Արդյո՞ք երկու տեղամասերին անհրաժեշտ են նույն VLAN ID-ները տեղամասային VPN-ի համար։
Նույն VLAN ID-ները չեն կարող ուղղել երթուղային տեղամասային VPN-ը. թունելը տեղափոխում է IP նախածանցեր, ուստի հասանելիությունը որոշում են հասցեների պլանը և ընտրիչները, ոչ թե կոմուտատորի պիտակները։
Երկու գրասենյակներում նույն VLAN համարները թվում են, թե պետք է օգնեն տեղամաս-տեղամաս թունելին, և դրանք ոչինչ չեն փոխում այն բանում, ինչ թունելը տեղափոխում է։ VLAN ID-ն նշում է Ethernet հեռարձակման տիրույթ մեկ շենքի ներսում՝ թունելը IP փաթեթները փոխանցում է դարպասների միջև։ Երկու տեղամասեր կարող են օգտագործել բոլորովին տարբեր VLAN համարակալում և այնուամենայնիվ երթուղավորել միմյանց, և երկու տեղամասեր կարող են օգտագործել նույն VLAN համարակալում և այնուամենայնիվ չհասնել միմյանց։ Հասանելիությունը որոշող փոփոխականը հասցեների պլանն է։
Առասպելը՝ նույն VLAN ID-ները երկու ծայրերում
Հավատը գալիս է ողջամիտ տեղից։ Մեկ շենքի ներսում նույն VLAN-ի երկու պորտերը կարող են խոսել, իսկ տարբեր VLAN-ների երկու պորտերը՝ ոչ, ուստի VLAN համարը կարծես այն բանն է, ինչը տալիս է կապակցվածություն։ Երթուղային թունելի վրայով չկա ընդհանուր Ethernet սեգմենտ, որը պիտակը կարող է նկարագրել, և դարպասները երբեք չեն փոխանակում VLAN պիտակներ։
Այն, ինչ թունելին պետք է, չհատվող երկու հասցեային տիրույթներ և դրանց միջև երթևեկությունը թույլատրող քաղաքականություն է։ Փոխեք VLAN-ը ցանկացած գրասենյակում, և թունելը շարունակում է աշխատել, որովհետև թունելի կարգավորումներում ոչինչ չէր հղվում դրան։ Սա է այն փորձությունը, որը լուծում է վեճը՝ վերահամարակալեք VLAN-ը, թողեք հասցեները անփոփոխ և դիտեք՝ թունելը մնում է աշխատունակ։
Հակառակ փորձությունը նույնքան տեղեկատվական է։ Տվեք երկու գրասենյակներին նույն ենթացանցը, և նույն VLAN համարների ոչ մի քանակություն հասցեն միանշանակ չի դարձնի։
Ինչ է իրականում տեղափոխում թունելը
IPsec-ը պաշտպանում է IP փաթեթները հասցեներով, արձանագրություններով և պորտերով արտահայտված քաղաքականության համաձայն։ IPsec ճարտարապետությունը նկարագրում է այդ ընտրիչները IP շերտում, որը մի քանի շերտ բարձր է այն ամենից, ինչ նկարագրում է կոմուտատորի պիտակը։ Երբ փաթեթը մտնում է թունել, այն արդեն լքել է VLAN-ը՝ պիտակը սպառել է տեղական կոմուտատորը։
Քաղաքականության վրա հիմնված և երթուղու վրա հիմնված նախագծերը տարբերվում են նրանով, թե ինչպես են ընտրում թունելը, ոչ թե նրանով, թե ինչ կարող են տեղափոխել։ Քաղաքականության վրա հիմնված գործընկերը համեմատում է երթևեկության ընտրիչները և համապատասխան փաթեթներն ուղարկում թունել։ Երթուղու վրա հիմնված գործընկերը երթևեկությունը երթուղավորում է թունելի միջերեսում և որոշումը թողնում է երթուղային աղյուսակին։ Երկուսն էլ դեռ բանակցում են պաշտպանության ծավալի շուրջ, ուստի թունելին ուղղված երթուղին չի լայնացնում այն, ինչ գործընկերները համաձայնել են պաշտպանել։
Այս տարբերությունը բացատրում է հաճախ հանդիպող կիսափլուզումը. երթուղին կա, փաթեթները մտնում են թունել, և հեռավոր կողմը դեն է նետում դրանք, որովհետև բանակցված ընտրիչները երբեք չեն ներառել այդ նախածանցը։ Տեղադրված քաղաքականությունները կարդալը ցույց է տալիս, թե որ ծավալն է իրականում ուժի մեջ մտել։
ip xfrm policy
ip route show
swanctl --list-sasԱյն համընկնումը, որն իրականում կոտրում է
Տարբեր ենթացանցերով երկու գրասենյակներ մաքուր երթուղավորվում են թունելով, և նրանց VLAN համարները կապ չունեն։ Նույն ենթացանցով երկու գրասենյակներ՝ ոչ, որովհետև տրված հասցեի հարցումն ունի երկու հնարավոր իմաստ, և երթուղային աղյուսակը կարող է ընտրել միայն մեկը։ Մեկ տեղամասի վերահամարակալումը մաքուր լուծումն է, և սովորաբար ավելի էժան է, քան այլընտրանքները, երբ հաշվի առնվեն DNS-ի և հրային պատի փոփոխությունները։
