Tarvitsevatko kaksi toimipistettä samat VLAN ID:t toimipiste-VPN:ää varten?

Samat VLAN-numerot kahdessa toimistossa tuntuvat siltä, että niiden pitäisi auttaa toimipisteiden välistä tunnelia, eivätkä ne muuta mitään siitä, mitä tunneli kuljettaa. VLAN ID merkitsee Ethernet-lähetysalueen yhden rakennuksen sisällä; tunneli välittää IP-paketteja yhdyskäytävien välillä. Kaksi toimipistettä voi käyttää täysin erilaista VLAN-numerointia ja silti reitittää toisiinsa, ja kaksi toimipistettä voi käyttää samaa VLAN-numerointia eikä silti tavoittaa toisiaan. Tavoitettavuuden ratkaiseva muuttuja on osoitesuunnitelma.

Myytti: samat VLAN ID:t molemmissa päissä

Usko tulee järkevästä paikasta. Yhden rakennuksen sisällä kaksi saman VLAN:n porttia voivat puhua keskenään ja kaksi eri VLAN:n porttia ei voi, joten VLAN-numero näyttää siltä, mikä antaa yhteyden. Reititetyn tunnelin yli ei ole jaettua Ethernet-segmenttiä, jota tunniste kuvaisi, eivätkä yhdyskäytävät koskaan vaihda VLAN-tunnisteita.

Tunneli tarvitsee parin toisiaan leikkaamattomia osoitealueita ja käytännön, joka sallii liikenteen niiden välillä. Vaihda VLAN missä tahansa toimistossa, ja tunneli toimii edelleen, koska mikään tunnelin kokoonpanossa ei viitannut siihen. Tämä on se testi, joka ratkaisee väittelyn: numeroi VLAN uudelleen, jätä osoitteet ennalleen ja katso, pysyykö tunneli pystyssä.

Käänteinen testi on yhtä valaiseva. Anna molemmille toimistoille sama aliverkko, eikä mikään määrä samoja VLAN-numeroita tee osoitteesta yksiselitteistä.

Mitä tunneli todella kuljettaa

IPsec suojaa IP-paketteja käytännön mukaan, joka ilmaistaan osoitteina, protokollina ja portteina. IPsec-arkkitehtuuri kuvaa nämä valitsimet IP-kerroksessa, joka on useita kerroksia ylempänä kuin mikään, mitä kytkimen tunniste kuvaa. Kun paketti saapuu tunneliin, se on jo jättänyt VLAN:n; tunnisteen on kuluttanut paikallinen kytkin.

Käytäntöperusteiset ja reittiperusteiset suunnitelmat eroavat siinä, miten ne valitsevat tunnelin, eivät siinä, mitä ne voivat kuljettaa. Käytäntöperusteinen vertaislaite sovittaa liikenteen valitsimet ja lähettää sopivat paketit tunneliin. Reittiperusteinen vertaislaite reitittää liikenteen tunneliliitännässä ja jättää päätöksen reititystaululle. Molemmat neuvottelevat edelleen suojausalueen, joten tunneliin osoittava reitti ei laajenna sitä, mitä vertaislaitteet sopivat suojaavansa.

Tämä ero selittää yleisen puolittaisen epäonnistumisen: reitti on olemassa, paketit saapuvat tunneliin ja vastapuoli pudottaa ne, koska neuvotellut valitsimet eivät koskaan sisältäneet tuota etuliitettä. Asennettujen käytäntöjen lukeminen näyttää, mikä alue todella tuli voimaan.

ip xfrm policy
ip route show
swanctl --list-sas

Päällekkäisyys, joka todella rikkoo

Kaksi eri aliverkkojen toimistoa reitittyvät siististi tunnelin läpi, ja niiden VLAN-numerot ovat merkityksettömiä. Kaksi saman aliverkon toimistoa ei, koska pyynnöllä tiettyyn osoitteeseen on kaksi mahdollista merkitystä ja reititystaulu voi valita vain yhden. Yhden toimipisteen uudelleennumerointi on puhdas ratkaisu, ja se on yleensä halvempi kuin vaihtoehdot, kun DNS- ja palomuurimuutokset lasketaan.

