क्लाइंट VLAN या टैग किया गया ट्रंक: सही OpenVPN मोड चुनें

लगभग एक जैसे शब्दों में दो अनुरोध आते हैं: हर VPN क्लाइंट को चुने गए VLAN में रखो, या मौजूदा VLAN ट्रंक को VPN से होकर ले जाओ। ये दो अलग उत्पाद हैं। OpenVPN का अंतर्निहित VLAN-सजग मोड पहले अनुरोध के लिए स्विच मॉडल है, और यह पारदर्शी टैग परिवहन का पर्यायवाची नहीं है। गलत चुनाव ऐसा डिज़ाइन बनाता है जो कॉन्फ़िगर दिखता है और आपके लिए महत्वपूर्ण फ़्रेम चुपचाप छोड़ देता है।

VLAN-सजग मोड वास्तव में क्या बनाता है

केवल सर्वर के लिए TAP परिनियोजन में vlan-tagging सक्षम होने पर, डेमॉन अपने TAP डिवाइस और हर जुड़े क्लाइंट को आंतरिक स्विच के पोर्ट के रूप में प्रस्तुत करता है। क्लाइंट पोर्ट बिना टैग के होते हैं, और उनका VLAN संबंध सर्वर पर प्रति-क्लाइंट vlan-pvid संदर्भ से तय होता है, क्लाइंट जो भेजता है उससे नहीं। मॉडल का पूरा तर्क यही है: सदस्यता प्रमाणित साथी के बारे में सर्वर पक्ष का निर्णय है। क्लाइंट प्रोफ़ाइल में किसी चीज़ को यह जानने की ज़रूरत नहीं कि वह किस VLAN में है।

सर्वर का TAP पक्ष vlan-accept के माध्यम से अपनी टैग की गई या बिना टैग वाली स्वीकृति नीति पाता है। उस स्विच के भीतर अग्रेषण केवल मेल खाते VID के बीच होता है, client-to-client सेट होने पर भी, इसलिए अलग-अलग VLAN के दो क्लाइंट सर्वर से होकर एक-दूसरे तक नहीं पहुँच सकते, भले ही दोनों उससे जुड़े हों।

यह मॉडल एक्सेस-पोर्ट मॉडल है। क्लाइंट से निकलने वाले फ़्रेम बिना टैग के होते हैं, और संबंध सर्वर पहचान के आधार पर थोपता है। लैपटॉप से अपना ट्रैफ़िक खुद टैग करने को कहना दूसरा डिज़ाइन माँगना है।

आवंटन प्रमाणित क्लाइंट पहचान का पालन करें, क्लाइंट द्वारा अपने बारे में दिए गए मान का नहीं। छूटा हुआ आवंटन संगरोध स्थिति भी नहीं है: क्लाइंट डिफ़ॉल्ट PVID पर पहुँचता है, इसलिए गायब ccd प्रविष्टि एक मौन नीति निर्णय है, तटस्थ नहीं।

इसके बजाय पारदर्शी ट्रंक क्या माँगता है

पहले से टैग किए फ़्रेम को छोर से छोर तक ले जाना VLAN-सजग प्रसंस्करण बंद करने से शुरू होता है। स्विच मॉडल और टैग संरक्षण विकल्प हैं, और दोनों सक्षम करना एक विशेषता से दूसरी का काम माँगना है।

बंद करना केवल शुरुआत है। हर छोर का ब्रिज और भौतिक स्विच पोर्ट सहमत होने चाहिए कि कौन से VLAN अनुमत हैं, कौन सा टैग स्थानीय है, और बिना टैग वाले फ़्रेम कैसे संभाले जाते हैं। बिना सीमा वाला ट्रंक बढ़ाना उन दो से कहीं अधिक ब्रॉडकास्ट डोमेन उजागर करता है जिन्हें आप जोड़ना चाहते थे।

फ़्रेम आकार को अपना बजट चाहिए। टैग किया गया ईथरनेट फ़्रेम और एन्कैप्सुलेशन किसी गाइड से कॉपी किए गए पेलोड आँकड़े से बड़ा होता है, और राउटेड टनल के लिए उपयुक्त MTU इस बात का प्रमाण नहीं कि ट्रंक पथ काम करता है।

उत्तर तय करने वाली तीन शर्तें

पहला, क्या क्लाइंट प्लेटफ़ॉर्म TAP का समर्थन करता है? Android और iOS नहीं करते, और macOS का समर्थन सीमित है, इसलिए मोबाइल उपयोगकर्ताओं का समूह VLAN कैसे भी व्यवस्थित हों, दोनों में से कोई भी TAP डिज़ाइन रद्द कर देता है। राउटेड TUN सत्र ईथरनेट फ़्रेम नहीं, IP पैकेट ले जाता है, और सर्वर पक्ष का कोई भी VLAN कॉन्फ़िगरेशन इसे नहीं बदलता। टोपोलॉजी डिज़ाइन करने से पहले समूह जाँचें, क्योंकि यही वह शर्त है जिसे टाला नहीं जा सकता। यह भी वही शर्त है जो स्विच का काम पूरा होने के बाद सबसे अधिक पकड़ में आती है।

दूसरा, VLAN कौन आवंटित करता है? यदि उत्तर «सर्वर, इस आधार पर कि किसने प्रमाणित किया» है, तो स्विच मॉडल उपयुक्त है। यदि उत्तर «मौजूदा स्विच अवसंरचना, पहले से मौजूद टैग के साथ» है, तो आपको ट्रंक डिज़ाइन चाहिए।

तीसरा, नेटवर्क का कितना हिस्सा पहुँच योग्य होना चाहिए? स्विच मॉडल संरचना से ही हर क्लाइंट को एक VLAN में रखता है। ट्रंक डिज़ाइन एक ब्रिज है, और गलत कॉन्फ़िगर किया गया ब्रिज उन ब्रॉडकास्ट डोमेन को जोड़ देता है जिन्हें अलग रहना था।

अपने चुने विकल्प की जाँच

एक क्लाइंट जोड़ें जो अनुमत VLAN में होना चाहिए और एक जो नहीं होना चाहिए, फिर सर्वर से नहीं, असली छोर से परीक्षण करें। सर्वर पक्ष की पहुँच सिद्ध करती है कि ब्रिज या स्विच मौजूद है; यह सिद्ध नहीं करती कि क्लाइंट किस VLAN में पहुँचा।

ip -d link show tap0
bridge vlan show

सर्वर पर, दूसरा कमांड हर ब्रिज पोर्ट की VLAN सदस्यता दिखाता है, जिसमें यह भी शामिल है कि पोर्ट टैग किया गया है या नहीं। परत दो से ऊपर कुछ भी डीबग करने से पहले इसकी तुलना अपने इच्छित आवंटन से करें।

दर्ज करें कि परिनियोजन दोनों में से कौन सा डिज़ाइन उपयोग करता है। «VLAN-सजग» कहने वाला नोट अस्पष्ट है, और अगला इंजीनियर वही मान लेगा जो उसने पहले सीखा। OpenVPN VLAN संदर्भस्विच का व्यवहार और प्रति-क्लाइंट संदर्भ परिभाषित करता है, और यह पुष्टि करने का सबसे छोटा रास्ता है कि आप कौन सा मॉडल चला रहे हैं।