Pont TAP ar gyfer un VLAN: cysylltwch yr is-rhyngwyneb

Mae cleient TAP a gyrhaeddodd y LAN cyn VLANau ac a stopiodd wedyn fel arfer yn dal pont sy'n cynnwys y rhyngwyneb anghywir. Nid yw anfon fframiau yn ychwanegu tag VLAN, felly mae ffram gleient heb dag a anfonir at yr uplink ffisegol yn cyrraedd heb dag ar borth trwnc ac naill ai'n cael ei thaflu neu'n glanio yn y VLAN frodorol. Nid yw'r is-rhyngwyneb yn bodoli yn rhywle ar y gwesteiwr yn newid dim ar restr aelodau'r bont. Dyna'r myth i'w ladd gyntaf: y rhyngwyneb sy'n berchen ar y tag sy'n ei gymhwyso, nid y gwesteiwr am fod ganddo un yn unig.

Mae un estyniad VLAN yn golygu un parth layer-2, a rhaid i'r bont ymuno â'r parth hwnnw yn hytrach na'r trwnc sy'n eu cario i gyd.

Nid yw'r tag yn ymddangos oherwydd ichi bontio'r trwnc

Cymerwch uplink Linux eno1 sy'n cario VLAN 120 at switsh rheoledig. Y dyluniad sy'n gweithio ar gyfer un VLAN yw tap_vpn wedi'i bontio i br_vpn, gyda br_vpn yn cynnwys eno1.120 yn hytrach na eno1. Mae is-rhyngwyneb VLAN yn cymhwyso'r tag ar allanfa ac yn ei ddileu ar fewnfa, felly dim ond fframiau heb dag ar gyfer y VLAN unig honno y mae'r bont yn eu gweld. Rhowch y rhyngwyneb ffisegol yn y bont yn lle hynny, a bydd yr un fframiau'n gadael heb dag ar borth trwnc, nad yw hynny'n yr hyn a gynlluniwyd gennych.

Nid yw pontio'r trwnc gyda hidlo VLAN wedi'i ddiffodd yn llwybr byr i'r un canlyniad. Mae'n rhoi pob VLAN ar y wifren honno i'r bont, gan gynnwys y rhai na ddylai cleientiaid eu gweld.

Dau ddyluniad dilys, un perchennog tag

Pont sy'n ymwybodol o VLAN yw'r trefniant dilys arall: mae'r trwnc yn mynd i mewn i borth y bont, ac mae aelodaeth fesul porth, PVID a gosodiadau allanfa â thag yn penderfynu pa VLANau sy'n mynd trwodd. Yno'r bont sy'n berchen ar y tagio, a byddai ychwanegu is-rhyngwyneb VLAN oddi tani yn gosod ail berchennog ar gyfer un dasg. Mae'r ddau ddyluniad yn gweithio; nid yw darnau o'r ddau yn gweithio. Penderfynwch pa wrthrych sy'n cymhwyso'r tag cyn golygu unrhyw restr aelodau.

Rhaid i borth y switsh gytuno â'r dyluniad a ddewiswch. Mae porth mynediad sy'n cario'r VLAN heb dag yn paru â'r rhyngwyneb ffisegol fel yr atodiad, tra mae porth trwnc yn paru ag is-rhyngwyneb â thag. Nid yw ychwanegu is-rhyngwyneb at borth mynediad anghyfatebol yn trwsio dim.

Symudwch y cyfeiriad gyda'r aelodaeth

Yn y dyluniad is-rhyngwyneb, mae cyfeiriad y gwesteiwr ar gyfer yr is-rwydwaith pontiedig yn perthyn i br_vpn, ac nid i'r porth VLAN caeth lle'r oedd o bosibl o'r blaen. Gall ei adael ar y porth ymddangos fel pe bai'n gweithio ac yna ymddwyn yn rhyfedd, oherwydd mae'r bont yn anfon ar layer 2 tra mae'r cyfeiriad yn eistedd ar aelod. Symudwch ef fel rhan o'r newid aelodaeth yn hytrach nag fel arbrawf ar wahân.

Gall symud cyfeiriad dorri'r llwybr gweinyddu. Sefydlwch lwybr adfer annibynnol, cadwch y ffurfweddiad presennol trwy reolwr rhwydwaith y dosbarthiad ei hun, ac osgoi sgript gychwyn gystadleuol a fydd yn ymladd ag ef ar ôl yr uwchraddiad nesaf.

Mae angen yr un gofal ar gyfeiriannu cleientiaid. Mae VPN pontiedig yn gosod cleientiaid yn yr is-rwydwaith estynedig, felly ni ddylai pwll orgyffwrdd â lesau neu neilltuadau statig eraill, a rhaid i'r trefniant a weinyddir gan DHCP fod yr un y mae'r LAN yn ei ddisgwyl mewn gwirionedd. Nid yw llwybr layer-2 sy'n gweithio yn dweud dim am gyfeiriadau dyblyg.

Gwiriwch aelodaeth cyn beio llwybrau

Darllenwch y cyflwr presennol yn lle'r un a fwriadwyd: mae ip -d link show dev eno1.120 yn argraffu id VLAN a'i riant, mae ip link show master br_vpn yn rhestru aelodau'r bont, ac mae bridge vlan show yn adrodd aelodaeth fesul porth a'r driniaeth ar allanfa. Yn y dyluniad is-rhyngwyneb, cadarnhewch mai'r ddyfais TAP a'r ddyfais VLAN yw'r aelodau. Mewn pont sy'n ymwybodol o VLAN, archwiliwch bolisi'r porth ei hun, oherwydd nid yw pont yn bodoli yn profi beth mae'n ei ganiatáu.

Yna profwch un cleient a ganiateir yn erbyn gwasanaeth yn y VLAN honno, gan gofio bod ARP, polisi'r wal dân a'r llwybr ateb yn faterion ar wahân i aelodaeth. Os ydych yn cipio pecynnau, nodwch y gall dadlwytho caledwedd newid lle mae tagiau VLAN yn ymddangos mewn ôl. Cadwch y cwmpas yn onest hefyd: nid yw cleient TUN llwybredig yn dod yn aelod VLAN trwy unrhyw newid pont, ac nid yw traffig cleient-i-gleient yn disodli atodiad y gwesteiwr i'r VLAN.