Hawwe twa lokaasjes deselde VLAN ID's nedich foar in site-VPN?

Deselde VLAN-nûmers by twa kantoaren fiele as moatte se helpe by in tunnel tusken lokaasjes, en se feroarje neat oan wat de tunnel ferfiert. In VLAN ID markearret in Ethernet-útstjoerdomein binnen ien gebou; de tunnel ferstjoert IP-pakketten tusken de poarten. Twa lokaasjes kinne folslein ferskillende VLAN-nûmering brûke en dochs nei elkoar rûte, en twa lokaasjes kinne deselde VLAN-nûmering brûke en dochs net by elkoar komme. De fariabele dy't berikberens bepaalt, is it adresplan.

De myte: deselde VLAN ID's oan beide kanten

It leauwe komt fan in ridlik plak. Binnen ien gebou kinne twa poarten yn deselde VLAN prate en twa poarten yn ferskillende VLAN's net, dus it VLAN-nûmer liket it ding dat ferbining jout. Oer in rûtele tunnel is der gjin mienskiplik Ethernet-segmint dat de tag beskriuwe kin, en de poarten wikselje nea VLAN-labels út.

Wat de tunnel nedich hat, is in pear adresberikken dy't net oerlaapje en in belied dat it ferkear der tusken tastean. Feroarje de VLAN by elk kantoar en de tunnel bliuwt wurkjen, om't neat yn 'e tunnelkonfiguraasje dernei ferwiisde. Dat is de test dy't it debat beslút: werommerje in VLAN, lit de adressen gewurde en sjoch oft de tunnel oerein bliuwt.

De omkearde test is like ynformtyf. Jou beide kantoaren itselde subnet en gjin hoemannichte oerienkommende VLAN-nûmers sil in adres ûndûbelsinnich meitsje.

Wat de tunnel eins ferfiert

IPsec beskermet IP-pakketten neffens in belied útdrukt yn adressen, protokollen en poarten. IPsec-arsjitektuer beskriuwt dy selektors op 'e IP-laach, dy't ferskate lagen boppe alles leit wat in switch-tag beskriuwt. As in pakket de tunnel yngiet, hat it de VLAN al ferlitten; de tag is troch de lokale switch ferbaarnd.

Belied-basearre en rûte-basearre ûntwerpen ferskille yn hoe't se de tunnel kieze, net yn wat se ferfiere kinne. In belied-basearre peer matcht ferkearsselektors en stjoert passende pakketten de tunnel yn. In rûte-basearre peer rûtet ferkear op in tunnelinterface en lit de rûtetabel beslisse. Beide ûnderhannelje noch in beskermingsomfang, dus in rûte dy't nei de tunnel wiist wreidet net út wat de peers ôfpraat hawwe te beskermjen.

Dat ûnderskied ferklearret in faak foarkommende heale mislearring: de rûte bestiet, pakketten geane de tunnel yn, en de fiere kant smiten se weilitten, om't de ûnderhannele selektors dat prefiks nea omfette. It lêzen fan 'e ynstallearre beliedsregels lit sjen hokker omfang eins krêft krige.

ip xfrm policy
ip route show
swanctl --list-sas

De oerlaap dy't eins brekt

Twa kantoaren mei ferskillende subnets rûte skjin troch in tunnel, en har VLAN-nûmers binne net relevant. Twa kantoaren mei itselde subnet net, om't in fersyk foar in beskaat adres twa mooglike betsjuttings hat en de rûtetabel mar ien kieze kin. It werommerjen fan ien lokaasje is de skjinne oplossing, en it is meastentiids goedkeaper as de alternativen as de DNS- en firewallferoarings meiteld wurde.

As werommerjen ûnmooglik is, kin in bewust oersettingsûntwerp oan elke kant ferskillende adresbylden presintearje. Dat betsjut ien-op-ien mapping, oerienkommende selektors, DNS-ynfieringen dy't it oersetten byld werjaan en weromrûting dy't de weromskriuwing oerlibbet. It is in stipe ûntwerp mei echte operasjonele kosten, en it is net wat it feroarjen fan in VLAN ID docht.

Deselde VLAN-nûmers oan beide kanten binne soms in tafal fan in dielde sjabloan, en dat tafal as de oarsaak fan in wurkjende tunnel behannelje liedt ta de ferkearde feroaring as der letter wat brekt.

Ien taak per laach, op skrift

De lokale switch beslút hokker poarten in útstjoerdomein diele, en syn VLAN-nûmering is lokale boekhâlding dy't gjin oar lokaasje witte hoecht. De gateway autentisearret de peer en hanthavent it ûnderhannele beskermingsomfang. De rûtetabel beslút wêr't in ûntsifere pakket folgjende hinne giet, en it tagongbelied beslút oft dat pakket ea tastien wurde moatten hie.

It skieden hâlden fan dy taken is wat feroarings feilich makket. In VLAN-werommering by ien kantoar rekket de lokale switch, it DHCP-berik en mooglik in firewall-sône, en it rekket de tunnel net. In prefikswiziging rekket de tunnelselektors, de rûtes oan beide kanten en it tagongbelied, en it rekket de switch-tags net.

Weromrûtes, privee DNS en easken foar applikaasje-identiteit binne wer aparte taken, en net ien fan har komt troch in VLAN-nûmer fan it oare lokaasje te kopiearjen. In ûntwerpdokumint dat berikbere prefiksen en tastiene tsjinsten listet, oerlibbet in switchferfanging; ien dat VLAN-nûmers listet, net.

Befêstigje it lokale byld mei de bridge-ark mei't jo oannimme dat in tag de tunnel berikt.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

As layer-2-útwreiding de echte eask is

Guon ûntwerpen hawwe echt Ethernet-hâlden en dwaan nedich tusken lokaasjes: in âlde applikaasje dy't ôfhinklik is fan útstjoerûntdekking, in migraasje dy't in adres hâlde moat wylst in masine ferhuze, of in protokol dat layer-2-oannames befettet. Sokke gefallen freegje om in overlay of in oerbrêge tsjinst dy't de frames ferfiert, en dan wurde VLAN-lidmaatskip, lusfoarkoming en flaterôfhanneling ein-oan-ein-saken.

Dat is in folle grutter flatersdomein, en it moat in bewuste kar wêze ynstee fan it tafallige resultaat fan in besykjen om in bestânsdieling oan 'e praat te krijen. In gewoane bestânsserver, databank of webapplikaasje hat in autorisearre IP-paad nedich, en sil lokkiger wêze sûnder in útlutsen útstjoerdomein derûnder.

Skriuw it VPN-kontrakt as berikbere prefiksen plus tastiene tsjinsten, en registrearje de VLAN-tag allinnich wêr't lokale operaasjes dy nedich hawwe. Elk kantoar kin dan syn eigen switching werommerje sûnder elke feroaring yn in tunnelwerûntwerp te feroarjen.