A oes angen yr un VLAN ID ar ddau safle ar gyfer VPN safle?

Mae rhifau VLAN cyfatebol mewn dau swyddfa yn teimlo fel pe baent yn helpu twnnel safle-i-safle, ac nid ydynt yn newid dim o'r hyn y mae'r twnnel yn ei gario. Mae VLAN ID yn labelu parth darlledu Ethernet o fewn un adeilad; mae'r twnnel yn anfon pecynnau IP rhwng y pyllau. Gall dau safle ddefnyddio rhifo VLAN hollol wahanol ac eto llwybro at ei gilydd, a gall dau safle ddefnyddio'r un rhifo VLAN ac eto methu cyrraedd ei gilydd. Y newidyn sy'n penderfynu cyrhaeddiad yw'r cynllun cyfeiriadau.

Y myth: yr un VLAN ID ar y ddau ben

Daw'r gred o le rhesymol. O fewn un adeilad, gall dau borth yn yr un VLAN siarad ac ni all dau borth mewn VLANau gwahanol, felly mae rhif VLAN yn edrych fel y peth sy'n rhoi cysylltedd. Ar draws twnnel wedi'i lwybro nid oes segment Ethernet a rennir i'r tag ei ddisgrifio, ac nid yw'r pyllau byth yn cyfnewid tagiau VLAN.

Yr hyn sydd ei angen ar y twnnel yw pâr o gwmpasau cyfeiriad nad ydynt yn gorgyffwrdd a pholisi sy'n caniatáu'r traffig rhyngddynt. Newidiwch y VLAN mewn unrhyw swyddfa ac mae'r twnnel yn parhau i weithio, oherwydd nid oedd dim yng nghyfluniad y twnnel yn cyfeirio ato. Dyma'r prawf sy'n setlo'r ddadl: ailrifwch VLAN, gadewch y cyfeiriadau'n dawel a gwyliwch a yw'r twnnel yn aros i fyny.

Mae'r prawf gwrthdro yr un mor addysgiadol. Rhowch yr un is-rwydwaith i'r ddwy swyddfa ac ni fydd unrhyw faint o rifau VLAN cyfatebol yn gwneud cyfeiriad yn ddiamwys.

Yr hyn y mae'r twnnel yn ei gario mewn gwirionedd

Mae IPsec yn diogelu pecynnau IP yn ôl polisi a fynegir mewn cyfeiriadau, protocolau a phorthladdoedd. Pensaernïaeth IPsec yn disgrifio'r detholwyr hynny ar haen IP, sydd sawl haen uwchlaw unrhyw beth y mae tag swits yn ei ddisgrifio. Pan fydd pecyn yn mynd i mewn i'r twnnel mae eisoes wedi gadael y VLAN; mae'r tag wedi'i ddefnyddio gan y swits lleol.

Mae cynlluniau sy'n seiliedig ar bolisi a rhai sy'n seiliedig ar lwybrau yn gwahaniaethu yn y ffordd y maent yn dewis y twnnel, nid yn yr hyn y gallant ei gario. Mae cymar sy'n seiliedig ar bolisi yn cyfateb detholwyr traffig ac yn anfon pecynnau cyfatebol i'r twnnel. Mae cymar sy'n seiliedig ar lwybrau yn llwybro traffig ar ryngwyneb twnnel ac yn gadael i'r tabl llwybro benderfynu. Mae'r ddau yn dal i drafod cwmpas diogelu, felly nid yw llwybr sy'n pwyntio at y twnnel yn ymestyn yr hyn y cytunodd y cymheiriaid i'w ddiogelu.

Mae'r gwahaniaeth hwnnw yn esbonio methiant hanner cyffredin: mae'r llwybr yn bodoli, mae pecynnau'n mynd i mewn i'r twnnel, ac mae'r ochr bell yn eu gollwng oherwydd nid oedd y detholwyr a drafodwyd byth yn cynnwys y rhagddodiad hwnnw. Mae darllen y polisïau sydd wedi'u gosod yn dangos pa gwmpas a ddaeth mewn gwirionedd i rym.

ip xfrm policy
ip route show
swanctl --list-sas

Y gorgyffwrdd sy'n torri mewn gwirionedd

Mae dwy swyddfa ag is-rwydweithiau gwahanol yn llwybro'n lân drwy dwnnel, ac mae eu rhifau VLAN yn amherthnasol. Nid yw dwy swyddfa â'r un is-rwydwaith felly, oherwydd mae gan gais am gyfeiriad penodol ddau ystyr posibl a dim ond un y gall y tabl llwybro ei ddewis. Ailrifo un safle yw'r atgyweiriad glân, ac mae fel arfer yn rhatach na'r dewisiadau eraill unwaith y cyfrifir newidiadau DNS a mur tân.

