Korisnički VLAN-ovi ili označeni trunk: odaberite ispravan OpenVPN način

Dva zahtjeva dolaze gotovo istim tekstom: smjestite svakog VPN klijenta u odabrani VLAN ili prenesite postojeći VLAN trunk kroz VPN. To su različiti proizvodi. Ugrađeni OpenVPN način svjestan VLAN-a model je preklopnika za prvi zahtjev i nije sinonim za proziran prijenos oznaka. Pogrešan odabir daje dizajn koji izgleda konfigurirano, a tiho odbacuje okvire koji su vam bili važni.

Što način svjestan VLAN-a zapravo gradi

Kada je vlan-tagging uključen u TAP postavu samo za poslužitelj, demon modelira svoj TAP uređaj i svakog povezanog klijenta kao portove na unutarnjem preklopniku. Klijentski portovi nisu označeni, a njihova VLAN veza postavlja se na poslužitelju kroz kontekst vlan-pvid po klijentu, a ne kroz bilo što što klijent šalje. U tome je cijela poanta modela: članstvo je odluka na strani poslužitelja o autentificiranom partneru. Ništa u profilu klijenta ne mora znati kojem VLAN-u pripada.

Strana TAP poslužitelja dobiva vlastitu politiku prihvata označenih ili neoznačenih okvira kroz vlan-accept. Prosljeđivanje unutar tog preklopnika događa se samo između podudarnih VID-ova, uključujući kada je postavljen client-to-client, pa dva klijenta u različitim VLAN-ovima ne mogu doći jedan do drugoga kroz poslužitelj iako su oba na njega povezana.

Taj model je model pristupnog porta. Okviri koji napuštaju klijenta nisu označeni, a vezu nameće poslužitelj na temelju identiteta. Tražiti od prijenosnika da sam označi svoj promet znači tražiti drugi dizajn.

Dodjele moraju slijediti autentificirani identitet klijenta, a ne vrijednost koju klijent nudi o sebi. Izostavljena dodjela također nije stanje karantene: klijent pada na zadani PVID, pa je nedostajući ccd unos tiha odluka politike, a ne neutralna.

Što prozirni trunk umjesto toga traži

Prijenos već označenih okvira od kraja do kraja počinje isključivanjem obrade svjesne VLAN-a. Model preklopnika i očuvanje oznaka alternative su, a uključivanje obojega traži da jedna značajka obavlja posao druge.

Isključivanje je samo početak. Most na svakom kraju i fizički portovi preklopnika moraju se složiti koji su VLAN-ovi dopušteni, koja je oznaka izvorna i kako se postupa s neoznačenim okvirima. Proširenje neograničenog trunka izlaže mnogo više broadcast domena nego dva koja ste htjeli povezati.

Veličina okvira traži vlastiti proračun. Označeni Ethernet okvir plus enkapsulacija veći je od brojke korisnog tereta koju ljudi prepisuju iz vodiča, a MTU koji je bio dobar za usmjereni tunel nije dokaz da trunk put radi.

Tri uvjeta koji odlučuju odgovor

Prvo, podržava li klijentska platforma TAP uopće? Android i iOS ne, a podrška za macOS je ograničena, pa flota mobilnih korisnika isključuje svaki TAP dizajn bez obzira na to kako su VLAN-ovi raspoređeni. Usmjerena TUN sesija prenosi IP pakete, a ne Ethernet okvire, i nikakva poslužiteljska VLAN konfiguracija to ne mijenja. Provjerite flotu prije projektiranja topologije, jer je taj uvjet jedini koji se ne može zaobići. To je i uvjet koji se najčešće otkrije nakon završetka radova na preklopniku.

Drugo, tko dodjeljuje VLAN? Ako je odgovor «poslužitelj, prema tome tko se autentificirao», model preklopnika odgovara. Ako je odgovor «postojeća preklopnička infrastruktura, s oznakama koje već postoje», potreban vam je trunk dizajn.

Treće, koliki dio mreže treba biti dostupan? Model preklopnika po konstrukciji drži svakog klijenta u jednom VLAN-u. Trunk dizajn je most, a pogrešno konfiguriran most spaja broadcast domene koji su trebali ostati odvojeni.

Provjera vašeg odabira

Povežite jednog klijenta koji treba biti u dopuštenom VLAN-u i jednog koji ne treba, pa testirajte s pravog kraja, a ne s poslužitelja samog. Dostupnost s poslužiteljske strane dokazuje da most ili preklopnik postoji; ne dokazuje u koji je VLAN klijent sletio.

ip -d link show tap0
bridge vlan show

Na poslužitelju druga naredba pokazuje VLAN članstvo svakog porta mosta, uključujući je li port označen. Usporedite to s namjeravanom dodjelom prije nego počnete otklanjati pogreške iznad drugog sloja.

Zabilježite koji od dva dizajna postava koristi. Napomena «svjestan VLAN-a» dvosmislena je, a sljedeći će inženjer pretpostaviti onu varijantu koju je prvo naučio. OpenVPN VLAN referencadefinira ponašanje preklopnika i kontekst po klijentu, i to je najkraći put da potvrdite koji model pokrećete.