VLANau cleientiaid neu trunk tagiedig: dewiswch y modd OpenVPN cywir

Daw dau gais ag union bron yr un geiriau: rhowch bob cleient VPN mewn VLAN a ddewiswyd, neu gludwch trunk VLAN sy'n bodoli ar draws y VPN. Dau gynnyrch gwahanol ydynt. Mae modd ymwybodol o VLAN sydd wedi'i adeiladu i mewn i OpenVPN yn fodel switsh ar gyfer y cais cyntaf, ac nid yw'n gyfystyr â chludo tagiau'n dryloyw. Mae dewis yr un anghywir yn cynhyrchu dyluniad sy'n edrych wedi'i ffurfweddu ac yn gollwng y fframiau a oedd o bwys i chi yn dawel.

Beth mae'r modd ymwybodol o VLAN yn ei adeiladu mewn gwirionedd

Gyda vlan-tagging wedi'i alluogi ar osodiad TAP ar gyfer y gweinydd yn unig, mae'r daemon yn modelu ei ddyfais TAP a phob cleient cysylltiedig fel porthladdoedd ar switsh mewnol. Nid yw porthladdoedd cleientiaid wedi'u tagio, a gosodir eu cysylltiad VLAN ar y gweinydd drwy gyd-destun vlan-pvid pob cleient, nid drwy unrhyw beth mae'r cleient yn ei anfon. Dyna holl bwynt y model: penderfyniad ar ochr y gweinydd yw aelodaeth, ynglŷn â chymar dilys. Nid oes angen i unrhyw beth ym mhroffil y cleient wybod pa VLAN y mae'n perthyn iddo.

Mae ochr TAP y gweinydd yn cael ei bolisi derbyn tagiedig neu dagiedig ei hun drwy vlan-accept. Dim ond rhwng VIDau sy'n cyfateb y mae anfon ymlaen o fewn y switsh hwnnw, gan gynnwys pan fydd client-to-client wedi'i osod, felly ni all dau gleient mewn VLANau gwahanol gyrraedd ei gilydd drwy'r gweinydd er bod y ddau wedi'u cysylltu ag ef.

Model porthladd mynediad yw'r model hwnnw. Nid yw fframiau sy'n gadael cleient wedi'u tagio, a'r gweinydd sy'n gosod y cysylltiad ar sail hunaniaeth. Gofyn i'r gliniadur dagio ei draffig ei hun yw gofyn am ddyluniad gwahanol.

Rhaid i aseiniadau ddilyn hunaniaeth ddilys y cleient, nid gwerth y mae'r cleient yn ei gynnig amdano'i hun. Nid yw aseiniad sydd ar goll yn gyflwr cwarantin chwaith: mae'r cleient yn glanio ar y PVID rhagosodedig, felly penderfyniad polisi tawel yw cofnod ccd sydd ar goll, nid un niwtral.

Beth mae trunk tryloyw yn ei olygu yn lle hynny

Mae cludo fframiau sydd eisoes wedi'u tagio o un pen i'r llall yn dechrau drwy ddiffodd y prosesu ymwybodol o VLAN. Mae'r model switsh a chadw tagiau yn ddewisiadau amgen, ac mae galluogi'r ddau yn gofyn i un nodwedd wneud gwaith y llall.

Nid yw diffodd ond y dechrau. Rhaid i'r bont ym mhob pen a phorthladdoedd ffisegol y switsh gytuno pa VLANau a ganiateir, pa dag sy'n frodorol, a sut y caiff fframiau heb eu tagio eu trin. Mae estyn trunk heb gyfyngiad yn datgelu llawer mwy o barthau darlledu na'r ddau yr oeddech yn bwriadu eu cysylltu.

Mae angen cyllideb ei hun ar faint y ffrâm. Mae ffrâm Ethernet dagiedig ynghyd ag amgylchiad yn fwy na'r ffigur llwyth tâl y mae pobl yn ei gopïo o ganllaw, ac nid yw MTU a oedd yn iawn ar gyfer tiwnel a lwybrwyd yn brawf bod llwybr trunk yn gweithio.

Tair amod sy'n penderfynu'r ateb

Yn gyntaf, a yw platfform y cleient yn cefnogi TAP o gwbl? Nid yw Android nac iOS yn ei gefnogi, ac mae cefnogaeth macOS yn gyfyngedig, felly mae fflyd o ddefnyddwyr symudol yn diystyru'r naill ddyluniad TAP neu'r llall waeth sut y trefnwyd y VLANau. Mae sesiwn TUN a lwybrwyd yn cludo pecynnau IP, nid fframiau Ethernet, ac nid yw unrhyw faint o ffurfweddu VLAN ar ochr y gweinydd yn newid hynny. Gwiriwch y fflyd cyn dylunio'r topoleg, oherwydd hwn yw'r amod na ellir ei osgoi. Dyma hefyd yr amod a ddarganfyddir amlaf ar ôl gorffen y gwaith ar y switsh.

Yn ail, pwy sy'n aseinio'r VLAN? Os mai'r ateb yw «y gweinydd, yn seiliedig ar bwy a ddilyswyd», mae'r model switsh yn addas. Os mai'r ateb yw «y seilwaith switsh presennol, gyda thagiau sy'n bodoli eisoes», mae angen y dyluniad trunk arnoch.

Yn drydydd, faint o'r rhwydwaith a ddylai fod yn gyrraeddadwy? Mae'r model switsh yn cadw pob cleient mewn un VLAN yn ôl ei adeiladwaith. Pont yw'r dyluniad trunk, ac mae pont wedi'i ffurfweddu'n anghywir yn uno parthau darlledu yr oedd disgwyl iddynt aros ar wahân.

Profi'r dewis a wnaethoch

Cysylltwch un cleient y dylai fod yn y VLAN a ganiateir ac un na ddylai, yna profwch o'r pen go iawn yn hytrach nag o'r gweinydd ei hun. Mae cyrraeddadwyedd o ochr y gweinydd yn profi bod y bont neu'r switsh yn bodoli; nid yw'n profi pa VLAN y glaniodd cleient ynddo.

ip -d link show tap0
bridge vlan show

Ar y gweinydd, mae'r ail orchymyn yn dangos aelodaeth VLAN pob porthladd pont, gan gynnwys a yw porthladd wedi'i dagio. Cymharwch hynny â'r aseiniad yr oeddech yn bwriadu ei gael cyn dadfygio unrhyw beth uwchben haen dau.

Cofnodwch pa un o'r ddau ddyluniad y mae'r defnydd yn ei ddefnyddio. Mae nodyn sy'n dweud «ymwybodol o VLAN» yn amwys, a bydd y peiriannydd nesaf yn tybio'r un a ddysgodd gyntaf. Mae cyfeirlyfr VLAN OpenVPNyn diffinio ymddygiad y switsh a'r cyd-destun pob cleient, a dyma'r llwybr byrraf i gadarnhau pa fodel yr ydych yn ei redeg.