TAP-Bridge für ein VLAN: das Subinterface anhängen

Ein TAP-Client, der vor den VLANs ins LAN kam und danach nicht mehr, hat meist eine Bridge, die noch die falsche Schnittstelle enthält. Die Frame-Weiterleitung fügt kein VLAN-Tag hinzu, deshalb kommt ein ungetaggter Client-Frame, der an den physischen Uplink geht, ungetaggt an einem Trunk-Port an und wird entweder verworfen oder landet im nativen VLAN. Dass das Subinterface irgendwo auf dem Host existiert, ändert nichts an der Mitgliederliste der Bridge. Genau dieser Mythos muss zuerst sterben: Das Tag setzt die Schnittstelle, der es gehört, nicht der Host, nur weil er eine hat.

Eine VLAN-Erweiterung bedeutet eine Layer-2-Domäne, und die Bridge muss dieser Domäne beitreten und nicht dem Trunk, der alle trägt.

Das Tag erscheint nicht, weil Sie den Trunk gebrückt haben

Nehmen Sie einen Linux-Uplink eno1, der VLAN 120 zu einem verwalteten Switch führt. Das Design, das für ein einzelnes VLAN funktioniert, ist tap_vpn, gebrückt auf br_vpn, wobei br_vpn eno1.120 statt eno1 enthält. Das VLAN-Subinterface setzt das Tag beim Ausgang und entfernt es beim Eingang, sodass die Bridge für dieses eine VLAN nur ungetaggte Frames sieht. Setzen Sie stattdessen die physische Schnittstelle in die Bridge, verlassen dieselben Frames ungetaggt einen Trunk-Port, und das ist nicht, was Sie geplant hatten.

Den Trunk mit abgeschaltetem VLAN-Filtering zu brücken ist keine Abkürzung zum selben Ergebnis. Es gibt der Bridge jedes VLAN auf dieser Leitung, auch die, die Clients nichts angehen.

Zwei legitime Designs, ein Tag-Eigentümer

Eine VLAN-bewusste Bridge ist die andere gültige Anordnung: Der Trunk geht in einen Bridge-Port, und Mitgliedschaft pro Port, PVID und getaggte Ausgangseinstellungen entscheiden, welche VLANs passieren. Dort besitzt die Bridge das Tagging, und ein VLAN-Subinterface darunter würde einen zweiten Eigentümer für eine Aufgabe installieren. Beide Designs funktionieren; Fragmente von beiden nicht. Entscheiden Sie, welches Objekt das Tag setzt, bevor Sie eine Mitgliederliste bearbeiten.

Der Switch-Port muss zu dem Design passen, das Sie wählen. Ein Access-Port, der das VLAN ungetaggt führt, passt zur physischen Schnittstelle als Anbindung, während ein Trunk-Port zu einem getaggten Subinterface passt. Ein Subinterface an einen unpassenden Access-Port zu hängen, repariert nichts.

Verschieben Sie die Adresse mit der Mitgliedschaft

Im Subinterface-Design gehört die Host-Adresse für das gebrückte Subnetz auf br_vpn, nicht auf den versklavten VLAN-Port, wo sie vorher gelebt haben mag. Sie auf dem Port zu lassen, kann funktionieren und sich dann seltsam verhalten, weil die Bridge auf Layer 2 weiterleitet, während die Adresse auf einem Mitglied sitzt. Verschieben Sie sie als Teil der Mitgliedschaftsänderung und nicht als separates Experiment.

Das Verschieben einer Adresse kann den Verwaltungsweg abschneiden. Richten Sie eine unabhängige Wiederherstellungsroute ein, sichern Sie die bestehende Konfiguration über den eigenen Netzwerkmanager der Distribution, und vermeiden Sie ein konkurrierendes Startskript, das nach dem nächsten Upgrade dagegen ankämpft.

Die Client-Adressierung braucht dieselbe Sorgfalt. Ein gebrücktes VPN setzt Clients in das erweiterte Subnetz, also darf ein Pool andere Leases oder statische Zuweisungen nicht überlappen, und eine per DHCP bediente Anordnung muss die sein, die das LAN tatsächlich erwartet. Ein funktionierender Layer-2-Pfad sagt nichts über doppelte Adressen.

Prüfen Sie die Mitgliedschaft, bevor Sie die Routen beschuldigen

Lesen Sie den aktuellen Zustand statt den beabsichtigten: ip -d link show dev eno1.120 gibt die VLAN-ID und ihren Parent aus, ip link show master br_vpn listet die Bridge-Mitglieder, und bridge vlan show meldet Mitgliedschaft pro Port und Ausgangsbehandlung. Bestätigen Sie im Subinterface-Design, dass das TAP-Gerät und das VLAN-Gerät die Mitglieder sind. Prüfen Sie bei einer VLAN-bewussten Bridge die Port-Policy selbst, denn eine existierende Bridge beweist nicht, was sie erlaubt.

Testen Sie dann einen erlaubten Client gegen einen Dienst in diesem VLAN und denken Sie daran, dass ARP, Firewall-Policy und der Rückweg getrennte Angelegenheiten von der Mitgliedschaft sind. Wenn Sie Pakete mitschneiden, beachten Sie, dass Hardware-Offload ändern kann, wo VLAN-Tags in einer Spur auftauchen. Halten Sie auch den Umfang ehrlich: Ein gerouteter TUN-Client wird durch keine Bridge-Änderung zum VLAN-Mitglied, und Client-zu-Client-Verkehr ersetzt nicht die Anbindung des Hosts an das VLAN.