Potřebují dva areály stejná VLAN ID pro VPN mezi areály?

Stejná čísla VLAN ve dvou pobočkách vypadají, jako by měla tunelu mezi areály pomoci, a přitom nemění nic z toho, co tunel přenáší. VLAN ID označuje Ethernet broadcast doménu uvnitř jedné budovy; tunel předává IP pakety mezi branami. Dva areály mohou používat zcela odlišné číslování VLAN a přesto se navzájem směrovat, a dva areály mohou používat stejné číslování VLAN a přesto se navzájem nedostihnout. Proměnná, která rozhoduje o dostupnosti, je plán adres.

Mýtus: stejná VLAN ID na obou koncích

Přesvědčení vychází z rozumného místa. Uvnitř jedné budovy spolu dva porty ve stejné VLAN mohou mluvit a dva porty v různých VLAN nemohou, takže číslo VLAN vypadá jako to, co dává konektivitu. Přes směrovaný tunel neexistuje žádný sdílený Ethernet segment, který by značka popisovala, a brány si nikdy VLAN značky nevyměňují.

Tunel potřebuje dvojici adresních rozsahů, které se nepřekrývají, a politiku, která povoluje provoz mezi nimi. Změňte VLAN v kterékoli pobočce a tunel funguje dál, protože na něj nic v konfiguraci tunelu neodkazovalo. To je test, který spor rozhodne: přečíslujte VLAN, nechte adresy být a sledujte, zda tunel zůstane v provozu.

Opačný test je stejně poučný. Dejte oběma pobočkám stejnou podsíť a žádné množství shodných čísel VLAN adresu jednoznačnou neudělá.

Co tunel skutečně přenáší

IPsec chrání IP pakety podle politiky vyjádřené adresami, protokoly a porty. Architektura IPsec popisuje tyto selektory na IP vrstvě, což je o několik vrstev výš než cokoli, co popisuje značka přepínače. Když paket vstoupí do tunelu, už VLAN opustil; značku spotřeboval místní přepínač.

Návrhy založené na politice a na trasách se liší tím, jak vybírají tunel, ne tím, co mohou přenášet. Protějšek založený na politice porovnává selektory provozu a posílá odpovídající pakety do tunelu. Protějšek založený na trasách směruje provoz na tunelovém rozhraní a rozhodnutí nechává směrovací tabulce. Oba stále vyjednávají rozsah ochrany, takže trasa ukazující do tunelu nerozšiřuje to, na čem se protějšky dohodly, že budou chránit.

Tento rozdíl vysvětluje časté poloviční selhání: trasa existuje, pakety vstupují do tunelu a protistrana je zahodí, protože vyjednané selektory ten prefix nikdy nezahrnovaly. Čtení nainstalovaných politik ukáže, který rozsah skutečně vstoupil v platnost.

ip xfrm policy
ip route show
swanctl --list-sas

Překryv, který opravdu láme

Dvě pobočky s odlišnými podsítěmi se tunelem čistě směrují a jejich čísla VLAN nehrají roli. Dvě pobočky se stejnou podsítí ne, protože požadavek na danou adresu má dva možné významy a směrovací tabulka může vybrat jen jeden. Přečíslování jednoho areálu je čisté řešení a obvykle je levnější než alternativy, jakmile se započítají změny DNS a firewallu.

Když přečíslování není možné, záměrný návrh překladu může každé straně předložit odlišné pohledy na adresy. To znamená mapování jedna ku jedné, shodné selektory, DNS záznamy odrážející přeložený pohled a zpětný routing, který přežije přepis. Je to podporovaný návrh se skutečnými provozními náklady a není to to, co dělá změna VLAN ID.

Stejná čísla VLAN na obou koncích jsou někdy náhoda sdílené šablony a považovat tuto náhodu za příčinu fungujícího tunelu vede k nesprávné změně, když se později něco rozbije.

Jeden úkol na vrstvu, písemně

Místní přepínač rozhoduje, které porty sdílejí broadcast doménu, a jeho číslování VLAN je místní evidence, kterou žádný jiný areál nemusí znát. Brána ověřuje protějšek a vynucuje vyjednaný rozsah ochrany. Směrovací tabulka rozhoduje, kam dešifrovaný paket půjde dál, a přístupová politika rozhoduje, zda tomu paketu mělo být vůbec dovoleno.

Právě oddělení těchto úkolů dělá změny bezpečnými. Přečíslování VLAN v jedné pobočce se dotkne místního přepínače, rozsahu DHCP a možná zóny firewallu, a tunelu se nedotkne. Změna prefixu se dotkne selektorů tunelu, tras na obou stranách a přístupové politiky, a značek přepínače se nedotkne.

Zpětné trasy, privátní DNS a požadavky na identitu aplikace jsou zase samostatné úkoly a žádný z nich nepřijde zkopírováním čísla VLAN z druhého areálu. Návrhový dokument, který vypisuje dostupné prefixy a povolené služby, přežije obnovu přepínače; ten, který vypisuje čísla VLAN, ne.

Potvrďte místní obrázek nástroji bridge, než předpokládáte, že značka dosáhne do tunelu.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Když je rozšíření layer-2 skutečným požadavkem

Některé návrhy opravdu potřebují ethernetové chování mezi areály: starší aplikace spoléhající na broadcastové objevování, migrace, která musí zachovat adresu, zatímco se stroj přesouvá, nebo protokol, který v sobě nese předpoklady layer-2. Tyto případy vyžadují overlay nebo přemostěnou službu, která přenáší rámce, a pak se členství ve VLAN, prevence smyček a zpracování výpadků stávají záležitostmi od konce ke konci.

To je mnohem větší doména selhání a měl by to být záměrný výběr, ne náhodný výsledek snahy rozchodit sdílení souborů. Běžný souborový server, databáze nebo webová aplikace potřebují autorizovanou IP cestu a budou spokojenější bez roztažené broadcast domény pod sebou.

Zapište VPN kontrakt jako dostupné prefixy plus povolené služby a VLAN značku zaznamenejte jen tam, kde ji místní provoz potřebuje. Každá pobočka pak může přečíslovat své vlastní přepínání, aniž by se každá změna změnila v redesign tunelu.