TAP-sild ühe VLANi jaoks: ühenda alamliides

TAP-klient, mis jõudis LAN-i enne VLAN-e ja pärast lakkas, omab tavaliselt silda, mis sisaldab endiselt vale liidest. Kaadrite edastamine ei lisa VLAN-märgist, seega füüsilisele uplinkile saadetud märgistamata kliendikaader saabub trunk-porti märgistamata ja kas visatakse ära või maandub native VLAN-i. See, et alamliides kuskil hostis olemas on, ei muuda silla liikmete nimekirjas midagi. Just selle müüdi peab esimesena tapma: märgise paneb peale liides, mis seda omab, mitte host ainult seetõttu, et tal üks on.

Üks VLAN-i laiendus tähendab üht layer-2 domeeni ja sild peab liituma selle domeeniga, mitte trunk'iga, mis kannab neid kõiki.

Märgis ei ilmu, sest sa sillutasid trunk'i

Võta Linuxi uplink eno1, mis kannab VLAN 120 hallatavasse kommutaatorisse. Disain, mis töötab ühe VLAN-i jaoks, on tap_vpn, sillutatud br_vpn-le, kus br_vpn sisaldab eno1.120, mitte eno1. VLAN-i alamliides paneb märgise peale väljumisel ja eemaldab selle sisenemisel, seega sild näeb ainult märgistamata kaadreid selle ühe VLAN-i jaoks. Pane selle asemel füüsiline liides silda ja samad kaadrid lahkuvad trunk-porti märgistamata, mis pole see, mida sa planeerisid.

Trunk'i sillutamine VLAN-filtreerimisega välja lülitatud ei ole lühem tee sama tulemuseni. See annab sillale iga VLAN-i sellel kaablil, sealhulgas need, mida kliendid ei peaks nägema.

Kaks legitiimset disaini, üks märgise omanik

VLAN-teadlik sild on teine kehtiv lahendus: trunk siseneb silla porti ning portide liikmelisus, PVID ja märgistatud väljundi seaded otsustavad, millised VLAN-id läbi lähevad. Seal omab sild märgistamist ja VLAN-i alamliidese lisamine selle alla looks ühe töö jaoks teise omaniku. Mõlemad disainid töötavad; mõlema killud mitte. Otsusta, milline objekt märgise peale paneb, enne kui muudad ükskõik millist liikmete nimekirja.

Kommutaatori port peab vastama valitud disainile. VLAN-i märgistamata kandev access-port sobib füüsilise liidesega ühenduskohana, samas kui trunk-port sobib märgistatud alamliidesega. Alamliidese lisamine sobimatule access-portile ei paranda midagi.

Liiguta aadress koos liikmelisusega

Alamliidese disainis kuulub hosti aadress sillutatud alamvõrgu jaoks br_vpn-le, mitte orjastatud VLAN-porti, kus see varem olla võis. Porti jätmine võib tunduda töötavat ja siis käituda veidralt, sest sild edastab layer 2-l, samal ajal kui aadress istub liikmel. Liiguta seda liikmelisuse muudatuse osana, mitte eraldi katsetusena.

Aadressi liigutamine võib haldustee ära lõigata. Loo sõltumatu taastamistee, salvesta olemasolev konfiguratsioon distributsiooni enda võrguhalduri kaudu ja väldi konkureerivat käivituskripti, mis hakkab sellega pärast järgmist uuendust võitlema.

Kliendiaadresside haldamine nõuab sama hoolt. Sillutatud VPN paigutab kliendid laiendatud alamvõrku, seega ei tohi vahemik kattuda teiste liisingute ega staatiliste määramistega ning DHCP-ga teenindatav lahendus peab olema see, mida LAN tegelikult ootab. Töötav layer-2 tee ei ütle duplikaataadresside kohta midagi.

Kontrolli liikmelisust, enne kui marsruute süüdistad

Loe praegust, mitte kavatsetud olekut: ip -d link show dev eno1.120 prindib VLAN-i id ja selle vanema, ip link show master br_vpn loetleb silla liikmed ning bridge vlan show näitab portide liikmelisust ja väljundi käsitlust. Alamliidese disainis kontrolli, et TAP-seade ja VLAN-seade on liikmed. VLAN-teadlikus sillas vaata portide poliitikat ennast, sest olemasolev sild ei tõesta, mida see lubab.

Seejärel testi üht lubatud klienti selle VLAN-i teenuse vastu, pidades meeles, et ARP, tulemüüri poliitika ja vastusetee on liikmelisusest eraldi teemad. Kui pakette püüad, arvesta, et riistvara offload võib muuta, kus VLAN-märgised jäljes ilmuvad. Hoia ka ulatus aus: marsruuditud TUN-klient ei saa ühegi silla muudatusega VLAN-i liikmeks ja klient-kliendi liiklus ei asenda hosti ühendust VLAN-iga.