VLAN bakarrerako TAP zubia: konektatu azpiko interfazea

VLANak baino lehen LANera iristen zen eta gero gelditu zen TAP bezeroak okerreko interfazea oraindik duen zubi bat izaten du. Markoen birbidalketak ez du VLAN etiketarik gehitzen, beraz uplink fisikora bidalitako bezero marko etiketatu gabea etiketarik gabe iristen da trunk ataka batera eta edo baztertu egiten da, edo native VLANean amaitzen du. Azpiko interfazea hostean nonbait egoteak ez du ezer aldatzen zubiaren kide zerrendan. Hori da lehenengo hil beharreko mitoa: etiketa duen interfazeak aplikatzen du, ez hostak, besterik gabe bat duelako.

VLAN hedapen batek layer-2 domeinu bat esan nahi du, eta zubiak domeinu horri atxiki behar dio, denak daramatzan trunkari beharrean.

Etiketa ez da agertzen trunkari zubia egin diozulako

Hartu VLAN 120 switch kudeatu batera eramaten duen Linux uplink bat eno1. VLAN bakarrerako funtzionatzen duen diseinua tap_vpn da, br_vpn-ra zubitua, br_vpn-k eno1 ordez eno1.120 daukalarik. VLAN azpiko interfazeak irteeran aplikatzen du etiketa eta sarreran kentzen du, beraz zubiak VLAN horretarako etiketarik gabeko markoak soilik ikusten ditu. Jarri interfaze fisikoa zubian horren ordez, eta marko berberak etiketarik gabe irtengo dira trunk ataka batean, eta hori ez da planifikatu zenuena.

Trunkari zubia egitea VLAN iragazketa itzalita edukita ez da emaitza bererako bide laburra. Kable horretako VLAN guztiak ematen dizkio zubiari, bezeroek ikusi behar ez dituztenak barne.

Bi diseinu legitimu, etiketaren jabe bakarra

VLANez jabetzen den zubia da beste antolamendu baliozkoa: trunkak zubiaren ataka batean sartzen da, eta atakako kidetzak, PVIDek eta irteera etiketatuaren ezarpenek erabakitzen dute zein VLAN pasatzen diren. Han zubia da etiketatzearen jabe, eta haren azpian VLAN azpiko interfazea gehitzeak bigarren jabe bat instalatuko luke lan bakarrerako. Bi diseinuek funtzionatzen dute; bien zatiek ez. Erabaki zein objektuk aplikatzen duen etiketa kide zerrenda edozein editatu aurretik.

Switcharen atakak zuk aukeratutako diseinuarekin bat etorri behar du. VLANa etiketarik gabe daraman sarbide ataka interfaze fisikoarekin bikotetzen da lotura gisa, eta trunk ataka, berriz, azpiko interfaze etiketatuarekin. Ataka okerreko sarbide ataka batera gehitzeak ez du ezer konpontzen.

Mugitu helbidea kidetzarekin batera

Azpiko interfazearen diseinuan, zubitutako azpisarearen hostaren helbidea br_vpn-ri dagokio, eta ez lehenago egon zitekeen VLAN ataka esklaboari. Atakan uzteak funtzionatzen duela eman dezake eta gero arraro jokatu, zubiak layer 2-n birbidaltzen baitu eta helbidea kide baten gainean esertzen baita. Mugitu kidetza aldaketaren parte gisa, eta ez esperimentu bereizi gisa.

Helbide bat mugitzeak administrazio bidea moz dezake. Ezarri berreskuratze bide independente bat, gorde uneko konfigurazioa distribuzioaren sare kudeatzaile propioaren bidez, eta saihestu hurrengo eguneraketaren ondoren harekin borrokatuko duen abiarazte script lehiakor bat.

Bezeroen helbideratzeak arreta bera behar du. Zubitutako VPN batek bezeroak azpisare hedaturen barruan jartzen ditu, beraz pool batek ez du beste errentamendu edo esleipen estatikoekin gainjarri behar, eta DHCP bidezko antolamendua LANak benetan espero duena izan behar da. Funtzionatzen duen layer-2 bideak ez du ezer esaten helbide bikoiztuei buruz.

Egiaztatu kidetza bideak erruduntzatu aurretik

Irakurri uneko egoera, eta ez nahi duzuna: ip -d link show dev eno1.120-k VLAN id-a eta haren gurasoa inprimatzen ditu, ip link show master br_vpn-k zubiaren kideak zerrendatzen ditu, eta bridge vlan show-k atakako kidetza eta irteerako tratamendua ematen ditu. Azpiko interfazearen diseinuan, egiaztatu TAP gailua eta VLAN gailua direla kideak. VLANez jabetzen den zubian, begiratu atakaren politika bera, zubi bat existitzeak ez baitu frogatzen zer baimentzen duen.

Ondoren probatu baimendutako bezero bat VLAN horretako zerbitzu baten aurka, gogoratuz ARP, suebakiaren politika eta erantzun bidea kidetzatik bereizitako kontuak direla. Paketeak harrapatzen badituzu, kontuan hartu hardware offloadak alda dezakeela VLAN etiketak arrasto batean non agertzen diren. Eutsi ere esparruari zintzo: bideratutako TUN bezero bat ez da VLAN kide egiten zubi aldaketak direla medio, eta bezero-bezero trafikoak ez du ordezkatzen hostaren VLAN lotura.