Հաճախորդի VLAN-ներ կամ պիտակավորված trunk՝ ընտրեք ճիշտ OpenVPN ռեժիմը

Երկու հարցում գալիս են գրեթե նույն ձևակերպմամբ՝ տեղադրել յուրաքանչյուր VPN հաճախորդ ընտրված VLAN-ում, կամ գոյություն ունեցող VLAN trunk-ը տանել VPN-ի միջով։ Դրանք տարբեր ապրանքներ են։ OpenVPN-ի ներկառուցված VLAN-ին տեղյակ ռեժիմը կոմուտատորի մոդել է առաջին հարցման համար և պիտակների թափանցիկ փոխանցման հոմանիշ չէ։ Սխալ ընտրությունը ստեղծում է նախագիծ, որը կարգավորված է թվում և լուռ դեն է նետում ձեզ համար կարևոր շրջանակները։

Ինչ է իրականում կառուցում VLAN-ին տեղյակ ռեժիմը

Երբ vlan-tagging միացված է միայն սերվերի համար TAP տեղակայման մեջ, դեմոնը մոդելավորում է իր TAP սարքը և յուրաքանչյուր միացված հաճախորդ որպես ներքին կոմուտատորի պորտ։ Հաճախորդի պորտերը պիտակավորված չեն, և դրանց VLAN կապը սահմանվում է սերվերի վրա՝ յուրաքանչյուր հաճախորդի vlan-pvid կոնտեքստի միջոցով, ոչ թե այն բանով, ինչ հաճախորդն ուղարկում է։ Դա մոդելի ամբողջ իմաստն է՝ անդամակցությունը սերվերի կողմի որոշումն է նույնականացված գործընկերոջ մասին։ Հաճախորդի պրոֆիլում ոչինչ պետք չէ իմանալ, թե որ VLAN-ին է պատկանում։

Սերվերի TAP կողմը vlan-accept-ի միջոցով ստանում է իր սեփական պիտակավորված կամ չպիտակավորված ընդունման քաղաքականությունը։ Այդ կոմուտատորի ներսում փոխանցումը տեղի է ունենում միայն համապատասխան VID-ների միջև, նույնիսկ երբ client-to-client-ը սահմանված է, ուստի տարբեր VLAN-ներում գտնվող երկու հաճախորդ չեն կարող հասնել միմյանց սերվերի միջով, թեև երկուսն էլ միացված են դրան։

Այդ մոդելը մուտքի պորտի մոդել է։ Հաճախորդից դուրս եկող շրջանակները պիտակավորված չեն, և կապը պարտադրում է սերվերը՝ հիմնվելով ինքնության վրա։ Համակարգչից պահանջել ինքնուրույն պիտակավորել իր թրաֆիկը նշանակում է պահանջել այլ նախագիծ։

Նշանակումները պետք է հետևեն նույնականացված հաճախորդի ինքնությանը, ոչ թե արժեքին, որ հաճախորդն առաջարկում է իր մասին։ Բաց թողնված նշանակումը նույնպես կարանտինի վիճակ չէ՝ հաճախորդը հայտնվում է լռելյայն PVID-ի վրա, ուստի բացակայող ccd գրառումը լուռ քաղաքականության որոշում է, ոչ թե չեզոք։

Ինչ է փոխարենը պահանջում թափանցիկ trunk-ը

Արդեն պիտակավորված շրջանակները ծայրից ծայր տանելը սկսվում է VLAN-ին տեղյակ մշակումն անջատելուց։ Կոմուտատորի մոդելը և պիտակների պահպանումը այլընտրանքներ են, և երկուսն էլ միացնելը պահանջում է, որ մեկ հատկությունը կատարի մյուսի աշխատանքը։

