VLAN-kerfi skjólstæðinga eða merktur trunk: veldu rétta OpenVPN-stillingu

Tvær beiðnir berast með næstum sömu orðalagi: setja hvern VPN-skjólstæðing í valið VLAN, eða flytja fyrirliggjandi VLAN-trunk yfir VPNið. Þetta eru mismunandi vörur. Innbyggða VLAN-meðvitaða stilling OpenVPN er rofamódel fyrir fyrri beiðnina og er ekki samheiti yfir gagnsæa merkjaflutninga. Rangt val framleiðir hönnun sem lítur út fyrir að vera stillt og sleppir hljóðlega þeim ramma sem þér þótti vænt um.

Hvað VLAN-meðvitaða stillingin byggir í raun

Þegar vlan-tagging er virkt í TAP-uppsetningu eingöngu fyrir þjón, módelar dæmonan TAP-tækið sitt og hvern tengdan skjólstæðing sem port á innri rofa. Skjólstæðingsport eru ómerkt, og VLAN-tengsl þeirra eru stillt á þjóninum í gegnum vlan-pvid-samhengi hvers skjólstæðings, ekki af því sem skjólstæðingurinn sendir. Það er allur tilgangur módelsins: aðild er ákvörðun á þjónshlið um sannreyndan jafningja. Ekkert í stillingum skjólstæðingsins þarf að vita hvaða VLAN hann tilheyrir.

TAP-hlið þjónsins fær sína eigin móttökustefnu fyrir merkt eða ómerkt ramma í gegnum vlan-accept. Framleiðsla innan þess rofa á sér aðeins stað milli samsvarandi VID-a, líka þegar client-to-client er stillt, þannig að tveir skjólstæðingar í mismunandi VLAN geta ekki náð hvor til annars í gegnum þjóninn þótt báðir séu tengdir honum.

Þetta módel er aðgangsportamódel. Rammar sem fara frá skjólstæðingi eru ómerktir, og þjónninn leggur tengslin á út frá auðkenni. Að biðja fartölvuna að merkja eigin umferð er að biðja um aðra hönnun.

Úthlutanir verða að fylgja sannreyndu auðkenni skjólstæðingsins, ekki gildi sem hann býður um sjálfan sig. Útilokuð úthlutun er heldur ekki sóttkvíarstaða: skjólstæðingurinn lendir á sjálfgefnu PVID, svo færsla sem vantar í ccd er hljóðlaus stefnuákvörðun en ekki hlutlaus.

Hvað gagnsær trunk krefst í staðinn

Að flytja þegar merktu rammana enda til enda hefst á að slökkva á VLAN-meðvitaðri vinnslu. Rofamódelið og varðveisla merkja eru valkostir, og að virkja bæði biður eina eiginleika að vinna vinnu hins.

Slökkt er aðeins byrjunin. Brúin á hvorum enda og líkamleg rofaport verða að vera sammála um hvaða VLAN eru leyfð, hvaða merki er innfædd og hvernig ómerktir rammar eru meðhöndlaðir. Að teygja óheftan trunk afhjúpar margfalt fleiri dreifisvæði en þau tvö sem þú ætlaðir að tengja.

Rammastærð þarf sitt eigið fjárhagsáætlun. Merktur Ethernet-rammi auk umbúða er stærri en gagnslutnings-talan sem fólk afritar úr leiðbeiningum, og MTU sem dugði fyrir beint túnel er ekki sönnun þess að trunk-leið virki.

Þrjú skilyrði sem ráða svarinu

Í fyrsta lagi, styður skjólstæðingskerfið TAP yfirleitt? Android og iOS gera það ekki, og stuðningur macOS er takmarkaður, svo hópur farsímnotenda útilokar hvora hönnunina sem er með TAP, sama hvernig VLANunum er raðað. Beint TUN-session flytur IP-pakka, ekki Ethernet-ramma, og engin VLAN-stilling á þjónshlið breytir því. Athugaðu hópinn áður en þú hannar netskipulagið, því þetta skilyrði er það sem ekki er hægt að komast hjá. Það er líka skilyrðið sem oftast uppgötvast eftir að rofavinnunni er lokið.

Í öðru lagi, hver úthlutar VLANinu? Ef svarið er «þjónninn, út frá því hver sannreyndi sig», hentar rofamódelið. Ef svarið er «fyrirliggjandi rofainnviðir, með merkjum sem þegar eru til», þarftu trunk-hönnunina.

Í þriðja lagi, hversu stór hluti netsins á að vera aðgengilegur? Rofamódelið heldur hverjum skjólstæðingi í einu VLAN af byggingu. Trunk-hönnunin er brú, og rangt stillt brú tengir dreifisvæði sem áttu að vera aðskilin.

Að prófa valið sem þú tókst

Tengdu einn skjólstæðing sem á að vera í leyfðu VLAN og einn sem á ekki að vera, og prófaðu svo frá raunverulega endanum frekar en frá þjóninum sjálfum. Aðgengi frá þjónshlið sannar að brúin eða rofinn sé til; það sannar ekki í hvaða VLAN skjólstæðingurinn lenti.

ip -d link show tap0
bridge vlan show

Á þjóninum sýnir seinni skipunin VLAN-aðild hvers brúarports, þar á meðal hvort portið er merkt. Berðu það saman við úthlutunina sem þú ætlaðir þér áður en þú villuleitar eitthvað fyrir ofan lag tvö.

Skráðu hvora hönnunina uppsetningin notar. Athugasemd sem segir «VLAN-meðvitað» er tvíræð, og næsti verkfræðingur mun gera ráð fyrir þeirri sem hann lærði fyrst. OpenVPN VLAN-viðmiðuninskilgreinir hegðun rofans og samhengi hvers skjólstæðings, og það er stysta leiðin til að staðfesta hvaða módel þú ert að keyra.