Asiakas-VLANit vai tagattu trunk: valitse oikea OpenVPN-tila

Kaksi pyyntöä saapuu lähes samalla sanamuodolla: laita jokainen VPN-asiakas valittuun VLANiin tai kuljeta olemassa oleva VLAN-trunk VPN:n yli. Ne ovat eri tuotteita. OpenVPN:n sisäänrakennettu VLAN-tietoinen tila on kytkinmalli ensimmäiseen pyyntöön, eikä se ole läpinäkyvän taginsiirron synonyymi. Väärä valinta tuottaa suunnitelman, joka näyttää konfiguroidulta ja pudottaa hiljaa ne kehykset, joista välitit.

Mitä VLAN-tietoinen tila todella rakentaa

Kun vlan-tagging on käytössä vain palvelimelle tarkoitetussa TAP-asennuksessa, taustapalvelu mallintaa TAP-laitteensa ja jokaisen liitetyn asiakkaan sisäisen kytkimen porteiksi. Asiakasportit ovat tagittomia, ja niiden VLAN-yhteys asetetaan palvelimella asiakaskohtaisen vlan-pvid-kontekstin kautta, ei sen perusteella, mitä asiakas lähettää. Siinä on koko mallin idea: jäsenyys on palvelinpuolen päätös todennetusta vastapuolesta. Asiakasprofiilissa minkään ei tarvitse tietää, mihin VLANiin se kuuluu.

Palvelimen TAP-puoli saa oman tagattujen tai tagittomien kehysten hyväksyntäkäytäntönsä vlan-accept-asetuksella. Kyseisen kytkimen sisällä edelleenlähetys tapahtuu vain samojen VIDien välillä, myös kun client-to-client on asetettu, joten kaksi eri VLANissa olevaa asiakasta ei voi tavoittaa toisiaan palvelimen kautta, vaikka molemmat ovat siihen liitettyinä.

Tämä malli on liitäntäporttimalli. Asiakkaasta lähtevät kehykset ovat tagittomia, ja yhteyden asettaa palvelin identiteetin perusteella. Pyytää kannettavaa tagittamaan oma liikenteensä tarkoittaa toisenlaista suunnitelmaa.

Määritysten on seurattava todennettua asiakasidentiteettiä, ei arvoa, jonka asiakas tarjoaa itsestään. Puuttuva määritys ei ole myöskään karanteenitila: asiakas päätyy oletusarvoiseen PVIDiin, joten puuttuva ccd-merkintä on hiljainen käytäntöpäätös eikä neutraali.

Mitä läpinäkyvä trunk sen sijaan vaatii

Jo tagattujen kehysten kuljettaminen päästä päähän alkaa VLAN-tietoisen käsittelyn poiskytkemisestä. Kytkinmalli ja tagien säilyttäminen ovat vaihtoehtoja, ja molempien käyttöönotto pyytää yhtä ominaisuutta tekemään toisen työn.

Poiskytkentä on vasta alku. Jokaisen päätepisteen silta ja fyysiset kytkinportit on saatava yksimielisiksi siitä, mitkä VLANit ovat sallittuja, mikä tagi on natiivi ja miten tagittomia kehyksiä kohdellaan. Rajoittamattoman trunkin laajentaminen paljastaa paljon useampia lähetysalueita kuin ne kaksi, jotka halusit yhdistää.

Kehyksen koko tarvitsee oman budjetin. Tagattu Ethernet-kehys plus kapselointi on suurempi kuin ohjeesta kopioitu hyötykuorman luku, eikä reititettyyn tunneliin sopinut MTU todista, että trunk-polku toimii.

Kolme ehtoa, jotka ratkaisevat vastauksen

Ensinnäkin, tukee asiakasalusta ylipäätään TAPia? Android ja iOS eivät tue, ja macOSin tuki on rajallinen, joten mobiilikäyttäjien kalusto sulkee pois kumman tahansa TAP-suunnitelman riippumatta siitä, miten VLANit on järjestetty. Reititetty TUN-istunto kuljettaa IP-paketteja, ei Ethernet-kehyksiä, eikä mikään palvelinpuolen VLAN-konfiguraatio muuta sitä. Tarkista kalusto ennen topologian suunnittelua, koska tätä ehtoa ei voi kiertää. Se on myös ehto, joka havaitaan useimmin vasta kytkintyön valmistuttua.

Toiseksi, kuka määrittää VLANin? Jos vastaus on «palvelin sen perusteella, kuka todennettiin», kytkinmalli sopii. Jos vastaus on «olemassa oleva kytkininfrastruktuuri, jo olemassa olevin tagein», tarvitset trunk-suunnitelman.

Kolmanneksi, kuinka suuren osan verkosta pitäisi olla tavoitettavissa? Kytkinmalli pitää jokaisen asiakkaan rakenteellisesti yhdessä VLANissa. Trunk-suunnitelma on silta, ja väärin konfiguroitu silta yhdistää lähetysalueet, joiden piti pysyä erillään.

Tehdyn valinnan testaaminen

Liitä yksi asiakas, jonka pitäisi olla sallitussa VLANissa, ja yksi, jonka ei pitäisi, ja testaa sitten todellisesta päätepisteestä eikä palvelimesta itsestään. Palvelinpuolen tavoitettavuus todistaa, että silta tai kytkin on olemassa; se ei todista, mihin VLANiin asiakas päätyi.

ip -d link show tap0
bridge vlan show

Palvelimella toinen komento näyttää jokaisen siltaportin VLAN-jäsenyyden, mukaan lukien sen, onko portti tagattu. Vertaa sitä aiottuun määritykseen ennen kuin alat selvittää mitään toista kerrosta ylempää.

Kirjaa, kumpaa kahdesta suunnitelmasta asennus käyttää. Merkintä «VLAN-tietoinen» on monitulkintainen, ja seuraava insinööri olettaa sen, minkä oppi ensin. OpenVPN:n VLAN-viitemäärittelee kytkimen toiminnan ja asiakaskohtaisen kontekstin, ja se on lyhin tie vahvistaa, mitä mallia ajat.