Behar al dute bi gunek VLAN ID berak gune VPN baterako?

Bi bulegotan VLAN zenbaki berdinak egoteak gune arteko tunel bati lagundu beharko liokeela dirudi, eta ez du ezer aldatzen tunelek garraiatzen duenari dagokionez. VLAN ID batek eraikin baten barruko Ethernet difusio domeinu bat markatzen du; tunelek IP paketeak birbidaltzen ditu atebideen artean. Bi gunek erabat desberdina den VLAN zenbakeria erabil dezakete eta elkarri bideratu, eta bi gunek VLAN zenbakeria bera erabil dezakete eta elkar iritsi ez. Irisgarritasuna erabakitzen duen aldagaia helbide plana da.

Mitoa: VLAN ID berdinak bi muturretan

Sinesmena leku zentzuzkotik dator. Eraikin baten barruan, VLAN bereko bi portuk hitz egin dezakete eta VLAN desberdinetako bi portuk ezin, beraz VLAN zenbakia konektibitatea ematen duen gauza balitz bezala agertzen da. Tunel bideratu baten zehar ez dago etiketak deskriba dezakeen Ethernet segmentu partekaturik, eta atebideek ez dituzte inoiz VLAN etiketak trukatzen.

Tunelek behar duena elkar gaineratzen ez diren bi helbide eremu eta haien arteko trafikoari baimena ematen dion politika bat da. Aldatu VLANa edozein bulegotan eta tunelek funtzionatzen jarraitzen du, tuneleko konfigurazioan ezerk hari erreferentziarik egiten ez ziolako. Hori da eztabaida erabakitzen duen proba: zenbakitu berriro VLAN bat, utzi helbideak ukitu gabe eta ikusi tunelek eusten duen.

Alderantzizko proba berdina da informatiboa. Eman bi bulegoei azpisare bera eta ez du VLAN zenbaki berdinen kopuruak helbide bat anbiguoa izateari utziko.

Zer garraiatzen duen tunelek benetan

IPsec-ek IP paketeak babesten ditu helbide, protokolo eta portuetan adierazitako politika baten arabera. IPsec arkitektura hautatzaile horiek IP geruzan deskribatzen ditu, kommutagailu baten etiketak deskribatzen duen guztiaren gainetik hainbat geruza gorago. Pakete bat tunelean sartzen denean dagoeneko VLANa utzi du; etiketa tokiko kommutagailuak kontsumitu du.

Politikan oinarritutako eta bideetan oinarritutako diseinuek tunea nola aukeratzen duten bereizten dute, ez zer garraia dezaketen. Politikan oinarritutako pare batek trafiko hautatzaileak parekatzen ditu eta bat datozen paketeak tunelean bidaltzen ditu. Bideetan oinarritutako pare batek trafikoa tuneleko interfazean bideratzen du eta bideratze taulari uzten dio erabakitzen. Biek oraindik babes-esparru bat negoziatzen dute, beraz tunelean seinalatzen duen bide batek ez du zabaltzen pareek babesteko adostu dutena.

Bereizketa horrek ohiko erdi-hutsegite bat azaltzen du: bidea existitzen da, paketeak tunelean sartzen dira eta urruneko aldeak baztertu egiten ditu, negoziatutako hautatzaileek aurrizki hori inoiz barne hartu ez zutelako. Instalatutako politikak irakurtzeak erakusten du zein esparru sartu zen benetan indarrean.

ip xfrm policy
ip route show
swanctl --list-sas

Benetan hausten duen gainjartzea

Azpisare desberdineko bi bulegok tuneletik garbi bideratzen dute, eta haien VLAN zenbakiek ez dute garrantzirik. Azpisare bereko bi bulegok ez, helbide jakin baten eskaerak bi esanahi posible dituelako eta bideratze taulak bat baino ezin duelako aukeratu. Gune bat berriz zenbakitzea konponbide garbia da, eta normalean alternatibak baino merkeagoa da DNS eta suhormaren aldaketak zenbatuta.

Berriz zenbakitzea ezinezkoa denean, itzulpen diseinu deliberatu batek helbide ikuspegi desberdinak aurkez ditzake alde bakoitzari. Horrek bat-bateko mapatzea, hautatzaile parekatuak, itzulitako ikuspegia islatzen duten DNS sarrerak eta berridazketari eusten dion itzulera bideratzea esan nahi du. Eragiketa kostu erreala duen diseinu onartua da, eta ez da VLAN ID bat aldatzeak egiten duena.

Bi muturretan VLAN zenbaki berdinak batzuetan txantiloi partekatu baten kasualitatea dira, eta kasualitate hori tunel funtzionagarri baten kausa balitz bezala tratatzeak aldaketa okerra eragiten du geroago zerbait apurtzen denean.

Geruza bakoitzeko zeregin bat, idatzita

Tokiko kommutagailuak erabakitzen du zein portuk partekatzen duten difusio domeinu bat, eta haren VLAN zenbakeria tokiko kontabilitatea da, beste inongo gunek jakin behar ez duena. Atebideak parekidea autentifikatzen du eta negoziatutako babes-esparrua betearazten du. Bideratze taulak erabakitzen du deskifratutako paketea nora doan hurrena, eta sarbide politikak erabakitzen du pakete hori baimendu behar zen ala ez.

Zeregin horiek bereizita edukitzeak egiten ditu aldaketak seguru. Bulego bateko VLAN berriz zenbakitzeak tokiko kommutagailua, DHCP esparrua eta agian suhorma zona bat ukitzen ditu, eta ez du tunela ukitzen. Aurrizki aldaketa batek tuneleko hautatzaileak, bi aldeetako bideak eta sarbide politika ukitzen ditu, eta ez ditu kommutagailuaren etiketak ukitzen.

Itzulera bideak, DNS pribatua eta aplikazioaren identitate baldintzak berriz ere zeregin bereiziak dira eta horietako batek ere ez du beste guneko VLAN zenbaki bat kopiatuz iristen. Irits daitezkeen aurrizkiak eta baimendutako zerbitzuak zerrendatzen dituen diseinu dokumentu batek kommutagailu berritze bat gainditzen du; VLAN zenbakiak zerrendatzen dituenak ez.

Egiaztatu tokiko irudia bridge tresnekin etiketa batek tunelera iristen duela suposatu aurretik.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

layer-2 hedapena benetako baldintza denean

Diseinu batzuek benetan behar dute Ethernet portaera gunen artean: difusio bidezko aurkikuntzan oinarritzen den aplikazio zaharkitu bat, makina bat mugitzen den bitartean helbide bat mantendu behar duen migrazio bat, edo layer-2 suposizioak txertatzen dituen protokolo bat. Kasu horiek markoak garraiatzen dituen overlay edo zubizko zerbitzu bat eskatzen dute, eta orduan VLAN kidetza, begizten prebentzioa eta hutsegiteen tratamendua muturretik muturrerako gai bihurtzen dira.

Hutsegite domeinu askoz handiagoa da, eta hautapen deliberatua izan behar luke partekatutako fitxategi bat martxan jartzeko saiakeraren emaitza ustekabea izan beharrean. Fitxategi zerbitzari, datu base edo web aplikazio arrunt batek baimendutako IP bide bat behar du, eta zoriontsuago izango da azpian luzatutako difusio domeinurik gabe.

Idatzi VPN kontratua irits daitezkeen aurrizki eta baimendutako zerbitzu gisa, eta erregistratu VLAN etiketa tokiko eragiketek behar duten tokian soilik. Orduan bulego bakoitzak bere kommutazioa berriz zenbaki dezake, aldaketa bakoitza tunelaren birformulazio bihurtu gabe.