Γέφυρα TAP για ένα VLAN: συνδέστε το υπο-interface

Ένας πελάτης TAP που έφτανε στο LAN πριν από τα VLAN και σταμάτησε μετά έχει συνήθως μια γέφυρα που περιέχει ακόμη τη λάθος διεπαφή. Η προώθηση πλαισίων δεν προσθέτει ετικέτα VLAN, οπότε ένα πλαίσιο πελάτη χωρίς ετικέτα που στέλνεται στη φυσική uplink φτάνει χωρίς ετικέτα σε θύρα trunk και είτε απορρίπτεται είτε καταλήγει στο native VLAN. Το ότι το υπο-interface υπάρχει κάπου στον host δεν αλλάζει τίποτα στη λίστα μελών της γέφυρας. Αυτός είναι ο μύθος που πρέπει να σκοτώσουμε πρώτος: η ετικέτα εφαρμόζεται από τη διεπαφή που την κατέχει, όχι από τον host επειδή απλώς έχει μία.

Μια επέκταση VLAN σημαίνει ένα domain layer-2, και η γέφυρα πρέπει να ενταχθεί σε αυτό το domain και όχι στο trunk που τα μεταφέρει όλα.

Η ετικέτα δεν εμφανίζεται επειδή γεφυρώσατε το trunk

Πάρτε μια Linux uplink eno1 που μεταφέρει VLAN 120 προς ένα managed switch. Το σχέδιο που δουλεύει για ένα VLAN είναι το tap_vpn γεφυρωμένο στο br_vpn, με το br_vpn να περιέχει το eno1.120 αντί για το eno1. Το υπο-interface VLAN εφαρμόζει την ετικέτα στην έξοδο και την αφαιρεί στην είσοδο, οπότε η γέφυρα βλέπει μόνο πλαίσια χωρίς ετικέτα για αυτό το ένα VLAN. Βάλτε αντ' αυτού τη φυσική διεπαφή στη γέφυρα και τα ίδια πλαίσια φεύγουν χωρίς ετικέτα σε θύρα trunk, που δεν είναι αυτό που σχεδιάσατε.

Το γεφύρωμα του trunk με απενεργοποιημένο φιλτράρισμα VLAN δεν είναι σύντομος δρόμος για το ίδιο αποτέλεσμα. Δίνει στη γέφυρα κάθε VLAN σε αυτό το καλώδιο, μαζί με εκείνα που οι πελάτες δεν θα έπρεπε να βλέπουν.

Δύο νόμιμα σχέδια, ένας ιδιοκτήτης ετικέτας

Μια γέφυρα με επίγνωση VLAN είναι η άλλη έγκυρη διάταξη: το trunk μπαίνει σε θύρα της γέφυρας, και η συμμετοχή ανά θύρα, το PVID και οι ρυθμίσεις εξόδου με ετικέτα καθορίζουν ποια VLAN περνούν. Εκεί η γέφυρα κατέχει τη σήμανση, και η προσθήκη υπο-interface VLAN από κάτω θα εγκαθιστούσε δεύτερο ιδιοκτήτη για μία δουλειά. Και τα δύο σχέδια δουλεύουν· τα κομμάτια και των δύο όχι. Αποφασίστε ποιο αντικείμενο εφαρμόζει την ετικέτα πριν επεξεργαστείτε οποιαδήποτε λίστα μελών.

Η θύρα του switch πρέπει να συμφωνεί με το σχέδιο που θα διαλέξετε. Μια access θύρα που μεταφέρει το VLAN χωρίς ετικέτα ταιριάζει με τη φυσική διεπαφή ως σύνδεση, ενώ μια θύρα trunk ταιριάζει με υπο-interface με ετικέτα. Η προσθήκη υπο-interface σε αταίριαστη access θύρα δεν διορθώνει τίποτα.

Μετακινήστε τη διεύθυνση μαζί με τη συμμετοχή

Στο σχέδιο με υπο-interface, η διεύθυνση του host για το γεφυρωμένο subnet ανήκει στο br_vpn, όχι στη σκλαβωμένη θύρα VLAN όπου μπορεί να ζούσε πριν. Το να την αφήσετε στη θύρα μπορεί να φαίνεται ότι δουλεύει και μετά να συμπεριφέρεται παράξενα, γιατί η γέφυρα προωθεί στο layer 2 ενώ η διεύθυνση κάθεται σε ένα μέλος. Μετακινήστε την ως μέρος της αλλαγής συμμετοχής και όχι ως ξεχωριστό πείραμα.

Η μετακίνηση μιας διεύθυνσης μπορεί να κόψει τη διαδρομή διαχείρισης. Στήστε μια ανεξάρτητη διαδρομή ανάκτησης, αποθηκεύστε την υπάρχουσα διαμόρφωση μέσω του δικού του network manager της διανομής, και αποφύγετε ένα ανταγωνιστικό script εκκίνησης που θα παλέψει μαζί της μετά την επόμενη αναβάθμιση.

Η διευθυνσιοδότηση των πελατών θέλει την ίδια φροντίδα. Ένα γεφυρωμένο VPN τοποθετεί τους πελάτες στο εκτεταμένο subnet, οπότε μια δεξαμενή δεν πρέπει να επικαλύπτει άλλες μισθώσεις ή στατικές αναθέσεις, και η διάταξη με DHCP πρέπει να είναι αυτή που το LAN πραγματικά περιμένει. Μια διαδρομή layer-2 που δουλεύει δεν λέει τίποτα για διπλές διευθύνσεις.

Επαληθεύστε τη συμμετοχή πριν κατηγορήσετε τις διαδρομές

Διαβάστε την τρέχουσα κατάσταση και όχι την επιθυμητή: το ip -d link show dev eno1.120 τυπώνει το id VLAN και τον γονέα του, το ip link show master br_vpn απαριθμεί τα μέλη της γέφυρας, και το bridge vlan show αναφέρει συμμετοχή ανά θύρα και μεταχείριση εξόδου. Στο σχέδιο με υπο-interface, επιβεβαιώστε ότι η συσκευή TAP και η συσκευή VLAN είναι τα μέλη. Σε γέφυρα με επίγνωση VLAN, ελέγξτε την ίδια την πολιτική της θύρας, γιατί μια γέφυρα που υπάρχει δεν αποδεικνύει τι επιτρέπει.

Έπειτα δοκιμάστε έναν επιτρεπόμενο πελάτη απέναντι σε μια υπηρεσία σε αυτό το VLAN, και θυμηθείτε ότι το ARP, η πολιτική του firewall και η διαδρομή απάντησης είναι ξεχωριστά ζητήματα από τη συμμετοχή. Αν καταγράφετε πακέτα, σημειώστε ότι το hardware offload μπορεί να αλλάξει πού εμφανίζονται οι ετικέτες VLAN σε ένα ίχνος. Κρατήστε και το εύρος έντιμο: ένας δρομολογημένος πελάτης TUN δεν γίνεται μέλος VLAN από καμία αλλαγή γέφυρας, και η κίνηση πελάτη-προς-πελάτη δεν αντικαθιστά τη σύνδεση του host με το VLAN.