კლიენტის VLAN-ები თუ მონიშნული trunk: აირჩიეთ სწორი OpenVPN რეჟიმი

ორი მოთხოვნა თითქმის ერთი და იმავე ფორმულირებით მოდის: ყოველი VPN კლიენტი მოათავსეთ არჩეულ VLAN-ში, ან გაატარეთ არსებული VLAN trunk VPN-ის გავლით. ეს ორი სხვადასხვა პროდუქტია. OpenVPN-ის ჩაშენებული VLAN-ის მცოდნე რეჟიმი კომუტატორის მოდელია პირველი მოთხოვნისთვის და არ არის გამჭვირვალე ტეგების ტრანსპორტის სინონიმი. არასწორი არჩევანი ქმნის დიზაინს, რომელიც კონფიგურირებულად გამოიყურება და ჩუმად აგდებს იმ კადრებს, რომლებიც თქვენთვის მნიშვნელოვანი იყო.

რას აშენებს სინამდვილეში VLAN-ის მცოდნე რეჟიმი

როცა vlan-tagging ჩართულია მხოლოდ სერვერისთვის TAP განლაგებაში, დემონი თავის TAP მოწყობილობას და ყოველ დაკავშირებულ კლიენტს შიდა კომუტატორის პორტებად აღწერს. კლიენტის პორტები უტეგოა და მათი VLAN კავშირი სერვერზე, თითოეული კლიენტის vlan-pvid კონტექსტით დგინდება და არა იმით, რასაც კლიენტი აგზავნის. ეს არის მოდელის მთელი აზრი: წევრობა სერვერის მხრიდან მიღებული გადაწყვეტილებაა ავთენტიფიცირებულ პარტნიორზე. კლიენტის პროფილში არაფერს არ სჭირდება იცოდეს, რომელ VLAN-ს მიეკუთვნება.

სერვერის TAP მხარე vlan-accept-ის მეშვეობით იღებს საკუთარ ტეგიანი ან უტეგო მიღების პოლიტიკას. ამ კომუტატორის შიგნით გადაცემა ხდება მხოლოდ შესაბამის VID-ებს შორის, მაშინაც კი, როცა client-to-client დაყენებულია, ამიტომ სხვადასხვა VLAN-ში მყოფი ორი კლიენტი ვერ მიაღწევს ერთმანეთს სერვერის გავლით, თუმცა ორივე მასზეა დაკავშირებული.

ეს მოდელი წვდომის პორტის მოდელია. კლიენტისგან გამავალი კადრები უტეგოა და კავშირს სერვერი იდენტობის საფუძველზე აწესებს. ლეპტოპს სთხოვოთ საკუთარი ტრაფიკის თვით ტეგირება, ნიშნავს სხვა დიზაინის თხოვნას.

მინიჭებები უნდა მიჰყვებოდეს ავთენტიფიცირებული კლიენტის იდენტობას და არა მნიშვნელობას, რომელსაც კლიენტი საკუთარ თავზე გვთავაზობს. გამოტოვებული მინიჭება კარანტინის მდგომარეობა არ არის: კლიენტი ნაგულისხმევ PVID-ზე ხვდება, ამიტომ ccd ჩანაწერის არქონა ჩუმი პოლიტიკის გადაწყვეტილებაა და არა ნეიტრალური.

რას მოითხოვს სამაგიეროდ გამჭვირვალე trunk

უკვე ტეგირებული კადრების ბოლოდან ბოლომდე გადატანა იწყება VLAN-ის მცოდნე დამუშავების გამორთვით. კომუტატორის მოდელი და ტეგების შენარჩუნება ალტერნატივებია და ორივეს ჩართვა ერთ ფუნქციას სთხოვს, შეასრულოს მეორის სამუშაო.

გამორთვა მხოლოდ დასაწყისია. თითოეული ბოლოს ხიდი და კომუტატორის ფიზიკური პორტები უნდა შეთანხმდნენ, რომელი VLAN-ებია დაშვებული, რომელი ტეგია ბუნებრივი და როგორ მუშავდება უტეგო კადრები. შეუზღუდავი trunk-ის გაფართოება გამოაჩენს გაცილებით მეტ მაუწყებლობის დომენს, ვიდრე ის ორი, რომელთა დაკავშირებაც გსურდათ.

