Χρειάζονται δύο τοποθεσίες τα ίδια VLAN ID για VPN τοποθεσίας;

Τα ίδια νούμερα VLAN σε δύο γραφεία μοιάζουν να πρέπει να βοηθήσουν μια σήραγγα μεταξύ τοποθεσιών, και δεν αλλάζουν τίποτα από όσα μεταφέρει η σήραγγα. Ένα VLAN ID σημαίνει ένα πεδίο εκπομπής Ethernet μέσα σε ένα κτίριο· η σήραγγα προωθεί πακέτα IP μεταξύ των πυλών. Δύο τοποθεσίες μπορούν να χρησιμοποιούν εντελώς διαφορετική αρίθμηση VLAN και παρόλα αυτά να δρομολογούν η μία προς την άλλη, και δύο τοποθεσίες μπορούν να χρησιμοποιούν ίδια αρίθμηση VLAN και παρόλα αυτά να μην μπορούν να φτάσουν η μία την άλλη. Η μεταβλητή που καθορίζει την προσβασιμότητα είναι το σχέδιο διευθύνσεων.

Ο μύθος: ίδια VLAN ID στα δύο άκρα

Η πεποίθηση προέρχεται από λογικό μέρος. Μέσα σε ένα κτίριο, δύο θύρες στο ίδιο VLAN μπορούν να μιλήσουν και δύο θύρες σε διαφορετικά VLAN δεν μπορούν, οπότε ο αριθμός VLAN μοιάζει με αυτό που παρέχει συνδεσιμότητα. Κατά μήκος μιας δρομολογημένης σήραγγας δεν υπάρχει κοινό τμήμα Ethernet που να περιγράφει η ετικέτα, και οι πύλες δεν ανταλλάσσουν ποτέ ετικέτες VLAN.

Αυτό που χρειάζεται η σήραγγα είναι ένα ζεύγος περιοχών διευθύνσεων που δεν επικαλύπτονται και μια πολιτική που επιτρέπει την κίνηση μεταξύ τους. Αλλάξτε το VLAN σε οποιοδήποτε γραφείο και η σήραγγα συνεχίζει να λειτουργεί, επειδή τίποτα στη διαμόρφωση της σήραγγας δεν το αναφέρει. Αυτό είναι το τεστ που λύνει τη διαφωνία: επαναριθμήστε ένα VLAN, αφήστε τις διευθύνσεις ανέγγιχτες και δείτε αν η σήραγγα παραμένει ενεργή.

Το αντίστροφο τεστ είναι εξίσου διδακτικό. Δώστε στα δύο γραφεία το ίδιο υποδίκτυο και κανένα πλήθος ίδιων αριθμών VLAN δεν θα κάνει μια διεύθυνση μονοσήμαντη.

Τι μεταφέρει πραγματικά η σήραγγα

Το IPsec προστατεύει πακέτα IP σύμφωνα με μια πολιτική που εκφράζεται σε διευθύνσεις, πρωτόκολλα και θύρες. Η αρχιτεκτονική IPsec περιγράφει αυτούς τους επιλογείς στο επίπεδο IP, το οποίο βρίσκεται αρκετά επίπεδα πάνω από οτιδήποτε περιγράφει μια ετικέτα μεταγωγέα. Όταν ένα πακέτο εισέρχεται στη σήραγγα, έχει ήδη εγκαταλείψει το VLAN· η ετικέτα καταναλώθηκε από τον τοπικό μεταγωγέα.

Τα σχέδια βάσει πολιτικής και βάσει διαδρομών διαφέρουν στον τρόπο που επιλέγουν τη σήραγγα, όχι σε αυτό που μπορούν να μεταφέρουν. Ένας ομότιμος βάσει πολιτικής αντιστοιχίζει επιλογείς κίνησης και στέλνει τα αντίστοιχα πακέτα στη σήραγγα. Ένας ομότιμος βάσει διαδρομών δρομολογεί την κίνηση σε μια διεπαφή σήραγγας και αφήνει τον πίνακα δρομολόγησης να αποφασίσει. Και οι δύο εξακολουθούν να διαπραγματεύονται ένα εύρος προστασίας, οπότε μια διαδρομή που δείχνει στη σήραγγα δεν διευρύνει αυτό που οι ομότιμοι συμφώνησαν να προστατεύουν.

Αυτή η διάκριση εξηγεί μια συνηθισμένη μισή αποτυχία: η διαδρομή υπάρχει, τα πακέτα εισέρχονται στη σήραγγα και η απέναντι πλευρά τα απορρίπτει επειδή οι διαπραγματευμένοι επιλογείς δεν περιλάμβαναν ποτέ αυτό το πρόθεμα. Η ανάγνωση των εγκατεστημένων πολιτικών δείχνει ποιο εύρος τέθηκε πραγματικά σε ισχύ.

ip xfrm policy
ip route show
swanctl --list-sas

Η επικάλυψη που πραγματικά σπάει

Δύο γραφεία με διαφορετικά υποδίκτυα δρομολογούνται καθαρά μέσα από μια σήραγγα και οι αριθμοί VLAN τους είναι άσχετοι. Δύο γραφεία με το ίδιο υποδίκτυο όχι, επειδή ένα αίτημα για μια δεδομένη διεύθυνση έχει δύο πιθανές έννοιες και ο πίνακας δρομολόγησης μπορεί να επιλέξει μόνο μία. Η επαναρίθμηση μιας τοποθεσίας είναι η καθαρή λύση και συνήθως είναι φθηνότερη από τις εναλλακτικές όταν μετρηθούν οι αλλαγές DNS και τείχους προστασίας.

