TAP most za jedan VLAN: priključite podsučelje

TAP klijent koji je do LAN-a stizao prije VLAN-ova, a poslije toga stao, obično ima most koji još uvijek sadrži pogrešno sučelje. Prosljeđivanje okvira ne dodaje VLAN oznaku, pa neoznačeni klijentski okvir poslan na fizički uplink stiže neoznačen na trunk port i ili se odbacuje, ili završi u native VLAN-u. Postojanje podsučelja negdje na hostu ne mijenja ništa u popisu članova mosta. To je mit koji prvo treba ubiti: oznaku primjenjuje sučelje koje ju posjeduje, a ne host samo zato što je ima.

Jedno proširenje VLAN-a znači jednu layer-2 domenu, a most se mora pridružiti toj domeni, a ne trunku koji nosi sve njih.

Oznaka se ne pojavljuje jer ste premosnili trunk

Uzmite Linux uplink eno1 koji nosi VLAN 120 prema upravljanom prekidaču. Dizajn koji radi za jedan VLAN je tap_vpn premosnjen na br_vpn, pri čemu br_vpn sadrži eno1.120 umjesto eno1. VLAN podsučelje primjenjuje oznaku na izlazu i skida je na ulazu, pa most vidi samo neoznačene okvire za taj jedan VLAN. Umjesto toga stavite fizičko sučelje u most i isti okviri izlaze neoznačeni na trunk portu, što nije ono što ste planirali.

Premošćavanje trunka s isključenim VLAN filtriranjem nije prečica do istog rezultata. Ono mostu predaje svaki VLAN na toj žici, uključujući one koje klijenti ne bi smjeli vidjeti.

Dva legitimna dizajna, jedan vlasnik oznake

VLAN-osviješteni most je drugi valjani raspored: trunk ulazi u port mosta, a članstvo po portu, PVID i postavke označenog izlaza odlučuju koji VLAN-ovi prolaze. Tu most posjeduje označavanje, a dodavanje VLAN podsučelja ispod njega instaliralo bi drugog vlasnika za jedan posao. Oba dizajna rade; dijelovi obaju ne. Odlučite koji objekt primjenjuje oznaku prije uređivanja bilo kojeg popisa članova.

Port prekidača mora se slagati s dizajnom koji odaberete. Access port koji nosi VLAN neoznačeno spaja se s fizičkim sučeljem kao priključak, dok se trunk port spaja s označenim podsučeljem. Dodavanje podsučelja na neodgovarajući access port ne popravlja ništa.

Premjestite adresu zajedno s članstvom

U dizajnu s podsučeljem adresa hosta za premosnutu podmrežu pripada br_vpn, a ne porobljenom VLAN portu gdje je prije mogla biti. Ako je ostavite na portu, može izgledati da radi, a zatim se čudno ponašati, jer most prosljeđuje na layer 2 dok adresa sjedi na članu. Premjestite je kao dio promjene članstva, a ne kao zaseban eksperiment.

Premještanje adrese može odrezati administrativni put. Uspostavite neovisnu rutu za oporavak, spremite postojeću konfiguraciju kroz vlastiti mrežni upravitelj distribucije i izbjegnite konkurentnu startnu skriptu koja će se s njom boriti nakon sljedeće nadogradnje.

Adresiranje klijenata traži istu pažnju. Premosnuti VPN stavlja klijente u proširenu podmrežu, pa se pool ne smije preklapati s drugim najmovima ili statičkim dodjelama, a raspored s DHCP-om mora biti onaj koji LAN doista očekuje. Radni layer-2 put ne govori ništa o dvostrukim adresama.

Provjerite članstvo prije nego okrivite rute

Čitajte trenutno, a ne namjeravano stanje: ip -d link show dev eno1.120 ispisuje VLAN id i njegov roditelj, ip link show master br_vpn popisuje članove mosta, a bridge vlan show pokazuje članstvo po portu i postupak na izlazu. U dizajnu s podsučeljem potvrdite da su TAP uređaj i VLAN uređaj članovi. U VLAN-osviještenom mostu provjerite samu politiku porta, jer postojeći most ne dokazuje što dopušta.

Zatim testirajte jednog dopuštenog klijenta prema usluzi u tom VLAN-u, imajući na umu da su ARP, politika zaštitnog zida i put odgovora odvojeni od članstva. Ako snimate pakete, imajte na umu da hardverski offload može promijeniti gdje se VLAN oznake pojavljuju u tragu. Držite i opseg poštenim: rutirani TUN klijent ne postaje VLAN član nikakvom promjenom mosta, a promet klijent-na-klijenta ne zamjenjuje priključak hosta na VLAN.