Þurfa tveir staðir sömu VLAN ID fyrir staðar-VPN?

Sömu VLAN-númer á tveimur skrifstofum virðast eiga að hjálpa göngum milli staða, og þau breyta engu um það sem göngin flytja. VLAN ID merkir Ethernet-útvarpssvæði innan einnar byggingar; göngin senda IP-pakka milli gáttanna. Tveir staðir geta notað gjörólíka VLAN-númerun og samt beint hvor til annars, og tveir staðir geta notað sömu VLAN-númerun og samt ekki náð hvort til annars. Breytan sem ræður aðgengi er heimilisfangaskipulagið.

Goðsögnin: sömu VLAN ID í báðum endum

Trúin kemur frá skynsamlegum stað. Innan einnar byggingar geta tveir portar í sama VLAN talað saman og tveir portar í mismunandi VLAN ekki, svo VLAN-númerið virðist vera það sem veitir tengingu. Yfir beinum göngum er ekkert sameiginlegt Ethernet-hluta sem merkið getur lýst, og gáttirnar skiptast aldrei á VLAN-merkjum.

Það sem göngin þurfa er par heimilisfangssviða sem skarast ekki og stefna sem leyfir umferðina á milli þeirra. Breyttu VLAN á hvaða skrifstofu sem er og göngin halda áfram að virka, því ekkert í stillingum gagnanna vísaði í það. Þetta er prófið sem leysir deiluna: endurnúmeraðu VLAN, láttu heimilisföngin ósnortin og fylgstu með hvort göngin haldist.

Öfugt próf er jafn upplýsandi. Gefðu báðum skrifstofunum sama undirnet og enginn fjöldi samhljóðandi VLAN-númera mun gera heimilisfang ótvírætt.

Hvað göngin flytja í raun

IPsec verndar IP-pakka samkvæmt stefnu sem er tjáð í heimilisföngum, samskiptareglum og portum. Bygging IPsec lýsir þeim völum á IP-laginu, sem er nokkrum lögum ofan við hvað sem merki rofans lýsir. Þegar pakki fer inn í göngin hefur hann þegar yfirgefið VLAN; merkið hefur verið notað af staðbundnum rofa.

Stefnubundin og leiðarbundin hönnun er frábrugðin að því hvernig hún velur göngin, ekki að því hvað hún getur flutt. Stefnubundinn jafningi passar við umferðarvala og sendir samsvarandi pakka inn í göngin. Leiðarbundinn jafningi beinir umferð á gangatengi og lætur beiningatöfluna ráða. Báðir semja enn um verndarsvið, svo leið sem bendir á göngin víkkar ekki það sem jafningjarnir samþykktu að vernda.

Sá munur skýrir algengt hálft bilun: leiðin er til, pakkar fara inn í göngin og fjarlæga hliðin hendir þeim því samningsbundnu valarnir innihéldu aldrei það forskéyti. Að lesa uppsettu stefnurnar sýnir hvaða svið tók í raun gildi.

ip xfrm policy
ip route show
swanctl --list-sas

Skörunin sem brýtur í raun

Tvær skrifstofur með ólík undirnet beina sér hreint í gegnum göng og VLAN-númer þeirra skipta ekki máli. Tvær skrifstofur með sama undirnet gera það ekki, því beiðni um tiltekið heimilisfang hefur tvo mögulega merkingar og beiningataflan getur aðeins valið eitt. Endurnúmerun eins staðar er hreina lausnin og er venjulega ódýrari en valkostirnir þegar DNS- og eldveggsbreytingarnar eru taldar með.

Þegar endurnúmerun er ómöguleg getur viljandi þýðingarhönnun sýnt hvorri hlið fyrir sig ólík heimilisfangssýn. Það þýðir einn-á-einn vörpun, samsvarandi vala, DNS-færslur sem endurspegla þýddu sýnina og bakbeiningu sem lifir endurskrifunina. Þetta er studd hönnun með raunverulegum rekstrarkostnaði, og það er ekki það sem breyting á VLAN ID gerir.

Sömu VLAN-númer í báðum endum eru stundum tilviljun frá sameiginlegu sniðmáti, og að meðhöndla þá tilviljun sem orsök virkra ganga leiðir til röngu breytingarinnar þegar eitthvað brotnar síðar.

Eitt verk á hvert lag, skrifað niður

Staðbundni rofinn ræður því hvaða portar deila útvarpssvæði, og VLAN-númerun hans er staðbundin bókhald sem enginn annar staður þarf að þekkja. Gáttin sannar jafningjann og framfylgir samningsbundnu verndarsviði. Beiningataflan ræður því hvert afkóðaði pakkinn fer næst, og aðgangsstefnan ræður því hvort leyfa hefði átt þann pakka yfirleitt.

Að halda þessum verkum aðskildum er það sem gerir breytingar öruggar. Endurnúmerun VLAN á einni skrifstofu snertir staðbundna rofann, DHCP-sviðið og hugsanlega eldveggssvæði, og snertir ekki göngin. Forskeytisbreyting snertir vala ganganna, leiðirnar á báðum hliðum og aðgangsstefnuna, og snertir ekki merki rofans.

Bakleiðir, einkatengdur DNS og kröfur um auðkenni forrita eru aftur aðskilin verk, og ekkert þeirra kemur með því að afrita VLAN-númer frá hinum staðnum. Hönnunarskjal sem listar aðgengileg forskéyti og leyfðar þjónustur lifir rofaskipti; eitt sem listar VLAN-númer gerir það ekki.

Staðfestu staðbundnu myndina með brúartækjunum áður en þú gerir ráð fyrir að merki nái til ganganna.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Þegar layer-2-lenging er raunverulega krafan

Sumar hannanir þurfa sannarlega Ethernet-hegðun milli staða: arfgerð forrit sem treystir á útvarpsuppgötvun, flutningur sem verður að halda heimilisfangi meðan vél flyst, eða samskiptaregla sem felur í sér layer-2-forsendur. Slík tilvik krefjast yfirlags eða brúaðrar þjónustu sem flytur rammana, og þá verða VLAN-aðild, lykkjavörn og bilanaumgangur málefni frá enda til enda.

Þetta er miklu stærra bilanasvið, og það ætti að vera viljandi val frekar en tilviljunarkennd afleiðing tilraunar til að koma skráardeilingu í gang. Venjuleg skráaþjónn, gagnagrunnur eða vefforrit þarf heimilaða IP-leið og verður hamingjusamari án útdregins útvarpssvæðis undir sér.

Skrifaðu VPN-samninginn sem aðgengileg forskéyti auk leyfðra þjónusta, og skráðu VLAN-merkið aðeins þar sem staðbundnar aðgerðir þurfa þess. Þá getur hver skrifstofa endurnúmerað sína eigin rofstýringu án þess að breyta hverri breytingu í endurhönnun ganganna.