostati odvojeni.

Testiranje izbora koji ste napravili

Povežite jednog klijenta koji treba biti u dozvoljenom VLAN-u i jednog koji ne treba, pa testirajte s pravog kraja, a ne sa samog servera. Dostupnost sa serverske strane dokazuje da most ili preklopnik postoji; ne dokazuje u koji je VLAN klijent dospio.

ip -d link show tap0
bridge vlan show

Na serveru druga komanda pokazuje VLAN članstvo svakog porta mosta, uključujući i to je li port označen. Uporedite to s dodjelom koju ste namjeravali prije nego što počnete otklanjati greške iznad drugog sloja.

Zabilježite koji od dva dizajna postavka koristi. Napomena «svjestan VLAN-a» je dvosmislena, a sljedeći inženjer će pretpostaviti onu varijantu koju je prvo naučio. OpenVPN VLAN referencadefiniše ponašanje preklopnika i kontekst za svakog klijenta, i to je najkraći put da potvrdite koji model pokrećete.