Pont TAP per a una VLAN: connecteu la subinterfície

Un client TAP que arribava a la LAN abans de les VLAN i després va deixar de fer-ho sol tenir un pont que encara conté la interfície equivocada. El reenviament de trames no afegeix cap etiqueta VLAN, així que una trama de client sense etiquetar enviada a l'enllaç físic arriba sense etiqueta a un port trunk i o bé es descarta o bé cau a la VLAN nativa. Que la subinterfície existeixi en algun lloc de l'amfitrió no canvia res a la llista de membres del pont. Aquest és el mite que cal matar primer: l'etiqueta l'aplica la interfície que la posseeix, no l'amfitrió pel simple fet de tenir-ne una.

Una extensió d'una sola VLAN vol dir un sol domini de layer-2, i el pont ha d'unir-se a aquest domini i no al trunk que les porta totes.

L'etiqueta no apareix perquè heu fet pont amb el trunk

Agafeu un enllaç Linux eno1 que porta la VLAN 120 cap a un commutador gestionat. El disseny que funciona per a una sola VLAN és tap_vpn en pont amb br_vpn, amb br_vpn contenint eno1.120 en lloc de eno1. La subinterfície VLAN aplica l'etiqueta a la sortida i la treu a l'entrada, així que el pont només veu trames sense etiqueta per a aquella VLAN. Poseu-hi la interfície física al pont i les mateixes trames surten sense etiqueta per un port trunk, que no és el que havíeu planificat.

Fer pont amb el trunk amb el filtratge de VLAN desactivat no és cap drecera cap al mateix resultat. Dona al pont totes les VLAN d'aquell cable, incloses les que els clients no haurien de veure.

Dos dissenys legítims, un sol amo de l'etiqueta

Un pont conscient de VLAN és l'altra disposició vàlida: el trunk entra en un port del pont, i la pertinença per port, el PVID i la configuració de sortida etiquetada decideixen quines VLAN passen. Allà el pont posseeix l'etiquetatge, i afegir-hi una subinterfície VLAN a sota instal·laria un segon amo per a una sola feina. Tots dos dissenys funcionen; les barreges dels dos, no. Decidiu quin objecte aplica l'etiqueta abans d'editar qualsevol llista de membres.

El port del commutador ha de coincidir amb el disseny que trieu. Un port d'accés que porta la VLAN sense etiquetar s'emparella amb la interfície física com a connexió, mentre que un port trunk s'emparella amb una subinterfície etiquetada. Afegir una subinterfície a un port d'accés que no hi encaixa no arregla res.

Moveu l'adreça amb la pertinença

En el disseny amb subinterfície, l'adreça de l'amfitrió per a la subxarxa en pont pertany a br_vpn, i no al port VLAN esclavitzat on podia haver estat abans. Deixar-la al port pot semblar que funciona i després comportar-se estranyament, perquè el pont reenvia a layer 2 mentre l'adreça seu en un membre. Moveu-la com a part del canvi de pertinença i no com un experiment a part.

Moure una adreça pot tallar el camí d'administració. Establiu una ruta de recuperació independent, deseu la configuració existent a través del gestor de xarxa propi de la distribució i eviteu un script d'arrencada competitiu que hi lluitarà després de la propera actualització.

L'adreçament dels clients necessita la mateixa cura. Una VPN en pont posa els clients a la subxarxa estesa, així que un pool no ha de solapar-se amb altres concessions ni assignacions estàtiques, i la disposició servida per DHCP ha de ser la que la LAN realment espera. Un camí de layer-2 que funciona no diu res sobre adreces duplicades.

Verifiqueu la pertinença abans de culpar les rutes

Llegiu l'estat actual i no el previst: ip -d link show dev eno1.120 imprimeix l'id de VLAN i el seu pare, ip link show master br_vpn llista els membres del pont, i bridge vlan show informa de la pertinença per port i del tractament de sortida. En el disseny amb subinterfície, confirmeu que el dispositiu TAP i el dispositiu VLAN són els membres. En un pont conscient de VLAN, reviseu la política del port mateix, perquè que un pont existeixi no demostra què permet.

Després proveu un client permès contra un servei d'aquella VLAN, recordant que ARP, la política del tallafoc i el camí de tornada són assumptes separats de la pertinença. Si captureu paquets, tingueu present que l'offload de maquinari pot canviar on apareixen les etiquetes VLAN en una traça. Manteniu també l'abast honest: un client TUN encaminatat no es converteix en membre de VLAN per cap canvi de pont, i el trànsit client-a-client no substitueix la connexió de l'amfitrió a la VLAN.