კადრის ზომას საკუთარი ბიუჯეტი სჭირდება. ტეგირებული Ethernet კადრი პლუს ინკაფსულაცია აღემატება იმ პეილოუდის რიცხვს, რომელსაც ხალხი სახელმძღვანელოდან აკოპირებს, და მარშრუტიზებული გვირაბისთვის შესაფერისი MTU არ არის იმის მტკიცებულება, რომ trunk-ის გზა მუშაობს.

სამი პირობა, რომელიც წყვეტს პასუხს

პირველი, მხარს უჭერს თუ არა კლიენტის პლატფორმა TAP-ს საერთოდ? Android და iOS არ უჭერენ მხარს, macOS-ის მხარდაჭერა კი შეზღუდულია, ამიტომ მობილური მომხმარებლების პარკი გამორიცხავს TAP-ის ორივე დიზაინს, როგორც არ უნდა იყოს VLAN-ები დალაგებული. მარშრუტიზებული TUN სესია IP პაკეტებს გადააქვს და არა Ethernet კადრებს, და ამას სერვერის მხრიდან არც ერთი VLAN კონფიგურაცია არ ცვლის. ტოპოლოგიის დაპროექტებამდე შეამოწმეთ პარკი, რადგან სწორედ ეს პირობაა გვერდის ავლის შეუძლებელი. ესეც ის პირობაა, რომელიც ყველაზე ხშირად კომუტატორზე მუშაობის დასრულების შემდეგ აღმოჩნდება.

მეორე, ვინ ანიჭებს VLAN-ს? თუ პასუხია «სერვერი, იმის მიხედვით, თუ ვინ ავთენტიფიცირდა», კომუტატორის მოდელი შეესაბამება. თუ პასუხია «არსებული კომუტატორის ინფრასტრუქტურა, უკვე არსებული ტეგებით», გჭირდებათ trunk-ის დიზაინი.

მესამე, ქსელის რა ნაწილი უნდა იყოს ხელმისაწვდომი? კომუტატორის მოდელი კონსტრუქციით თითოეულ კლიენტს ერთ VLAN-ში ინახავს. trunk-ის დიზაინი ხიდია და არასწორად კონფიგურირებული ხიდი აერთებს მაუწყებლობის დომენებს, რომლებიც ცალკე უნდა დარჩენილიყო.

თქვენი არჩევანის შემოწმება

დააკავშირეთ ერთი კლიენტი, რომელიც უნდა იყოს დაშვებულ VLAN-ში და ერთი, რომელიც არ უნდა იყოს, შემდეგ შეამოწმეთ რეალური ბოლოდან და არა თავად სერვერიდან. სერვერის მხრიდან ხელმისაწვდომობა ამტკიცებს, რომ ხიდი ან კომუტატორი არსებობს; ის არ ამტკიცებს, რომელ VLAN-ში მოხვდა კლიენტი.

ip -d link show tap0
bridge vlan show

სერვერზე მეორე ბრძანება აჩვენებს თითოეული ხიდის პორტის VLAN წევრობას, მათ შორის არის თუ არა პორტი ტეგირებული. შეადარეთ ის თქვენს განზრახ მინიჭებას, სანამ მეორე დონის ზემოთ რაიმეს გამართავთ.

ჩაწერეთ, განლაგება ორი დიზაინიდან რომელს იყენებს. შენიშვნა «VLAN-ის მცოდნე» ორაზროვანია და შემდეგი ინჟინერი იმას ჩათვლის, რაც პირველად ისწავლა. OpenVPN-ის VLAN ცნობარიგანსაზღვრავს კომუტატორის ქცევას და თითოეული კლიენტის კონტექსტს და ეს არის უმოკლესი გზა დაადასტუროთ, რომელ მოდელს ატარებთ.