Brauchen zwei Standorte gleiche VLAN-IDs für ein Standort-VPN?

Gleiche VLAN-Nummern an zwei Standorten wirken, als müssten sie einem Standort-zu-Standort-Tunnel helfen, und sie ändern nichts an dem, was der Tunnel transportiert. Eine VLAN-ID kennzeichnet eine Ethernet-Broadcast-Domäne innerhalb eines Gebäudes; der Tunnel leitet IP-Pakete zwischen den Gateways weiter. Zwei Standorte können eine völlig unterschiedliche VLAN-Nummerierung verwenden und trotzdem zueinander routen, und zwei Standorte können eine identische VLAN-Nummerierung verwenden und sich trotzdem nicht erreichen. Die Variable, die die Erreichbarkeit entscheidet, ist der Adressplan.

Der Mythos: gleiche VLAN-IDs an beiden Enden

Die Überzeugung kommt von einer vernünftigen Stelle. Innerhalb eines Gebäudes können zwei Ports im selben VLAN miteinander sprechen und zwei Ports in verschiedenen VLANs nicht, also wirkt die VLAN-Nummer wie das, was Konnektivität verleiht. Über einen gerouteten Tunnel gibt es kein gemeinsames Ethernet-Segment, das das Tag beschreiben könnte, und die Gateways tauschen niemals VLAN-Labels aus.

Was der Tunnel braucht, ist ein Paar nicht überlappender Adressbereiche und eine Richtlinie, die den Verkehr zwischen ihnen erlaubt. Ändern Sie das VLAN an einem beliebigen Standort, und der Tunnel läuft weiter, weil nichts in der Tunnelkonfiguration darauf verwiesen hat. Das ist der Test, der den Streit entscheidet: Nummerieren Sie ein VLAN um, lassen Sie die Adressen unangetastet und beobachten Sie, ob der Tunnel oben bleibt.

Der umgekehrte Test ist ebenso aufschlussreich. Geben Sie beiden Standorten dasselbe Subnetz, und keine Menge übereinstimmender VLAN-Nummern macht eine Adresse eindeutig.

Was der Tunnel tatsächlich transportiert

IPsec schützt IP-Pakete nach einer Richtlinie, die in Adressen, Protokollen und Ports ausgedrückt ist. Die IPsec-Architektur beschreibt diese Selektoren auf der IP-Schicht, die mehrere Schichten über allem liegt, was ein Switch-Tag beschreibt. Wenn ein Paket in den Tunnel eintritt, hat es das VLAN bereits verlassen; das Tag wurde vom lokalen Switch verbraucht.

Richtlinienbasierte und routenbasierte Entwürfe unterscheiden sich darin, wie sie den Tunnel wählen, nicht darin, was sie transportieren können. Ein richtlinienbasierter Peer gleicht Verkehrsselektoren ab und schickt passende Pakete in den Tunnel. Ein routenbasierter Peer routet Verkehr an einer Tunnelschnittstelle und lässt die Routing-Tabelle entscheiden. Beide verhandeln weiterhin einen Schutzumfang, daher erweitert eine Route, die auf den Tunnel zeigt, nicht das, was die Peers zu schützen vereinbart haben.

Diese Unterscheidung erklärt einen häufigen halben Fehlschlag: Die Route existiert, Pakete treten in den Tunnel ein, und die Gegenseite verwirft sie, weil die ausgehandelten Selektoren dieses Präfix nie umfassten. Das Lesen der installierten Richtlinien zeigt, welcher Umfang tatsächlich wirksam wurde.

ip xfrm policy
ip route show
swanctl --list-sas

Die Überlappung, die wirklich bricht

Zwei Standorte mit unterschiedlichen Subnetzen routen sauber durch einen Tunnel, und ihre VLAN-Nummern sind irrelevant. Zwei Standorte mit demselben Subnetz nicht, weil eine Anfrage nach einer bestimmten Adresse zwei mögliche Bedeutungen hat und die Routing-Tabelle nur eine wählen kann. Die Umnummerierung eines Standorts ist die saubere Lösung, und sie ist meist billiger als die Alternativen, sobald die DNS- und Firewall-Änderungen mitgezählt werden.

