TAP-híd egyetlen VLAN-hoz: csatlakoztassa az alinterfészt

Az a TAP-kliens, amely a VLAN-ok előtt elérte a LAN-t, majd utána leállt, általában olyan híddal rendelkezik, amely még mindig a rossz interfészt tartalmazza. A kerettovábbítás nem tesz VLAN-címkét, ezért a fizikai uplinkre küldött címkézetlen klienskeret címkézetlenül érkezik egy trunk-portra, és vagy eldobódik, vagy a natív VLAN-ba kerül. Az, hogy az alinterfész valahol létezik a hoston, semmit sem változtat a híd taglistáján. Ezt a mítoszt kell először megölni: a címkét az az interfész alkalmazza, amelyik birtokolja, nem a host pusztán azért, mert van neki egy.

Egy VLAN-kiterjesztés egy layer-2 tartományt jelent, és a hídnak ehhez a tartományhoz kell csatlakoznia, nem a trunkhoz, amely mindet hordozza.

A címke nem jelenik meg, mert a trunkot hídba kötötte

Vegyen egy Linux-uplinket eno1, amely VLAN 120-at visz egy kezelt switchhez. Az egyetlen VLAN-hoz működő kialakítás az, hogy tap_vpn hídba van kötve br_vpn-vel, ahol br_vpn a eno1 helyett eno1.120-ot tartalmazza. A VLAN-alinterfész a kimeneten felhelyezi a címkét, a bemeneten leveszi, így a híd csak címkézetlen kereteket lát ehhez az egy VLAN-hoz. Tegye inkább a fizikai interfészt a hídba, és ugyanezek a keretek címkézetlenül lépnek ki egy trunk-porton, ami nem az, amit tervezett.

A trunk hídba kötése kikapcsolt VLAN-szűréssel nem rövidebb út ugyanahhoz az eredményhez. Minden VLAN-t a hídnak ad azon a kábelen, beleértve azokat is, amelyeket az ügyfeleknek nem kellene látniuk.

Két legitim kialakítás, egy címke-tulajdonos

A VLAN-tudatos híd a másik érvényes elrendezés: a trunk egy hídportba lép be, és a portonkénti tagság, a PVID és a címkézett kimeneti beállítások döntik el, mely VLAN-ok haladnak át. Ott a híd birtokolja a címkézést, és egy VLAN-alinterfész alá helyezése második tulajdonost telepítene egy feladathoz. Mindkét kialakítás működik; a kettő töredékei nem. Döntse el, melyik objektum alkalmazza a címkét, mielőtt bármilyen taglistát szerkeszt.

A switch portjának meg kell egyeznie a választott kialakítással. A VLAN-t címkézetlenül hordozó access-port a fizikai interfésszel párosul csatlakozásként, míg a trunk-port egy címkézett alinterfésszel. Az alinterfész hozzáadása egy nem megfelelő access-porthoz semmit sem javít.

Mozgassa a címet a tagsággal együtt

Az alinterfész-kialakításban a host címe a hídba kötött alhálózathoz a br_vpn-ra tartozik, nem arra a szolgai VLAN-portra, ahol korábban lehetett. A porton hagyva működni látszhat, majd furcsán viselkedhet, mert a híd layer 2-n továbbít, miközben a cím egy tagon ül. A tagságváltozás részeként mozgassa, ne külön kísérletként.

Egy cím mozgatása elvághatja az adminisztrációs útvonalat. Alakítson ki független helyreállítási útvonalat, mentse a meglévő konfigurációt a disztribúció saját hálózatkezelőjén keresztül, és kerülje az olyan versengő indítószkriptet, amely a következő frissítés után harcolni fog vele.

Az ügyfélcímzés ugyanazt a gondosságot igényli. A hídba kötött VPN a kiterjesztett alhálózatba helyezi az ügyfeleket, ezért egy pool nem fedhet át más bérletekkel vagy statikus kiosztásokkal, és a DHCP által kiszolgált elrendezésnek annak kell lennie, amit a LAN valóban elvár. Egy működő layer-2 útvonal semmit sem mond a duplikált címekről.

Ellenőrizze a tagságot, mielőtt az útvonalakat okolná

A jelenlegi állapotot olvassa, ne a szándékoltat: ip -d link show dev eno1.120 kiírja a VLAN id-t és szülőjét, ip link show master br_vpn felsorolja a híd tagjait, és bridge vlan show jelenti a portonkénti tagságot és a kimeneti kezelést. Az alinterfész-kialakításban erősítse meg, hogy a TAP-eszköz és a VLAN-eszköz a tagok. VLAN-tudatos hídban magát a portszabályzatot vizsgálja, mert egy létező híd nem bizonyítja, mit engedélyez.

Ezután teszteljen egy engedélyezett ügyfelet az adott VLAN szolgáltatásával szemben, emlékezve arra, hogy az ARP, a tűzfal-szabályzat és a válaszútvonal a tagságtól külön kérdések. Ha csomagokat rögzít, vegye figyelembe, hogy a hardveres offload megváltoztathatja, hol jelennek meg a VLAN-címkék egy nyomban. Tartsa a hatókört is őszintén: egy útvonalválasztott TUN-ügyfél semmilyen hídváltoztatástól nem lesz VLAN-tag, és az ügyfél-ügyfél forgalom nem helyettesíti a host VLAN-csatlakozását.