Kun uudelleennumerointi on mahdotonta, harkittu käännössuunnitelma voi esittää kummallekin puolelle erilaiset osoitenäkymät. Se tarkoittaa yksi-yhteen-kuvausta, sopivia valitsimia, käännetyä näkymää heijastavia DNS-tietueita ja paluureititystä, joka kestää uudelleenkirjoituksen. Se on tuettu suunnitelma, jolla on todellinen käyttökustannus, eikä se ole se, mitä VLAN ID:n muuttaminen tekee.

Samat VLAN-numerot molemmissa päissä ovat joskus jaetun mallin sattumaa, ja tämän sattuman pitäminen toimivan tunnelin syynä johtaa väärään muutokseen, kun jotain myöhemmin hajoaa.

Yksi tehtävä kerrosta kohti, kirjattuna

Paikallinen kytkin päättää, mitkä portit jakavat lähetysalueen, ja sen VLAN-numerointi on paikallista kirjanpitoa, jota kenenkään muun toimipisteen ei tarvitse tuntea. Yhdyskäytävä todentaa vertaislaitteen ja valvoo neuvoteltua suojausaluetta. Reititystaulu päättää, mihin salattu paketti menee seuraavaksi, ja käyttöoikeuskäytäntö päättää, olisiko kyseinen paketti ylipäätään pitänyt sallia.

Näiden tehtävien erillään pitäminen tekee muutoksista turvallisia. VLAN:n uudelleennumerointi yhdessä toimistossa koskettaa paikallista kytkintä, DHCP-aluetta ja mahdollisesti palomuurivyöhykettä, eikä se kosketa tunnelia. Etuliitteen muutos koskettaa tunnelin valitsimia, molempien puolten reittejä ja käyttöoikeuskäytäntöä, eikä se kosketa kytkimen tunnisteita.

Paluureitit, yksityinen DNS ja sovelluksen identiteettivaatimukset ovat jälleen erillisiä tehtäviä, eikä mikään niistä tule kopioimalla VLAN-numero toisesta toimipisteestä. Suunnitteludokumentti, joka luettelee tavoitettavat etuliitteet ja sallitut palvelut, kestää kytkimen uusimisen; sellainen, joka luettelee VLAN-numeroita, ei kestä.

Vahvista paikallinen kuva bridge-työkaluilla ennen kuin oletat tunnisteen saapuvan tunneliin.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Kun layer-2-laajennus on todellinen vaatimus

Jotkin suunnitelmat tarvitsevat aidosti Ethernet-käyttäytymistä toimipisteiden välillä: perintösovellus, joka nojaa lähetyshakuun, siirto, jonka on säilytettävä osoite koneen liikkuessa, tai protokolla, joka sisältää layer-2-oletuksia. Tällaiset tapaukset vaativat päällekkäisverkon tai sillatun palvelun, joka kuljettaa kehykset, ja silloin VLAN-jäsenyydestä, silmukoiden estämisestä ja vikojen käsittelystä tulee päästä päähän -asioita.

Se on paljon suurempi vikaantumisalue, ja sen pitäisi olla tietoinen valinta eikä yrityksen saada tiedostojako toimimaan satunnainen tulos. Tavallinen tiedostopalvelin, tietokanta tai verkkosovellus tarvitsee valtuutetun IP-polun ja on onnellisempi ilman venytettyä lähetysaluetta allaan.

Kirjoita VPN-sopimus tavoitettavina etuliitteinä ja sallittuina palveluina ja kirjaa VLAN-tunniste vain sinne, missä paikalliset toiminnot sitä tarvitsevat. Silloin kukin toimisto voi numeroida oman kytkentänsä uudelleen muuttamatta jokaista muutosta tunnelin uudelleensuunnitteluksi.