| Office | Local VLAN | Subnet | Result |
|---|---|---|---|
| A | 40 | 10.31.0.0/24 | Routes normally |
| B | 55 | 10.62.0.0/24 | Routes normally |
| B after renumber | 40 | 10.31.0.0/24 | Ambiguous, tunnel cannot help |
Երբ վերահամարակալումն անհնար է, միտումնավոր թարգմանության նախագիծը կարող է յուրաքանչյուր կողմին ներկայացնել հասցեների տարբեր տեսքեր։ Դա նշանակում է մեկ առ մեկ քարտեզագրում, համապատասխան ընտրիչներ, թարգմանված տեսքն արտացոլող DNS գրառումներ և վերաշարադրումը հաղթահարող վերադարձի երթուղավորում։ Սա աջակցվող նախագիծ է իրական գործառնական ծախսով, և դա այն չէ, ինչ անում է VLAN ID-ի փոփոխությունը։
Երկու ծայրերում նույն VLAN համարները երբեմն ընդհանուր ձևանմուշի պատահականություն են, և այդ պատահականությունը աշխատող թունելի պատճառ համարելը տանում է սխալ փոփոխության, երբ ավելի ուշ ինչ-որ բան կոտրվում է։
Մեկ աշխատանք յուրաքանչյուր շերտի համար՝ գրառված
Տեղական կոմուտատորը որոշում է, թե որ պորտերն են կիսում հեռարձակման տիրույթը, և նրա VLAN համարակալումը տեղական հաշվառում է, որը ոչ մի այլ տեղամաս պետք չէ իմանալ։ Դարպասը նույնականացնում է գործընկերոջը և կիրառում բանակցված պաշտպանության ծավալը։ Երթուղային աղյուսակը որոշում է, թե ապակոդավորված փաթեթը ուր է գնում հետո, և մուտքի քաղաքականությունը որոշում է, թե արդյոք այդ փաթեթին ընդհանրապես պետք է թույլատրվեր։
Այդ աշխատանքները առանձին պահելն է, ինչը փոփոխությունները դարձնում է անվտանգ։ Մեկ գրասենյակում VLAN-ի վերահամարակալումը շոշափում է տեղական կոմուտատորը, DHCP տիրույթը և հնարավոր է հրային պատի գոտին, և չի շոշափում թունելը։ Նախածանցի փոփոխությունը շոշափում է թունելի ընտրիչները, երկու կողմերի երթուղիները և մուտքի քաղաքականությունը, և չի շոշափում կոմուտատորի պիտակները։
Վերադարձի երթուղիները, մասնավոր DNS-ը և հավելվածի ինքնության պահանջները կրկին առանձին աշխատանքներ են, և դրանցից ոչ մեկը չի գալիս մյուս տեղամասից VLAN համար պատճենելով։ Հասանելի նախածանցներ և թույլատրված ծառայություններ թվարկող նախագծային փաստաթուղթը դիմանում է կոմուտատորի փոխարինմանը. VLAN համարներ թվարկողը՝ ոչ։
Հաստատեք տեղական պատկերը bridge գործիքներով նախքան ենթադրելը, որ պիտակը հասնում է թունել։
bridge vlan show
ip -br addr
ip route get 10.62.0.20Երբ layer-2 ընդլայնումն է իրական պահանջը
Որոշ նախագծեր իսկապես կարիք ունեն Ethernet վարքագծի տեղամասերի միջև՝ հին հավելված, որը հենվում է հեռարձակման հայտնաբերման վրա, միգրացիա, որը պետք է պահպանի հասցեն, մինչ մեքենան տեղափոխվում է, կամ արձանագրություն, որը ներառում է layer-2 ենթադրություններ։ Այդ դեպքերը պահանջում են overlay կամ կամրջված ծառայություն, որը տեղափոխում է շրջանակները, և այդ ժամանակ VLAN անդամակցությունը, հանգույցների կանխումը և խափանումների կառավարումը դառնում են ծայրից ծայր հարցեր։
Սա շատ ավելի մեծ խափանումների տիրույթ է, և այն պետք է լինի միտումնավոր ընտրություն, այլ ոչ թե ֆայլերի համօգտագործումը աշխատեցնելու փորձի պատահական արդյունք։ Սովորական ֆայլային սերվերը, տվյալների բազան կամ վեբ հավելվածը պահանջում է լիազորված IP ուղի, և ավելի երջանիկ կլինի առանց դրա տակ ձգված հեռարձակման տիրույթի։
Գրեք VPN պայմանագիրը որպես հասանելի նախածանցներ գումարած թույլատրված ծառայություններ, և VLAN պիտակը գրանցեք միայն այնտեղ, որտեղ տեղական գործողություններին այն պետք է։ Այնուհետև յուրաքանչյուր գրասենյակ կարող է վերահամարակալել իր սեփական կոմուտացիան՝ առանց յուրաքանչյուր փոփոխությունը թունելի վերանախագծման վերածելու։