TAP-silta yhdelle VLANille: liitä alikäyttöliittymä

TAP-asiakas, joka pääsi LANiin ennen VLANeja ja lakkasi sen jälkeen, omistaa yleensä sillan, joka sisältää yhä väärän käyttöliittymän. Kehysten välitys ei lisää VLAN-merkintää, joten fyysiselle uplinkille lähetetty merkitsemätön asiakaskehys saapuu merkitsemättömänä trunk-portille ja joko hylätään tai päätyy natiiviin VLANiin. Se, että alikäyttöliittymä on olemassa jossain isännässä, ei muuta mitään sillan jäsenluettelossa. Juuri tämä myytti on tapettava ensin: merkinnän asettaa käyttöliittymä, joka sen omistaa, ei isäntä vain siksi, että sillä on sellainen.

Yksi VLAN-laajennus tarkoittaa yhtä layer-2-toimialuetta, ja sillan on liityttävä siihen toimialueeseen eikä trunkiiin, joka kantaa ne kaikki.

Merkintä ei ilmesty, koska silloitit trunkin

Ota Linux-uplink eno1, joka kantaa VLAN 120 hallittuun kytkimeen. Yhdelle VLANille toimiva suunnittelu on tap_vpn sillattuna br_vpn:een, jossa br_vpn sisältää eno1.120:n eno1:n sijaan. VLANin alikäyttöliittymä asettaa merkinnän lähdössä ja poistaa sen saapuessa, joten silta näkee vain merkitsemättömiä kehyksiä tuolle yhdelle VLANille. Laita sen sijaan fyysinen käyttöliittymä siltaan, niin samat kehykset lähtevät merkitsemättöminä trunk-portille, mikä ei ole se, mitä suunnittelit.

Trunkin sillaus VLAN-suodatus pois päältä ei ole oikotie samaan tulokseen. Se antaa sillalle jokaisen VLANin sillä kaapelilla, mukaan lukien ne, joita asiakkaiden ei pitäisi nähdä.

Kaksi laillista suunnittelua, yksi merkinnän omistaja

VLAN-tietoinen silta on toinen kelvollinen järjestely: trunk menee sillan porttiin, ja porttikohtainen jäsenyys, PVID ja merkityn lähdön asetukset päättävät, mitkä VLANit kulkevat. Siellä silta omistaa merkinnän, ja VLANin alikäyttöliittymän lisääminen sen alle asentaisi toisen omistajan yhtä työtä varten. Molemmat suunnittelut toimivat; molempien osaset eivät. Päätä, mikä objekti asettaa merkinnän, ennen kuin muokkaat mitään jäsenluetteloa.

Kytkimen portin on sovittava valitsemaasi suunnitteluun. Access-portti, joka kantaa VLANin merkitsemättömänä, sopii fyysiseen käyttöliittymään liitoksena, kun taas trunk-portti sopii merkittyyn alikäyttöliittymään. Alikäyttöliittymän lisääminen sopimattomaan access-porttiin ei korjaa mitään.

Siirrä osoite jäsenyyden mukana

Alikäyttöliittymäsuunnittelussa isännän osoite sillatulle aliverkolle kuuluu br_vpn:lle, ei orjuutetulle VLAN-portille, jossa se saattoi ennen olla. Portille jättäminen voi näyttää toimivalta ja käyttäytyä sitten oudosti, koska silta välittää layer 2:ssa, kun osoite istuu jäsenellä. Siirrä se osana jäsenyyden muutosta, ei erillisenä kokeena.

Osoitteen siirtäminen voi katkaista hallintapolun. Perusta riippumaton palautumisreitti, tallenna nykyinen kokoonpano jakelun omalla verkkohallinnalla ja vältä kilpailevaa käynnistyskomentoa, joka taistelee sitä vastaan seuraavan päivityksen jälkeen.

Asiakkaiden osoitteistus vaatii saman huolen. Sillattu VPN sijoittaa asiakkaat laajennettuun aliverkkoon, joten pooli ei saa mennä päällekkäin muiden vuokrien tai staattisten varausten kanssa, ja DHCP:n tarjoaman järjestelyn on oltava se, jota LAN todella odottaa. Toimiva layer-2-polku ei kerro mitään päällekkäisistä osoitteista.

Vahvista jäsenyys ennen kuin syytät reittejä

Lue nykyinen tila, älä aiottu: ip -d link show dev eno1.120 tulostaa VLANin id:n ja sen vanhemman, ip link show master br_vpn luettelee sillan jäsenet ja bridge vlan show raportoi porttikohtaisen jäsenyyden ja lähdön käsittelyn. Vahvista alikäyttöliittymäsuunnittelussa, että TAP-laite ja VLAN-laite ovat jäseniä. VLAN-tietoisessa sillassa tarkista itse porttikäytäntö, koska olemassa oleva silta ei todista, mitä se sallii.

Testaa sitten yhtä sallittua asiakasta kyseisen VLANin palvelua vastaan ja muista, että ARP, palomuurikäytäntö ja vastauspolku ovat jäsenyydestä erillisiä asioita. Jos kaappaat paketteja, huomioi, että laitteistopurkaus voi muuttaa sitä, missä VLAN-merkinnät näkyvät jäljessä. Pidä myös rajaus rehellisenä: reititetty TUN-asiakas ei tule VLANin jäseneksi millään siltamuutoksella, eikä asiakas-asiakas-liikenne korvaa isännän liitosta VLANiin.