Անջատելը միայն սկիզբն է։ Յուրաքանչյուր ծայրում գտնվող կամուրջը և ֆիզիկական կոմուտատորի պորտերը պետք է համաձայնության գան, թե որ VLAN-ներն են թույլատրված, որ պիտակն է բնիկ և ինչպես են վարվում չպիտակավորված շրջանակների հետ։ Անսահմանափակ trunk-ի ընդլայնումը բացահայտում է շատ ավելի շատ հեռարձակման տիրույթներ, քան այն երկուսը, որոնք ուզում էիք միացնել։

Շրջանակի չափը պահանջում է իր բյուջեն։ Պիտակավորված Ethernet շրջանակը գումարած ինկապսուլացումը ավելի մեծ է, քան ուղեցույցից պատճենվող օգտակար բեռի թիվը, և երթուղավորված թունելի համար հարմար MTU-ն ապացույց չէ, որ trunk ուղին աշխատում է։

Երեք պայման, որոնք որոշում են պատասխանը

Առաջին՝ արդյո՞ք հաճախորդի հարթակն ընդհանրապես աջակցում է TAP-ին։ Android-ը և iOS-ը չեն աջակցում, իսկ macOS-ի աջակցությունը սահմանափակ է, ուստի բջջային օգտատերերի պարկը բացառում է TAP-ի երկու նախագծերն էլ՝ անկախ VLAN-ների դասավորությունից։ Երթուղավորված TUN սեսիան տեղափոխում է IP փաթեթներ, ոչ թե Ethernet շրջանակներ, և սերվերի կողմի ոչ մի VLAN կարգավորում դա չի փոխում։ Ստուգեք պարկը մինչև տոպոլոգիայի նախագծումը, որովհետև այս պայմանն է, որ հնարավոր չէ շրջանցել։ Սա նաև այն պայմանն է, որն ամենից հաճախ հայտնաբերվում է կոմուտատորի աշխատանքն ավարտելուց հետո։

Երկրորդ՝ ով է նշանակում VLAN-ը։ Եթե պատասխանը «սերվերը՝ ըստ նրա, թե ով է նույնականացել» է, կոմուտատորի մոդելը հարմար է։ Եթե պատասխանը «գոյություն ունեցող կոմուտատորային ենթակառուցվածքը՝ արդեն գոյություն ունեցող պիտակներով» է, ձեզ պետք է trunk նախագիծը։

Երրորդ՝ ցանցի որ մասը պետք է հասանելի լինի։ Կոմուտատորի մոդելը կառուցվածքով յուրաքանչյուր հաճախորդ պահում է մեկ VLAN-ում։ Trunk նախագիծը կամուրջ է, և սխալ կարգավորված կամուրջը միացնում է հեռարձակման տիրույթներ, որոնք պետք է առանձին մնային։

Ձեր ընտրության ստուգումը

Միացրեք մեկ հաճախորդ, որը պետք է լինի թույլատրված VLAN-ում, և մեկը, որը չպետք է, ապա փորձարկեք իրական ծայրից, ոչ թե հենց սերվերից։ Սերվերի կողմից հասանելիությունը ապացուցում է, որ կամուրջը կամ կոմուտատորը գոյություն ունի, բայց չի ապացուցում, թե որ VLAN-ում է հայտնվել հաճախորդը։

ip -d link show tap0
bridge vlan show

Սերվերի վրա երկրորդ հրամանը ցույց է տալիս յուրաքանչյուր կամրջի պորտի VLAN անդամակցությունը, ներառյալ՝ արդյոք պորտը պիտակավորված է։ Համեմատեք այն ձեր նախատեսած նշանակման հետ, նախքան երկրորդ շերտից վերև որևէ բան վրիպազերծելը։

Գրանցեք, թե տեղակայումը երկու նախագծերից որն է օգտագործում։ «VLAN-ին տեղյակ» գրառումը երկիմաստ է, և հաջորդ ինժեները կենթադրի այն, ինչն առաջինն է սովորել։ OpenVPN-ի VLAN տեղեկատունսահմանում է կոմուտատորի վարքը և յուրաքանչյուր հաճախորդի կոնտեքստը, և դա ամենակարճ ճանապարհն է հաստատելու, թե որ մոդելն եք գործարկում։