Bezeroen VLANak edo trunk etiketatua: aukeratu OpenVPN modu egokia

Ia berdin formulatutako bi eskaera iristen dira: jarri VPN bezero bakoitza aukeratutako VLAN batean, edo eraman lehendik dagoen VLAN trunk bat VPNaren bidez. Produktu desberdinak dira. OpenVPNren VLANaz jabetzen den modu integratua lehen eskaerarako kommutadore-eredua da, eta ez da etiketen garraio gardenaren sinonimo. Okerra aukeratzeak konfiguratuta dirudien diseinua sortzen du, baina isilka baztertzen ditu axola zitzaizkizun markoak.

Zer eraikitzen du benetan VLANaz jabetzen den moduak

Zerbitzariarentzako TAP inplementazio batean vlan-tagging gaituta dagoela, daemonak bere TAP gailua eta konektatutako bezero bakoitza barne-kommutadore baten portu gisa modelatzen ditu. Bezeroen portuak etiketatu gabe daude, eta haien VLAN elkartzea zerbitzarian ezartzen da bezero bakoitzeko vlan-pvid testuinguruaren bidez, ez bezeroak bidaltzen duen ezeren bidez. Ereduaren funtsa horixe da: kidetza zerbitzariaren aldeko erabakia da, pare autentifikatu bati buruzkoa. Bezeroaren profilean ez du ezerk jakin behar zein VLANi dagokion.

Zerbitzariaren TAP aldeak bere onarpen-politika etiketatua edo etiketatu gabea lortzen du vlan-accept bidez. Kommutadore horren barruan birbidalketa bat datozen VIDen artean baino ez da gertatzen, client-to-client ezarrita dagoenean ere, beraz VLAN desberdinetako bi bezero ezin dira elkarrengana iritsi zerbitzariaren bidez, biak hari konektatuta egon arren.

Eredu hori sarbide-portuko eredua da. Bezero batetik irteten diren markoak etiketatu gabe daude, eta elkartzea zerbitzariak inposatzen du identitatean oinarrituta. Mahaigainari bere trafikoa berak etiketatzeko eskatzea beste diseinu bat eskatzea da.

Esleipenek bezeroaren identitate autentifikatua jarraitu behar dute, bezeroak bere buruari buruz eskaintzen duen balioak ez. Esleipen bat ezabatzeak ez du berrogeialdi-egoera adierazten: bezeroa lehenetsitako PVIDn geratzen da, beraz ccd sarrera bat falta izatea isileko politika-erabakia da, ez neutroa.

Zer eskatzen duen trunk gardenak, horren ordez

Dagoeneko etiketatutako markoak muturretik muturrera eramatea VLANaz jabetzen den prozesamendua desaktibatuz hasten da. Kommutadore-eredua eta etiketen zaintza alternatibak dira, eta biak gaitzeak ezaugarri bati bestearen lana egitea eskatzen dio.

Desaktibatzea hasiera baino ez da. Muturreko zubiak eta kommutadorearen portu fisikoek adostu behar dute zein VLAN onartzen diren, zein etiketa den natiboa eta nola tratatzen diren etiketatu gabeko markoak. Mugarik gabeko trunk bat luzatzeak nahi zenituen biak baino askoz broadcast-domeinu gehiago uzten ditu agerian.

Markoaren tamainak bere aurrekontua behar du. Etiketatutako Ethernet marko bat gehi kapsulatzea gidak kopiatzen duen karga erabilgarriaren zenbakia baino handiagoa da, eta bideratutako tunel baterako ona zen MTU ez da trunk bide bat funtzionatzen duen froga.

Erantzuna erabakitzen duten hiru baldintza

Lehenik, onartzen al du bezeroaren plataformak TAP? Android eta iOSek ez, eta macOSen laguntza mugatua da, beraz mugikor erabiltzaileen parke batek TAP diseinu biak baztertzen ditu, VLANak nola antolatu ez duela axola. Bideratutako TUN saio batek IP paketeak eramaten ditu, ez Ethernet markoak, eta zerbitzariko VLAN konfigurazioak ez du hori aldatzen. Egiaztatu parkea topologia diseinatu aurretik, baldintza hau saihestu ezin dena baita. Kommutadorearen lana amaitu ondoren aurkitzen den baldintza ere bada, sarrien.

Bigarrenik, nork esleitzen du VLANa? Erantzuna «zerbitzariak, nor autentifikatu den oinarritzat» bada, kommutadore-eredua egokia da. Erantzuna «lehendik dagoen kommutadore-azpiegiturak, jada dauden etiketekin» bada, trunk diseinua behar duzu.

Hirugarrenik, sarearen zenbat zati izan behar den irisgarri? Kommutadore-ereduak bezero bakoitza VLAN bakarrean mantentzen du eraikuntzaz. Trunk diseinua zubi bat da, eta gaizki konfiguratutako zubi batek bereizita egon behar zuten broadcast-domeinuak batzen ditu.

Egindako aukera probatzea

Konektatu baimendutako VLANean egon behar duen bezero bat eta egon behar ez duen beste bat, eta gero probatu benetako muturretik, ez zerbitzaritik bertatik. Zerbitzariaren aldeko irisgarritasunak zubia edo kommutadorea badagoela frogatzen du; ez du frogatzen bezeroa zein VLANetan geratu den.

ip -d link show tap0
bridge vlan show

Zerbitzarian, bigarren komandoak zubi-portu bakoitzaren VLAN kidetza erakusten du, portua etiketatuta dagoen ala ez barne. Alderatu hori asmo zuen esleipenarekin, bigarren geruzatik gora ezer araztu aurretik.

Idatzi inplementazioak bi diseinuetatik zein erabiltzen duen. «VLANaz jabetzen» dioen oharra anbiguoa da, eta hurrengo ingeniariak lehenengo ikasi zuena suposatuko du. OpenVPNren VLAN erreferentziakommutadorearen portaera eta bezero bakoitzeko testuingurua definitzen ditu, eta exekutatzen ari zaren eredua baieztatzeko biderik laburrena da.