VLAN πελατών ή tagged trunk: επιλέξτε τη σωστή λειτουργία OpenVPN

Δύο αιτήματα φτάνουν με σχεδόν ίδια διατύπωση: βάλτε κάθε πελάτη VPN σε ένα επιλεγμένο VLAN ή μεταφέρετε ένα υπάρχον trunk VLAN μέσα από το VPN. Είναι διαφορετικά προϊόντα. Η ενσωματωμένη λειτουργία του OpenVPN με επίγνωση VLAN είναι μοντέλο μεταγωγέα για το πρώτο αίτημα και δεν είναι συνώνυμο της διαφανούς μεταφοράς ετικετών. Η λάθος επιλογή παράγει ένα σχέδιο που φαίνεται ρυθμισμένο και απορρίπτει σιωπηλά τα πλαίσια που σας ενδιέφεραν.

Τι χτίζει στην πραγματικότητα η λειτουργία με επίγνωση VLAN

Με το vlan-tagging ενεργό σε ανάπτυξη TAP μόνο για διακομιστή, ο δαίμονας μοντελοποιεί τη συσκευή TAP του και κάθε συνδεδεμένο πελάτη ως θύρες ενός εσωτερικού μεταγωγέα. Οι θύρες πελατών είναι χωρίς ετικέτα και η συσχέτισή τους με VLAN ορίζεται στον διακομιστή μέσω του περιβάλλοντος vlan-pvid ανά πελάτη, όχι από οτιδήποτε στέλνει ο πελάτης. Αυτό είναι όλο το νόημα του μοντέλου: η ιδιότητα μέλους είναι απόφαση της πλευράς του διακομιστή για έναν πιστοποιημένο ομότιμο. Τίποτα στο προφίλ του πελάτη δεν χρειάζεται να γνωρίζει σε ποιο VLAN ανήκει.

Η πλευρά TAP του διακομιστή αποκτά τη δική της πολιτική αποδοχής με ή χωρίς ετικέτα μέσω vlan-accept. Η προώθηση μέσα σε αυτόν τον μεταγωγέα γίνεται μόνο μεταξύ ίδιων VID, ακόμη και όταν έχει οριστεί το client-to-client, οπότε δύο πελάτες σε διαφορετικά VLAN δεν μπορούν να φτάσουν ο ένας τον άλλον μέσω του διακομιστή, παρόλο που και οι δύο είναι συνδεδεμένοι σε αυτόν.

Αυτό το μοντέλο είναι μοντέλο θύρας πρόσβασης. Τα πλαίσια που φεύγουν από έναν πελάτη είναι χωρίς ετικέτα και η συσχέτιση επιβάλλεται από τον διακομιστή βάσει ταυτότητας. Το να ζητάτε από τον φορητό υπολογιστή να επισημάνει ο ίδιος την κίνησή του σημαίνει ότι ζητάτε άλλο σχέδιο.

Οι αναθέσεις πρέπει να ακολουθούν την πιστοποιημένη ταυτότητα του πελάτη, όχι μια τιμή που προσφέρει ο πελάτης για τον εαυτό του. Μια παράλειψη ανάθεσης δεν είναι ούτε κατάσταση καραντίνας: ο πελάτης προσγειώνεται στο προεπιλεγμένο PVID, άρα μια απούσα καταχώριση ccd είναι σιωπηλή απόφαση πολιτικής και όχι ουδέτερη.

Τι απαιτεί αντ' αυτού ένα διαφανές trunk

Η μεταφορά ήδη επισημασμένων πλαισίων από άκρη σε άκρη ξεκινά με την απενεργοποίηση της επεξεργασίας με επίγνωση VLAN. Το μοντέλο μεταγωγέα και η διατήρηση ετικετών είναι εναλλακτικές, και η ενεργοποίηση και των δύο ζητά από ένα χαρακτηριστικό να κάνει τη δουλειά του άλλου.

Η απενεργοποίηση είναι μόνο η αρχή. Η γέφυρα σε κάθε άκρο και οι φυσικές θύρες του μεταγωγέα πρέπει να συμφωνήσουν ποια VLAN επιτρέπονται, ποια ετικέτα είναι εγγενής και πώς αντιμετωπίζονται τα πλαίσια χωρίς ετικέτα. Η επέκταση ενός trunk χωρίς περιορισμούς εκθέτει πολύ περισσότερα πεδία εκπομπής από τα δύο που θέλατε να συνδέσετε.