Wenn eine Umnummerierung unmöglich ist, kann ein bewusstes Übersetzungsdesign jeder Seite unterschiedliche Adressansichten präsentieren. Das bedeutet Eins-zu-eins-Zuordnung, passende Selektoren, DNS-Einträge, die die übersetzte Ansicht widerspiegeln, und Rückrouting, das das Umschreiben übersteht. Es ist ein unterstütztes Design mit echten Betriebskosten, und es ist nicht das, was das Ändern einer VLAN-ID bewirkt.

Gleiche VLAN-Nummern an beiden Enden sind manchmal ein Zufall einer gemeinsamen Vorlage, und diesen Zufall als Ursache eines funktionierenden Tunnels zu behandeln, führt zur falschen Änderung, wenn später etwas bricht.

Eine Aufgabe pro Schicht, schriftlich

Der lokale Switch entscheidet, welche Ports eine Broadcast-Domäne teilen, und seine VLAN-Nummerierung ist lokale Buchführung, die kein anderer Standort kennen muss. Das Gateway authentifiziert den Peer und setzt den ausgehandelten Schutzumfang durch. Die Routing-Tabelle entscheidet, wohin ein entschlüsseltes Paket als Nächstes geht, und die Zugriffsrichtlinie entscheidet, ob dieses Paket überhaupt hätte erlaubt sein sollen.

Diese Aufgaben getrennt zu halten, macht Änderungen sicher. Eine VLAN-Umnummerierung in einem Standort berührt den lokalen Switch, den DHCP-Bereich und möglicherweise eine Firewall-Zone, und sie berührt den Tunnel nicht. Eine Präfixänderung berührt die Tunnel-Selektoren, die Routen auf beiden Seiten und die Zugriffsrichtlinie, und sie berührt die Switch-Tags nicht.

Rückrouten, privates DNS und Anforderungen an die Anwendungsidentität sind wieder getrennte Aufgaben, und keine von ihnen kommt durch Kopieren einer VLAN-Nummer vom anderen Standort. Ein Designdokument, das erreichbare Präfixe und erlaubte Dienste auflistet, übersteht einen Switch-Austausch; eines, das VLAN-Nummern auflistet, nicht.

Bestätigen Sie das lokale Bild mit den Bridge-Werkzeugen, bevor Sie annehmen, dass ein Tag den Tunnel erreicht.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Wenn die Layer-2-Erweiterung die eigentliche Anforderung ist

Manche Entwürfe benötigen wirklich Ethernet-Verhalten über Standorte hinweg: eine Altlastanwendung, die auf Broadcast-Erkennung angewiesen ist, eine Migration, die eine Adresse behalten muss, während eine Maschine umzieht, oder ein Protokoll, das Layer-2-Annahmen einbettet. Solche Fälle verlangen ein Overlay oder einen überbrückten Dienst, der die Frames trägt, und dann werden VLAN-Mitgliedschaft, Schleifenvermeidung und Fehlerbehandlung zu Ende-zu-Ende-Themen.

Das ist eine viel größere Fehlerdomäne, und es sollte eine bewusste Wahl sein statt des zufälligen Ergebnisses des Versuchs, eine Dateifreigabe zum Laufen zu bringen. Ein gewöhnlicher Dateiserver, eine Datenbank oder eine Webanwendung braucht einen autorisierten IP-Pfad und ist glücklicher ohne eine gestreckte Broadcast-Domäne darunter.

Schreiben Sie den VPN-Vertrag als erreichbare Präfixe plus erlaubte Dienste und halten Sie das VLAN-Tag nur dort fest, wo der lokale Betrieb es braucht. Jeder Standort kann dann seine eigene Vermittlung umnummerieren, ohne jede Änderung in eine Tunnel-Neugestaltung zu verwandeln.