Pan nad yw ailrifo yn bosibl, gall cynllun cyfieithu bwriadol gyflwyno golygfeydd cyfeiriad gwahanol i bob ochr. Mae hynny'n golygu mapio un-i-un, detholwyr cyfatebol, cofnodion DNS sy'n adlewyrchu'r olygfa gyfieithiedig a llwybro dychwelyd sy'n goroesi'r ailysgrifennu. Mae'n gynllun a gefnogir â chost weithredol go iawn, ac nid dyma'r hyn y mae newid VLAN ID yn ei wneud.

Mae rhifau VLAN cyfatebol ar y ddau ben weithiau yn gyd-ddigwyddiad o dempled a rennir, ac mae trin y cyd-ddigwyddiad hwnnw fel achos twnnel sy'n gweithio yn arwain at y newid anghywir pan fydd rhywbeth yn torri yn ddiweddarach.

Un swydd fesul haen, ar bapur

Mae'r swits lleol yn penderfynu pa borthladdoedd sy'n rhannu parth darlledu, ac mae ei rifo VLAN yn gyfrifon lleol nad oes angen i unrhyw safle arall eu gwybod. Mae'r porth yn dilysu'r cymar ac yn gorfodi'r cwmpas diogelu a drafodwyd. Mae'r tabl llwybro yn penderfynu i ble mae pecyn dadgryptiedig yn mynd nesaf, ac mae'r polisi mynediad yn penderfynu a ddylid bod wedi caniatáu'r pecyn hwnnw o gwbl.

Cadw'r swyddi hynny ar wahân sy'n gwneud newidiadau'n ddiogel. Mae ailrifo VLAN mewn un swyddfa yn cyffwrdd â'r swits lleol, cwmpas DHCP ac efallai parth mur tân, ac nid yw'n cyffwrdd â'r twnnel. Mae newid rhagddodiad yn cyffwrdd â detholwyr y twnnel, y llwybrau ar y ddwy ochr a'r polisi mynediad, ac nid yw'n cyffwrdd â thagiau'r swits.

Mae llwybrau dychwelyd, DNS preifat a gofynion hunaniaeth cymhwysiad yn swyddi ar wahân eto, ac nid oes yr un ohonynt yn dod drwy gopïo rhif VLAN o'r safle arall. Mae dogfen gynllun sy'n rhestru rhagddodiaid cyrhaeddadwy a gwasanaethau a ganiateir yn goroesi adnewyddiad swits; un sy'n rhestru rhifau VLAN, nid yw.

Cadarnhewch y darlun lleol gyda'r offer pont cyn tybio bod tag yn cyrraedd y twnnel.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Pan mai estyniad layer-2 yw'r gofyniad gwirioneddol

Mae rhai cynlluniau wirioneddol angen ymddygiad Ethernet ar draws safleoedd: cymhwysiad hen ffasiwn sy'n dibynnu ar ddarganfod darlledu, mudo sy'n rhaid cadw cyfeiriad wrth i beiriant symud, neu brotocol sy'n ymgorffori rhagdybiaethau layer-2. Mae'r achosion hynny angen troshaen neu wasanaeth pont sy'n cario'r fframiau, ac yna mae aelodaeth VLAN, atal dolen a thrin methiannau yn dod yn faterion o un pen i'r llall.

Mae hwnnw'n barth methiant llawer mwy, a dylai fod yn ddewis bwriadol yn hytrach na chanlyniad damweiniol ceisio gwneud rhannu ffeiliau i weithio. Mae gweinydd ffeiliau, cronfa ddata neu gymhwysiad gwe cyffredin angen llwybr IP awdurdodedig, a bydd yn hapusach heb barth darlledu estynedig oddi tano.

Ysgrifennwch gontract y VPN fel rhagddodiaid cyrhaeddadwy ynghyd â gwasanaethau a ganiateir, a chofnodwch y tag VLAN dim ond lle mae gweithrediadau lleol yn ei angen. Yna gall pob swyddfa ailrifo ei chyfnewid ei hun heb droi pob newid yn ailgynllun twnnel.