Το μέγεθος πλαισίου χρειάζεται δικό του προϋπολογισμό. Ένα πλαίσιο Ethernet με ετικέτα συν η ενθυλάκωση είναι μεγαλύτερο από τον αριθμό ωφέλιμου φορτίου που αντιγράφουν οι άνθρωποι από έναν οδηγό, και ένα MTU που ήταν εντάξει για δρομολογημένη σήραγγα δεν αποδεικνύει ότι μια διαδρομή trunk λειτουργεί.

Τρεις συνθήκες που καθορίζουν την απάντηση

Πρώτον, υποστηρίζει η πλατφόρμα του πελάτη το TAP καθόλου; Το Android και το iOS όχι, και η υποστήριξη του macOS είναι περιορισμένη, οπότε ένας στόλος κινητών χρηστών αποκλείει κάθε σχέδιο TAP ανεξάρτητα από το πώς είναι οργανωμένα τα VLAN. Μια δρομολογημένη συνεδρία TUN μεταφέρει πακέτα IP, όχι πλαίσια Ethernet, και καμία ρύθμιση VLAN στον διακομιστή δεν το αλλάζει. Ελέγξτε τον στόλο πριν σχεδιάσετε την τοπολογία, γιατί αυτή η συνθήκη είναι εκείνη που δεν μπορεί να παρακαμφθεί. Είναι επίσης η συνθήκη που ανακαλύπτεται συχνότερα αφού τελειώσει η εργασία στον μεταγωγέα.

Δεύτερον, ποιος εκχωρεί το VLAN; Αν η απάντηση είναι «ο διακομιστής, με βάση το ποιος πιστοποιήθηκε», ταιριάζει το μοντέλο μεταγωγέα. Αν η απάντηση είναι «η υπάρχουσα υποδομή μεταγωγέων, με ετικέτες που υπάρχουν ήδη», χρειάζεστε το σχέδιο trunk.

Τρίτον, πόσο μεγάλο μέρος του δικτύου πρέπει να είναι προσβάσιμο? Το μοντέλο μεταγωγέα κρατά κάθε πελάτη σε ένα VLAN εκ κατασκευής. Το σχέδιο trunk είναι γέφυρα, και μια γέφυρα με λάθος ρυθμίσεις ενώνει πεδία εκπομπής που έπρεπε να μείνουν χωριστά.

Δοκιμάζοντας την επιλογή που κάνατε

Συνδέστε έναν πελάτη που πρέπει να είναι στο επιτρεπόμενο VLAN και έναν που δεν πρέπει, και μετά δοκιμάστε από το πραγματικό άκρο και όχι από τον ίδιο τον διακομιστή. Η προσβασιμότητα από την πλευρά του διακομιστή αποδεικνύει ότι η γέφυρα ή ο μεταγωγέας υπάρχει· δεν αποδεικνύει σε ποιο VLAN προσγειώθηκε ο πελάτης.

ip -d link show tap0
bridge vlan show

Στον διακομιστή, η δεύτερη εντολή δείχνει την ιδιότητα μέλους VLAN κάθε θύρας γέφυρας, συμπεριλαμβανομένου του αν μια θύρα έχει ετικέτα. Συγκρίνετε το με την ανάθεση που σκοπεύατε πριν κάνετε αποσφαλμάτωση οτιδήποτε πάνω από το δεύτερο επίπεδο.

Καταγράψτε ποιο από τα δύο σχέδια χρησιμοποιεί η ανάπτυξη. Μια σημείωση «με επίγνωση VLAN» είναι ασαφής, και ο επόμενος μηχανικός θα υποθέσει όποιο έμαθε πρώτο. Η αναφορά VLAN του OpenVPNορίζει τη συμπεριφορά του μεταγωγέα και το περιβάλλον ανά πελάτη, και είναι ο συντομότερος δρόμος για να επιβεβαιώσετε ποιο μοντέλο τρέχετε.