Client-VLAN's of in tagske trunk: kies de juste OpenVPN-modus

Twa oanfragen komme mei hast deselde wurden: set elke VPN-client yn in keazen VLAN, of drage in besteande VLAN-trunk oer de VPN. It binne twa ferskillende produkten. De ynboude VLAN-bewuste modus fan OpenVPN is in switchmodel foar de earste oanfraach, en it is gjin synonym fan transparant tagsferfier. De ferkearde kar jout in ûntwerp dat konfigurearre liket en de frames dy't jo wichtich fûnen stilwei weilitten.

Wat de VLAN-bewuste modus eins bout

Mei vlan-tagging oan op in TAP-opsetsel allinnich foar de tsjinner modellet de daemon syn TAP-apparaat en elke ferbûne client as poarten fan in ynterne switch. Clientpoarten binne sûnder tag, en har VLAN-assosjaasje wurdt op de tsjinner ynsteld fia de per-client vlan-pvid-kontekst, net troch wat de client stjoert. Dat is it hiele punt fan it model: lidmaatskip is in beslissing oan de tsjinnerkant oer in autentisearre peer. Neat yn it clientprofyl hoecht te witten by hokker VLAN it heart.

De TAP-kant fan de tsjinner krijt syn eigen tagde of tagske akseptaasjebelied fia vlan-accept. Trochstjoering binnen dy switch bart allinnich tusken oerienkommende VID's, ek as client-to-client ynsteld is, sadat twa clients yn ferskillende VLAN's elkoar net berikke kinne fia de tsjinner, al binne se beide dêroan ferbûn.

Dat model is in tagongspoartmodel. Frames dy't in client ferlitte binne sûnder tag, en de assosjaasje wurdt troch de tsjinner oplein op grûn fan identiteit. Freegje de laptop om syn eigen ferkear te tagjen is freegje om in oar ûntwerp.

Tawizings moatte de autentisearre clientidentiteit folgje, net in wearde dy't de client oer himsels oanbiedt. In weilitten tawizing is ek gjin karantinesteat: de client bedarret op 'e standert-PVID, dus in ûntbrekkende ccd-ynfier is in stil beliedsbeslút ynstee fan in neutraal.

Wat in transparante trunk ynstee freget

Al tagde frames fan ein oant ein drage begjint mei it útskeakeljen fan 'e VLAN-bewuste ferwurking. It switchmodel en it behâlden fan tags binne alternativen, en beide oan sette freget fan ien funksje om it wurk fan 'e oare te dwaan.

It útskeakeljen is mar it begjin. De brêge by elk einpunt en de fysike switchpoarten moatte it iens wurde oer hokker VLAN's tastien binne, hokker tag lânseigen is en hoe't sûnder-tag-frames behannele wurde. In ûnbeheinde trunk útwreidzje stelt folle mear broadcast-domeinen bleat as de twa dy't jo ferbine woene.

Framegrutte hat syn eigen budzjet nedich. In tagde Ethernet-frame plus ynkapseling is grutter as it nuttige-ladingtal dat minsken út in hantlieding kopiearje, en in MTU dy't goed wie foar in routed tunnel is gjin bewiis dat in trunkpaad wurket.

Trije betingsten dy't it antwurd beslisse

Earst, stipet it clientplatfoarm TAP oerhaupt? Android en iOS net, en macOS-stipe is beheind, dus in float mobile brûkers slút beide TAP-ûntwerpen út, hoe't de VLAN's ek regele binne. In routed TUN-sesje draacht IP-pakketten, net Ethernet-frames, en gjin inkelde VLAN-konfiguraasje oan 'e tsjinnerkant feroaret dat. Kontrolearje de float foardat jo de topology ûntwerpe, want dizze betingst is dejinge dy't net te omgean is. It is ek de betingst dy't it meast ûntdekt wurdt neidat it switchwurk dien is.

Twad, wa wiist it VLAN ta? As it antwurd «de tsjinner, op grûn fan wa't autentisearre» is, past it switchmodel. As it antwurd «de besteande switchynfrastruktuer, mei tags dy't al besteane» is, hawwe jo it trunkûntwerp nedich.

Tred, hoefolle fan it netwurk berikber wêze moat? It switchmodel hâldt elke client by konstruksje yn ien VLAN. It trunkûntwerp is in brêge, en in ferkeard konfigurearre brêge ferbynt broadcast-domeinen dy't skieden bliuwe moasten.

De kar dy't jo makken teste

Ferbyn ien client dy't yn it tastiene VLAN wêze moat en ien dy't dat net moat, en test dan fan it echte einpunt ôf ynstee fan fan 'e tsjinner sels. Berikberens oan 'e tsjinnerkant bewiist dat de brêge of switch bestiet; it bewiist net yn hokker VLAN in client bedarre.

ip -d link show tap0
bridge vlan show

Op de tsjinner lit it twadde kommando it VLAN-lidmaatskip fan elke brêgepoarte sjen, ek oft in poarte tagd is of net. Fergelykje dat mei de tawizing dy't jo bedoelden foardat jo eat boppe laach twa debugge.

Skriuw op hokker fan 'e twa ûntwerpen de ynset brûkt. In notysje «VLAN-bewust» is dûbelsinnich, en de folgjende yngenieur sil oannimme dy't er it earst leard hat. De OpenVPN VLAN-referinsjebeskriuwt it switchgedrach en de kontekst per client, en it is it koartste paad om te befêstigjen hokker model jo rinne litte.