Kliendi VLAN-id või märgistatud trunk: valige õige OpenVPN režiim

Saabub kaks peaaegu sama sõnastusega taotlust: panna iga VPN-klient valitud VLAN-i või kanda olemasolev VLAN-trunk üle VPN-i. Need on erinevad tooted. OpenVPN-i sisseehitatud VLAN-teadlik režiim on esimese taotluse jaoks kommutaatorimudel ja see ei ole läbipaistva märgistuse transpordi sünonüüm. Vale valik annab lahenduse, mis näib seadistatud olevat ja jätab vaikselt kõrvale kaadrid, mis teile olulised olid.

Mida VLAN-teadlik režiim tegelikult ehitab

Kui vlan-tagging on lubatud ainult serveri TAP-paigalduses, modelleerib deemon oma TAP-seadet ja iga ühendatud klienti sisemise kommutaatori portidena. Kliendipordid on märgistamata ja nende VLAN-seos seatakse serveris iga kliendi vlan-pvid konteksti kaudu, mitte selle järgi, mida klient saadab. See ongi mudeli mõte: liikmelisus on serveripoolne otsus autenditud partneri kohta. Kliendiprofiilis ei pea miski teadma, millisesse VLAN-i see kuulub.

Serveri TAP-pool saab vlan-accept kaudu oma märgistatud või märgistamata vastuvõtupoliitika. Selle kommutaatori sees toimub edastamine ainult sobivate VID-ide vahel, ka siis, kui client-to-client on seatud, seega kaks erinevas VLAN-is olevat klienti ei saa serveri kaudu teineteiseni jõuda, kuigi mõlemad on sellega ühendatud.

See mudel on juurdepääsupordi mudel. Kliendist väljuvad kaadrid on märgistamata ja seose paneb peale server identiteedi põhjal. Paluda sülearvutil oma liiklust ise märgistada tähendab paluda teistsugust lahendust.

Määramised peavad järgima autenditud kliendi identiteeti, mitte väärtust, mida klient enda kohta pakub. Puuduv määramine ei ole ka karantiini olek: klient maandub vaikimisi PVID-le, seega puuduv ccd-kirje on vaikne poliitikaotsus, mitte neutraalne.

Mida läbipaistev trunk selle asemel nõuab

Juba märgistatud kaadrite otsast-otsani kandmine algab VLAN-teadliku töötlemise väljalülitamisest. Kommutaatorimudel ja märgistuse säilitamine on alternatiivid ning mõlema lubamine nõuab, et üks funktsioon teeks teise tööd.

Väljalülitamine on alles algus. Iga otspunkti sild ja füüsilised kommutaatoripordid peavad kokku leppima, millised VLAN-id on lubatud, milline märgistus on natiivne ja kuidas märgistamata kaadritega ümber käia. Piiramatu trunki laiendamine paljastab palju rohkem leviedastusdomeene kui need kaks, mida te ühendada tahtsite.

Kaadri suurus vajab oma eelarvet. Märgistatud Etherneti kaader pluss kapseldamine on suurem kui juhendist kopeeritud kasuliku koormuse arv ning marsruuditud tunnelile sobiv MTU ei ole tõestus, et trunk-tee töötab.

Kolm tingimust, mis vastuse otsustavad

Esiteks, kas kliendiplatvorm üldse toetab TAP-i? Android ja iOS ei toeta ning macOS-i tugi on piiratud, seega mobiilsete kasutajate hulk välistab mõlema TAP-lahenduse, ükskõik kuidas VLAN-e on paigutatud. Marsruuditud TUN-seanss kannab IP-pakette, mitte Etherneti kaadreid, ja ükski serveripoolne VLAN-konfiguratsioon ei muuda seda. Kontrollige kasutajate hulka enne topoloogia kavandamist, sest see tingimus on ainus, millest ei saa mööda minna. See on ka tingimus, mis avastatakse kõige sagedamini alles pärast kommutaatoritöö lõppu.

Teiseks, kes määrab VLAN-i? Kui vastus on «server, selle põhjal, kes end autentis», sobib kommutaatorimudel. Kui vastus on «olemasolev kommutaatoritaristu, juba olemasolevate märgistustega», vajate trunk-lahendust.

Kolmandaks, kui suur osa võrgust peaks olema kättesaadav? Kommutaatorimudel hoiab iga klienti konstruktsiooni järgi ühes VLAN-is. Trunk-lahendus on sild ning valesti seadistatud sild ühendab leviedastusdomeenid, mis pidid eraldi jääma.

Tehtud valiku testimine

Ühendage üks klient, kes peaks olema lubatud VLAN-is, ja üks, kes ei peaks, seejärel testige tegelikust otspunktist, mitte serverist endast. Serveripoolne kättesaadavus tõestab, et sild või kommutaator on olemas; see ei tõesta, millisesse VLAN-i klient maandus.

ip -d link show tap0
bridge vlan show

Serveris näitab teine käsk iga sillapordi VLAN-liikmelisust, sealhulgas seda, kas port on märgistatud. Võrrelge seda kavandatud määramisega enne, kui hakkate midagi teisest kihist kõrgemal siluma.

Pange kirja, millist kahest lahendusest paigaldus kasutab. Märge «VLAN-teadlik» on mitmetähenduslik ja järgmine insener eeldab seda, mille ta esimesena õppis. OpenVPN-i VLAN-viidemääratleb kommutaatori käitumise ja iga kliendi konteksti ning see on lühim tee kinnitamaks, millist mudelit te käitate.