Calen els mateixos VLAN ID en dos llocs per a una VPN de lloc?

Que dos oficines tinguin els mateixos números VLAN sembla que hauria d’ajudar un túnel entre llocs, i no canvia res del que el túnel transporta. Un VLAN ID etiqueta un domini de difusió Ethernet dins d’un edifici; el túnel reenvia paquets IP entre les passarel·les. Dos llocs poden fer servir una numeració VLAN completament diferent i encaminar-se igualment l’un a l’altre, i dos llocs poden fer servir la mateixa numeració VLAN i no poder-se abastar igualment. La variable que decideix l’abast és el pla d’adreces.

El mite: els mateixos VLAN ID als dos extrems

La creença ve d’un lloc raonable. Dins d’un edifici, dos ports del mateix VLAN poden parlar i dos ports de VLAN diferents no, així que el número VLAN sembla allò que atorga connectivitat. A través d’un túnel encaminat no hi ha cap segment Ethernet compartit que l’etiqueta pugui descriure, i les passarel·les no intercanvien mai etiquetes VLAN.

El que el túnel necessita és un parell d’àmbits d’adreces que no se superposin i una política que permeti el trànsit entre ells. Canvieu el VLAN a qualsevol oficina i el túnel continua funcionant, perquè res de la configuració del túnel no hi feia referència. Aquesta és la prova que resol la discussió: renumereu un VLAN, deixeu les adreces intactes i observeu si el túnel es manté.

La prova inversa és igual d’informativa. Doneu a les dues oficines la mateixa subxarxa i cap quantitat de números VLAN coincidents farà que una adreça sigui inequívoca.

Què transporta realment el túnel

IPsec protegeix els paquets IP segons una política expressada en adreces, protocols i ports. L’arquitectura IPsec descriu aquests selectors a la capa IP, que és diverses capes per sobre de tot el que descriu una etiqueta de commutador. Quan un paquet entra al túnel ja ha deixat el VLAN; l’etiqueta l’ha consumida el commutador local.

Els dissenys basats en política i en rutes difereixen en com trien el túnel, no en què poden transportar. Un parell basat en política fa coincidir els selectors de trànsit i envia els paquets coincidents al túnel. Un parell basat en rutes encamina el trànsit en una interfície de túnel i deixa decidir la taula d’encaminament. Tots dos encara negocien un abast de protecció, així que una ruta que apunta al túnel no amplia allò que els parells han acceptat protegir.

Aquesta distinció explica un mig fracàs habitual: la ruta existeix, els paquets entren al túnel i el costat remot els descarta perquè els selectors negociats mai no van incloure aquell prefix. Llegir les polítiques instal·lades mostra quin abast ha entrat realment en vigor.

ip xfrm policy
ip route show
swanctl --list-sas

La superposició que realment trenca

Dues oficines amb subxarxes diferents s’encaminen netament per un túnel, i els seus números VLAN són irrellevants. Dues oficines amb la mateixa subxarxa no, perquè una petició per a una adreça donada té dos significats possibles i la taula d’encaminament només en pot triar un. Renumerar un lloc és la solució neta, i normalment és més barata que les alternatives un cop comptats els canvis de DNS i tallafocs.

Quan la renumeració és impossible, un disseny de traducció deliberat pot presentar vistes d’adreces diferents a cada costat. Això vol dir mapatge un a un, selectors coincidents, entrades DNS que reflecteixen la vista traduïda i encaminament de retorn que sobreviu a la reescriptura. És un disseny suportat amb un cost operatiu real, i no és el que fa canviar un VLAN ID.

Els números VLAN coincidents als dos extrems són de vegades una coincidència d’una plantilla compartida, i tractar aquesta coincidència com la causa d’un túnel funcional porta al canvi equivocat quan alguna cosa es trenca més endavant.

Una feina per capa, posada per escrit

El commutador local decideix quins ports comparteixen un domini de difusió, i la seva numeració VLAN és comptabilitat local que cap altre lloc no necessita conèixer. La passarel·la autentica el parell i aplica l’abast de protecció negociat. La taula d’encaminament decideix on va després un paquet desxifrat, i la política d’accés decideix si aquell paquet s’hauria hagut de permetre.

Mantenir aquestes feines separades és el que fa segurs els canvis. Una renumeració VLAN en una oficina toca el commutador local, l’àmbit DHCP i potser una zona de tallafocs, i no toca el túnel. Un canvi de prefix toca els selectors del túnel, les rutes dels dos costats i la política d’accés, i no toca les etiquetes del commutador.

Les rutes de retorn, el DNS privat i els requisits d’identitat d’aplicació són de nou feines separades, i cap d’elles arriba copiant un número VLAN de l’altre lloc. Un document de disseny que llista prefixos abastables i serveis permesos sobreviu a una renovació del commutador; un que llista números VLAN, no.

Confirmeu la imatge local amb les eines de bridge abans de suposar que una etiqueta arriba al túnel.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Quan l’extensió de layer-2 és el requisit real

Alguns dissenys necessiten genuïnament comportament Ethernet entre llocs: una aplicació heretada que depèn del descobriment per difusió, una migració que ha de conservar una adreça mentre una màquina es mou, o un protocol que incorpora supòsits de layer-2. Aquests casos demanen un overlay o un servei pont que transporti les trames, i llavors la pertinença al VLAN, la prevenció de bucles i el tractament de fallades esdevenen qüestions d’extrem a extrem.

És un domini de fallada molt més gran, i hauria de ser una elecció deliberada i no el resultat accidental d’intentar fer funcionar un recurs compartit. Un servidor de fitxers, una base de dades o una aplicació web corrents necessiten un camí IP autoritzat, i seran més feliços sense un domini de difusió estès a sota.

Escriviu el contracte VPN com a prefixos abastables més serveis permesos, i registreu l’etiqueta VLAN només on les operacions locals la necessitin. Així cada oficina pot renumerar la seva pròpia commutació sense convertir cada canvi en un redisseny del túnel.