Jembatan TAP untuk satu VLAN: pasang subinterface

Klien TAP yang pernah mencapai LAN sebelum VLAN dan berhenti sesudahnya biasanya memiliki jembatan yang masih memuat antarmuka yang salah. Penerusan frame tidak menambahkan tag VLAN, jadi frame klien tanpa tag yang dikirim ke uplink fisik tiba tanpa tag di port trunk dan entah dibuang atau mendarat di VLAN native. Keberadaan subinterface di suatu tempat pada host tidak mengubah apa pun pada daftar anggota jembatan. Itulah mitos yang harus dibunuh lebih dulu: tag diterapkan oleh antarmuka yang memilikinya, bukan oleh host hanya karena host punya satu.

Satu perluasan VLAN berarti satu domain layer-2, dan jembatan harus bergabung dengan domain itu alih-alih trunk yang membawa semuanya.

Tag tidak muncul karena Anda menjembatani trunk

Ambil uplink Linux eno1 yang membawa VLAN 120 ke switch terkelola. Rancangan yang bekerja untuk satu VLAN adalah tap_vpn dijembatani ke br_vpn, dengan br_vpn memuat eno1.120 alih-alih eno1. Subinterface VLAN menerapkan tag saat keluar dan melepasnya saat masuk, jadi jembatan hanya melihat frame tanpa tag untuk satu VLAN itu. Pasang antarmuka fisik di jembatan sebagai gantinya, dan frame yang sama keluar tanpa tag di port trunk, yang bukan yang Anda rencanakan.

Menjembatani trunk dengan penyaringan VLAN dimatikan bukan jalan pintas menuju hasil yang sama. Itu memberikan setiap VLAN pada kabel itu kepada jembatan, termasuk yang tidak seharusnya dilihat klien.

Dua rancangan sah, satu pemilik tag

Jembatan yang sadar VLAN adalah susunan sah lainnya: trunk masuk ke port jembatan, dan keanggotaan per port, PVID, serta pengaturan keluaran bertag menentukan VLAN mana yang lolos. Di sana jembatan memiliki penandaan, dan menambahkan subinterface VLAN di bawahnya akan memasang pemilik kedua untuk satu tugas. Kedua rancangan bekerja; potongan dari keduanya tidak. Putuskan objek mana yang menerapkan tag sebelum menyunting daftar keanggotaan apa pun.

Port switch harus sesuai dengan rancangan yang Anda pilih. Port access yang membawa VLAN tanpa tag berpasangan dengan antarmuka fisik sebagai sambungan, sedangkan port trunk berpasangan dengan subinterface bertag. Menambahkan subinterface ke port access yang tidak cocok tidak memperbaiki apa pun.

Pindahkan alamat bersama keanggotaan

Dalam rancangan subinterface, alamat host untuk subnet yang dijembatani menjadi milik br_vpn, bukan port VLAN yang diperbudak tempat alamat itu mungkin pernah berada. Membiarkannya di port bisa tampak bekerja lalu berperilaku aneh, karena jembatan meneruskan di layer 2 sementara alamat duduk pada anggota. Pindahkan sebagai bagian dari perubahan keanggotaan, bukan sebagai percobaan terpisah.

Memindahkan alamat dapat memutus jalur administrasi. Bangun rute pemulihan yang independen, simpan konfigurasi yang ada melalui manajer jaringan milik distribusi itu sendiri, dan hindari skrip awal yang bersaing yang akan melawannya setelah peningkatan berikutnya.

Pengalamatan klien memerlukan kehati-hatian yang sama. VPN yang dijembatani menempatkan klien di subnet yang diperluas, jadi kumpulan alamat tidak boleh tumpang tindih dengan sewa atau penetapan statis lain, dan susunan yang dilayani DHCP haruslah yang benar-benar diharapkan LAN. Jalur layer-2 yang bekerja tidak mengatakan apa pun tentang alamat ganda.

Verifikasi keanggotaan sebelum menyalahkan rute

Baca keadaan saat ini alih-alih yang dimaksudkan: ip -d link show dev eno1.120 mencetak id VLAN dan induknya, ip link show master br_vpn mendaftar anggota jembatan, dan bridge vlan show melaporkan keanggotaan per port serta perlakuan keluaran. Dalam rancangan subinterface, pastikan perangkat TAP dan perangkat VLAN adalah anggotanya. Pada jembatan yang sadar VLAN, periksa kebijakan port itu sendiri, karena keberadaan jembatan tidak membuktikan apa yang diizinkannya.

Lalu uji satu klien yang diizinkan terhadap layanan di VLAN itu, dengan mengingat bahwa ARP, kebijakan firewall, dan jalur balasan adalah urusan terpisah dari keanggotaan. Jika Anda menangkap paket, perhatikan bahwa offload perangkat keras dapat mengubah tempat tag VLAN muncul dalam jejak. Jaga pula cakupannya jujur: klien TUN yang dirutekan tidak menjadi anggota VLAN oleh perubahan jembatan apa pun, dan lalu lintas klien-ke-klien tidak menggantikan sambungan host ke VLAN.