Όταν η επαναρίθμηση είναι αδύνατη, ένα σκόπιμο σχέδιο μετάφρασης μπορεί να παρουσιάσει διαφορετικές όψεις διευθύνσεων σε κάθε πλευρά. Αυτό σημαίνει αντιστοίχιση ένα προς ένα, αντίστοιχους επιλογείς, εγγραφές DNS που αντικατοπτρίζουν τη μεταφρασμένη όψη και δρομολόγηση επιστροφής που επιβιώνει της επανεγγραφής. Είναι ένα υποστηριζόμενο σχέδιο με πραγματικό λειτουργικό κόστος και δεν είναι αυτό που κάνει η αλλαγή ενός VLAN ID.

Τα ίδια νούμερα VLAN στα δύο άκρα είναι μερικές φορές σύμπτωση ενός κοινού προτύπου, και η αντιμετώπιση αυτής της σύμπτωσης ως αιτίας μιας λειτουργικής σήραγγας οδηγεί στη λάθος αλλαγή όταν κάτι σπάσει αργότερα.

Μία εργασία ανά επίπεδο, γραπτά

Ο τοπικός μεταγωγέας αποφασίζει ποιες θύρες μοιράζονται ένα πεδίο εκπομπής και η αρίθμηση VLAN του είναι τοπική λογιστική που καμία άλλη τοποθεσία δεν χρειάζεται να γνωρίζει. Η πύλη επαληθεύει τον ομότιμο και επιβάλλει το διαπραγματευμένο εύρος προστασίας. Ο πίνακας δρομολόγησης αποφασίζει πού πάει μετά ένα αποκρυπτογραφημένο πακέτο και η πολιτική πρόσβασης αποφασίζει αν αυτό το πακέτο έπρεπε να είχε επιτραπεί καθόλου.

Το να κρατάμε αυτές τις εργασίες χωριστές είναι αυτό που κάνει τις αλλαγές ασφαλείς. Μια επαναρίθμηση VLAN σε ένα γραφείο αγγίζει τον τοπικό μεταγωγέα, το εύρος DHCP και ίσως μια ζώνη τείχους προστασίας, και δεν αγγίζει τη σήραγγα. Μια αλλαγή προθέματος αγγίζει τους επιλογείς της σήραγγας, τις διαδρομές στις δύο πλευρές και την πολιτική πρόσβασης, και δεν αγγίζει τις ετικέτες του μεταγωγέα.

Οι διαδρομές επιστροφής, το ιδιωτικό DNS και οι απαιτήσεις ταυτότητας εφαρμογών είναι ξανά χωριστές εργασίες και καμία από αυτές δεν έρχεται αντιγράφοντας ένα νούμερο VLAN από την άλλη τοποθεσία. Ένα έγγραφο σχεδίου που απαριθμεί προσβάσιμα προθέματα και επιτρεπόμενες υπηρεσίες επιβιώνει από την ανανέωση ενός μεταγωγέα· ένα που απαριθμεί νούμερα VLAN δεν επιβιώνει.

Επιβεβαιώστε την τοπική εικόνα με τα εργαλεία γέφυρας πριν υποθέσετε ότι μια ετικέτα φτάνει στη σήραγγα.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Όταν η επέκταση layer-2 είναι η πραγματική απαίτηση

Κάποια σχέδια χρειάζονται πραγματικά συμπεριφορά Ethernet μεταξύ τοποθεσιών: μια παλαιότερη εφαρμογή που βασίζεται στην ανακάλυψη μέσω εκπομπής, μια μετεγκατάσταση που πρέπει να διατηρήσει μια διεύθυνση καθώς μετακινείται ένα μηχάνημα, ή ένα πρωτόκολλο που ενσωματώνει υποθέσεις layer-2. Αυτές οι περιπτώσεις απαιτούν ένα overlay ή μια υπηρεσία γέφυρας που μεταφέρει τα πλαίσια, και τότε η συμμετοχή σε VLAN, η αποτροπή βρόχων και η διαχείριση αστοχιών γίνονται ζητήματα από άκρη σε άκρη.

Αυτό είναι ένα πολύ μεγαλύτερο πεδίο αστοχιών και θα έπρεπε να είναι σκόπιμη επιλογή και όχι το τυχαίο αποτέλεσμα της προσπάθειας να δουλέψει ένας κοινόχρηστος φάκελος. Ένας συνηθισμένος διακομιστής αρχείων, βάση δεδομένων ή διαδικτυακή εφαρμογή χρειάζεται μια εξουσιοδοτημένη διαδρομή IP και θα είναι πιο ευτυχισμένος χωρίς ένα τεντωμένο πεδίο εκπομπής από κάτω.

Γράψτε το συμβόλαιο VPN ως προσβάσιμα προθέματα συν επιτρεπόμενες υπηρεσίες και καταγράψτε την ετικέτα VLAN μόνο εκεί όπου τη χρειάζονται οι τοπικές λειτουργίες. Κάθε γραφείο μπορεί τότε να επαναριθμήσει τη δική του μεταγωγή χωρίς να μετατρέπει κάθε αλλαγή σε επανασχεδιασμό της σήραγγας.