Kas kahel saidil peavad olema samad VLAN ID-d saidi VPN-i jaoks?

Samad VLAN-numbrid kahes kontoris tunduvad, nagu peaksid aitama saidi ja saidi vahelist tunnelit, ja need ei muuda midagi sellest, mida tunnel kannab. VLAN ID märgistab Etherneti leviedastusdomeeni ühe hoone sees; tunnel edastab IP-pakette lüüside vahel. Kaks saiti võivad kasutada täiesti erinevat VLAN-numereerimist ja siiski teineteise poole marsruutida, ning kaks saiti võivad kasutada sama VLAN-numereerimist ja siiski teineteiseni mitte jõuda. Muutuja, mis otsustab kättesaadavuse, on adressiplaan.

Müüt: samad VLAN ID-d mõlemas otsas

Usk tuleb mõistlikust kohast. Ühe hoone sees saavad kaks sama VLAN-i porti omavahel rääkida ja kaks erineva VLAN-i porti ei saa, seega VLAN-number näib olevat see, mis annab ühenduvuse. Marsruuditud tunneli taga ei ole jagatud Etherneti segmenti, mida silt kirjeldaks, ja lüüsid ei vaheta kunagi VLAN-silte.

Tunnel vajab paari mitte kattuvat aadressivahemikku ja poliitikat, mis lubab nende vahelist liiklust. Muutke VLAN-i ükskõik millises kontoris ja tunnel töötab edasi, sest miski tunneli konfiguratsioonis ei viidanud sellele. See on test, mis vaidluse lahendab: numereerige VLAN ümber, jätke aadressid puutumata ja jälgige, kas tunnel püsib.

Vastupidine test on sama informatiivne. Andke mõlemale kontorile sama alamvõrk ja ükski hulk kattuvaid VLAN-numbreid ei tee aadressi ühemõtteliseks.

Mida tunnel tegelikult kannab

IPsec kaitseb IP-pakette poliitika järgi, mis on väljendatud aadressides, protokollides ja portides. IPsec-arhitektuur kirjeldab neid selektoreid IP-kihis, mis on mitme kihi võrra kõrgemal kõigest, mida kommutaatori silt kirjeldab. Kui pakett tunnelisse siseneb, on see VLAN-ist juba lahkunud; sildi on kohalik kommutaator ära kasutanud.

Poliitikapõhised ja marsruudipõhised lahendused erinevad selle poolest, kuidas nad tunnelit valivad, mitte selle poolest, mida nad kanda suudavad. Poliitikapõhine partner sobitab liiklusselektoreid ja saadab sobivad paketid tunnelisse. Marsruudipõhine partner marsruudib liiklust tunneliliidesel ja jätab otsuse marsruutimistabelile. Mõlemad peavad endiselt läbirääkimisi kaitseulatuse üle, seega tunnelile osutav marsruut ei laienda seda, mille kaitseks partnerid kokku leppisid.

See erinevus selgitab sagedast poolikust ebaõnnestumist: marsruut on olemas, paketid sisenevad tunnelisse ja kaugem pool viskab need kõrvale, sest läbiräägitud selektorid ei hõlmanud kunagi seda prefiksit. Paigaldatud poliitikate lugemine näitab, milline ulatus tegelikult jõustus.

ip xfrm policy
ip route show
swanctl --list-sas

Kattuvus, mis tegelikult lõhub

Kaks erinevate alamvõrkudega kontorit marsruudivad tunnelist puhtalt läbi ja nende VLAN-numbrid on tähtsusetud. Kaks sama alamvõrguga kontorit mitte, sest antud aadressi päringul on kaks võimalikku tähendust ja marsruutimistabel saab valida ainult ühe. Ühe saidi ümbernumereerimine on puhas lahendus ja tavaliselt odavam kui alternatiivid, kui DNS-i ja tulemüüri muudatused kokku lugeda.

Kui ümbernumereerimine on võimatu, saab teadlik tõlkelahendus esitada kummalelegi poolele erinevad aadressivaated. See tähendab üks-ühele vastendamist, sobivaid selektoreid, tõlgitud vaadet peegeldavaid DNS-kirjeid ja tagasitulevat marsruutimist, mis kirjutamise üle elab. See on toetatud lahendus tõelise halduskuluga ja see ei ole see, mida VLAN ID muutmine teeb.

Samad VLAN-numbrid mõlemas otsas on mõnikord ühise malliga kaasnev juhus ja selle juhuse pidamine töötava tunneli põhjuseks viib vale muudatuseni, kui midagi hiljem katki läheb.

Üks ülesanne kihi kohta, kirja pandud

Kohalik kommutaator otsustab, millised pordid jagavad leviedastusdomeeni, ja selle VLAN-numereerimine on kohalik arvestus, mida ükski teine sait ei pea teadma. Lüüs autentib partneri ja rakendab läbiräägitud kaitseulatust. Marsruutimistabel otsustab, kuhu dekrüpteeritud pakett järgmisena läheb, ja juurdepääsupoliitika otsustab, kas see pakett oleks üldse pidanud lubatud olema.

Nende ülesannete lahus hoidmine on see, mis teeb muudatused turvaliseks. VLAN-i ümbernumereerimine ühes kontoris puudutab kohalikku kommutaatorit, DHCP-vahemikku ja võib-olla tulemüüri tsooni, ning see ei puuduta tunnelit. Prefiksi muutmine puudutab tunneli selektoreid, mõlema poole marsruute ja juurdepääsupoliitikat, ning see ei puuduta kommutaatori silte.

Tagasiteed, privaatne DNS ja rakenduse identiteedi nõuded on jällegi eraldi ülesanded ja ükski neist ei tule VLAN-numbri kopeerimisega teiselt saidilt. Projekteerimisdokument, mis loetleb kättesaadavad prefiksid ja lubatud teenused, elab kommutaatori vahetuse üle; see, mis loetleb VLAN-numbreid, ei ela.

Kinnitage kohalik pilt bridge-tööriistadega, enne kui eeldate, et silt tunnelini jõuab.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Kui layer-2 laiendus on tegelik nõue

Mõned lahendused vajavad tõesti Etherneti käitumist saitide vahel: pärandrakendus, mis toetub leviedastuse avastamisele, migratsioon, mis peab masina liikumise ajal aadressi säilitama, või protokoll, mis sisaldab layer-2 eeldusi. Sellised juhtumid nõuavad ülekattet või sillatud teenust, mis kaadreid kannab, ja siis muutuvad VLAN-liikmelisus, silmuste vältimine ja rikete käsitlemine otsast-otsani küsimusteks.

See on palju suurem rikkedomeen ja see peaks olema teadlik valik, mitte failijagamise tööle saamise katse juhuslik tulemus. Tavaline failiserver, andmebaas või veebirakendus vajab volitatud IP-teed ja on õnnelikum ilma selle all välja venitatud leviedastusdomeenita.

Kirjutage VPN-leping kättesaadavate prefiksite ja lubatud teenustena ning registreerige VLAN-silt ainult seal, kus kohalikud toimingud seda vajavad. Siis saab iga kontor oma kommuteerimise ümber numereerida, muutmata iga muudatust tunneli ümberkujunduseks.