TAP կամուրջ մեկ VLAN-ի համար. միացրե՛ք ենթաինտերֆեյսը

TAP հաճախորդը, որը հասնում էր LAN-ին VLAN-ներից առաջ և հետո դադարեց, սովորաբար ունի կամուրջ, որը դեռ պարունակում է սխալ ինտերֆեյսը։ Շրջանակների փոխանցումը VLAN պիտակ չի ավելացնում, ուստի ֆիզիկական uplink-ին ուղարկված չպիտակավորված հաճախորդի շրջանակը հասնում է trunk պորտ առանց պիտակի և կամ դեն է նետվում, կամ ընկնում է native VLAN-ի մեջ։ Ենթաինտերֆեյսի գոյությունը հոսթի ինչ-որ տեղ ոչինչ չի փոխում կամրջի անդամների ցանկում։ Հենց այս առասպելը պետք է առաջինը սպանել. պիտակը կիրառում է այն ինտերֆեյսը, որը տիրապետում է դրան, ոչ թե հոսթը միայն այն պատճառով, որ ունի մեկը։

Մեկ VLAN ընդլայնումը նշանակում է մեկ layer-2 տիրույթ, և կամուրջը պետք է միանա այդ տիրույթին, ոչ թե trunk-ին, որը կրում է բոլորին։

Պիտակը չի հայտնվում, որովհետև դուք կամրջել եք trunk-ը

Վերցրե՛ք Linux uplink eno1, որը VLAN 120-ը տանում է դեպի կառավարվող սվիչ։ Մեկ VLAN-ի համար աշխատող ձևավորումը tap_vpn-ի կամրջումն է br_vpn-ին, որտեղ br_vpn-ը պարունակում է eno1.120՝ eno1-ի փոխարեն։ VLAN ենթաինտերֆեյսը պիտակը դնում է ելքի վրա և հանում է մուտքի վրա, ուստի կամուրջը տեսնում է միայն չպիտակավորված շրջանակներ այդ մեկ VLAN-ի համար։ Փոխարենը ֆիզիկական ինտերֆեյսը դրե՛ք կամրջի մեջ, և նույն շրջանակները դուրս կգան առանց պիտակի trunk պորտից, ինչը այն չէ, ինչ դուք պլանավորել էիք։

Trunk-ը կամրջելը VLAN զտումն անջատած՝ նույն արդյունքի կարճ ճանապարհ չէ։ Այն կամրջին տալիս է այդ լարի յուրաքանչյուր VLAN-ը, ներառյալ նրանք, որոնք հաճախորդներին չպետք է տեսնել։

Երկու օրինական ձևավորում, մեկ պիտակի տեր

VLAN-ին տեղյակ կամուրջը երկրորդ վավեր դասավորությունն է. trunk-ը մտնում է կամրջի պորտ, և պորտային անդամությունը, PVID-ն ու պիտակավորված ելքի կարգավորումները որոշում են, թե որ VLAN-ներն են անցնում։ Այնտեղ կամուրջը տիրապետում է պիտակավորմանը, և դրա տակ VLAN ենթաինտերֆեյս ավելացնելը կտեղադրեր երկրորդ տեր մեկ աշխատանքի համար։ Երկու ձևավորումներն էլ աշխատում են. երկուսի բեկորները՝ ոչ։ Որոշե՛ք, թե որ օբյեկտն է կիրառում պիտակը, նախքան որևէ անդամների ցանկ խմբագրելը։

Սվիչի պորտը պետք է համապատասխանի ձեր ընտրած ձևավորմանը։ VLAN-ը առանց պիտակի կրող access պորտը զուգակցվում է ֆիզիկական ինտերֆեյսի հետ որպես կցում, մինչդեռ trunk պորտը զուգակցվում է պիտակավորված ենթաինտերֆեյսի հետ։ Անհամապատասխան access պորտին ենթաինտերֆեյս ավելացնելը ոչինչ չի ուղղում։

Տեղափոխե՛ք հասցեն անդամության հետ միասին

Ենթաինտերֆեյսի ձևավորման մեջ հոսթի հասցեն կամրջված ենթացանցի համար պատկանում է br_vpn-ին, ոչ թե ստրկացված VLAN պորտին, որտեղ այն կարող էր լինել նախկինում։ Այն պորտի վրա թողնելը կարող է աշխատելու տպավորություն թողնել և հետո տարօրինակ վարվել, որովհետև կամուրջը փոխանցում է layer 2-ում, մինչ հասցեն նստած է անդամի վրա։ Տեղափոխե՛ք այն որպես անդամության փոփոխության մաս, ոչ թե առանձին փորձ։

Հասցեի տեղափոխումը կարող է կտրել կառավարման ուղին։ Ստեղծե՛ք անկախ վերականգնման ուղի, պահպանե՛ք գոյություն ունեցող կարգավորումը տարածման սեփական ցանցային մենեջերի միջոցով և խուսափե՛ք մրցակցող մեկնարկային սկրիպտից, որը կպայքարի դրա հետ հաջորդ թարմացումից հետո։

Հաճախորդների հասցեավորումը նույն խնամքն է պահանջում։ Կամրջված VPN-ը հաճախորդներին դնում է ընդլայնված ենթացանցում, ուստի լողավազանը չպետք է համընկնի այլ վարձակալությունների կամ ստատիկ նշանակումների հետ, և DHCP-ով սպասարկվող դասավորությունը պետք է լինի այն, ինչը LAN-ը իրականում սպասում է։ Աշխատող layer-2 ուղին ոչինչ չի ասում կրկնվող հասցեների մասին։

Ստուգե՛ք անդամությունը նախքան ուղիներին մեղադրելը

Կարդացե՛ք ընթացիկ վիճակը, ոչ թե նախատեսվածը. ip -d link show dev eno1.120 տպում է VLAN id-ն և դրա ծնողը, ip link show master br_vpn թվարկում է կամրջի անդամներին, և bridge vlan show հաղորդում է պորտային անդամության և ելքի մշակման մասին։ Ենթաինտերֆեյսի ձևավորման մեջ հաստատե՛ք, որ TAP սարքը և VLAN սարքը անդամներն են։ VLAN-ին տեղյակ կամրջում ստուգե՛ք հենց պորտի քաղաքականությունը, որովհետև գոյություն ունեցող կամուրջը չի ապացուցում, թե ինչ է թույլատրում։

Ապա փորձարկե՛ք մեկ թույլատրված հաճախորդ այդ VLAN-ի ծառայության դեմ՝ հիշելով, որ ARP-ն, firewall-ի քաղաքականությունը և պատասխանի ուղին անդամությունից առանձին հարցեր են։ Եթե փաթեթներ եք որսում, նկատի ունեցե՛ք, որ ապարատային offload-ը կարող է փոխել, թե որտեղ են VLAN պիտակները հայտնվում հետքի մեջ։ Պահե՛ք նաև շրջանակը ազնիվ. երթուղավորված TUN հաճախորդը ոչ մի կամրջի փոփոխությամբ VLAN անդամ չի դառնում, և հաճախորդ-հաճախորդ երթևեկությունը չի փոխարինում հոսթի կապը VLAN-ին։