სჭირდებათ ორ ადგილს ერთი და იგივე VLAN ID საიტის VPN-ისთვის?
ერთი და იგივე VLAN ID ვერ გამოასწორებს მარშრუტიზებულ საიტის VPN-ს: გვირაბი IP პრეფიქსებს გადააქვს, ამიტომ ხელმისაწვდომობას განსაზღვრავს მისამართების გეგმა და სელექტორები, და არა კომუტატორის ტეგები.
ერთი და იგივე VLAN ნომრები ორ ოფისში თითქოს უნდა დაეხმაროს საიტებს შორის გვირაბს, და ის არაფერს ცვლის იმაში, რასაც გვირაბი გადააქვს. VLAN ID აღნიშნავს Ethernet-ის გამაუწყებელ დომენს ერთი შენობის შიგნით; გვირაბი IP პაკეტებს გადასცემს კარიბჭეებს შორის. ორ ადგილს შეიძლება ჰქონდეს სრულიად განსხვავებული VLAN ნუმერაცია და მაინც ერთმანეთისკენ მარშრუტიზაცია, და ორ ადგილს შეიძლება ჰქონდეს იდენტური VLAN ნუმერაცია და მაინც ვერ მიაღწიოს ერთმანეთს. ცვლადი, რომელიც განსაზღვრავს ხელმისაწვდომობას, მისამართების გეგმაა.
მითი: იგივე VLAN ID ორივე ბოლოში
რწმენა გონივრული ადგილიდან მოდის. ერთი შენობის შიგნით ერთი და იმავე VLAN-ის ორ პორტს შეუძლია ისაუბროს, ხოლო სხვადასხვა VLAN-ის ორ პორტს არ შეუძლია, ამიტომ VLAN ნომერი ჩანს როგორც ის, რაც კავშირს აძლევს. მარშრუტიზებული გვირაბის გავლით არ არსებობს საერთო Ethernet სეგმენტი, რომელსაც ტეგი აღწერს, და კარიბჭეები არასოდეს ცვლიან VLAN ლეიბლებს.
გვირაბს სჭირდება ორი არაგადაფარებული მისამართების სფერო და პოლიტიკა, რომელიც მათ შორის ტრაფიკს უშვებს. შეცვალეთ VLAN ნებისმიერ ოფისში და გვირაბი აგრძელებს მუშაობას, რადგან გვირაბის კონფიგურაციაში არაფერი მიუთითებდა მასზე. ეს არის ტესტი, რომელიც წყვეტს კამათს: გადანომრეთ VLAN, დატოვეთ მისამართები უცვლელი და დააკვირდით, გაგრძელდება თუ არა გვირაბი.
საპირისპირო ტესტი თანაბრად სასწავლებელია. მიეცით ორივე ოფისს ერთი და იგივე ქვექსელი და VLAN ნომრების არც ერთი რაოდენობა არ გახდის მისამართს ცალსახას.
რას გადააქვს გვირაბი სინამდვილეში
IPsec იცავს IP პაკეტებს პოლიტიკის მიხედვით, რომელიც გამოხატულია მისამართებში, პროტოკოლებსა და პორტებში. IPsec არქიტექტურა აღწერს ამ სელექტორებს IP ფენაზე, რომელიც რამდენიმე ფენით მაღლაა ყველაფერზე, რასაც კომუტატორის ტეგი აღწერს. როცა პაკეტი გვირაბში შედის, მან უკვე დატოვა VLAN; ტეგი ლოკალურმა კომუტატორმა მოიხმარა.
პოლიტიკაზე დაფუძნებული და მარშრუტზე დაფუძნებული დიზაინები განსხვავდებიან იმით, თუ როგორ ირჩევენ გვირაბს, და არა იმით, რისი გადაცემაც შეუძლიათ. პოლიტიკაზე დაფუძნებული პირი ადარებს ტრაფიკის სელექტორებს და შესაბამის პაკეტებს გვირაბში აგზავნის. მარშრუტზე დაფუძნებული პირი ტრაფიკს გვირაბის ინტერფეისზე მარშრუტიზებს და გადაწყვეტილებას მარშრუტიზაციის ცხრილს უტოვებს. ორივე კვლავ აწარმოებს მოლაპარაკებას დაცვის არეზე, ამიტომ გვირაბზე მიმანიშნებელი მარშრუტი არ აფართოებს იმას, რაზეც პირები დაცვაზე შეთანხმდნენ.
ეს განსხვავება ხსნის გავრცელებულ ნახევარ-მარცხს: მარშრუტი არსებობს, პაკეტები გვირაბში შედის და მოპირდაპირე მხარე მათ ყრის, რადგან შეთანხმებული სელექტორები არასოდეს მოიცავდნენ ამ პრეფიქსს. დაყენებული პოლიტიკების კითხვა გვიჩვენებს, რომელი არე ფაქტობრივად ამოქმედდა.
ip xfrm policy
ip route show
swanctl --list-sasგადაფარვა, რომელიც ნამდვილად ტეხს
სხვადასხვა ქვექსელის მქონე ორი ოფისი სუფთად მარშრუტიზდება გვირაბით და მათი VLAN ნომრები უმნიშვნელოა. ერთი და იმავე ქვექსელის მქონე ორი ოფისი ასე არ იქცევა, რადგან მოცემულ მისამართზე მოთხოვნას ორი შესაძლო მნიშვნელობა აქვს და მარშრუტიზაციის ცხრილს მხოლოდ ერთის არჩევა შეუძლია. ერთი ადგილის გადანომვრა სუფთა გადაწყვეტაა და, როგორც წესი, უფრო იაფია ალტერნატივებზე, როცა DNS-ისა და ფაირვოლის ცვლილებებს ჩავთვლით.
| Office | Local VLAN | Subnet | Result |
|---|---|---|---|
| A | 40 | 10.31.0.0/24 | Routes normally |
| B | 55 | 10.62.0.0/24 | Routes normally |
| B after renumber | 40 | 10.31.0.0/24 | Ambiguous, tunnel cannot help |
როცა გადანომვრა შეუძლებელია, განზრახ თარგმანის დიზაინს შეუძლია თითოეულ მხარეს წარუდგინოს მისამართების განსხვავებული ხედები. ეს ნიშნავს ერთი-ერთზე რუკებას, შესაბამის სელექტორებს, თარგმნილ ხედს ამსახველ DNS ჩანაწერებს და გადაწერას გადარჩენილ დაბრუნების მარშრუტიზაციას. ეს მხარდაჭერილი დიზაინია რეალური ოპერაციული ხარჯით და ეს არ არის ის, რასაც VLAN ID-ის შეცვლა აკეთებს.
იგივე VLAN ნომრები ორივე ბოლოში ზოგჯერ საერთო შაბლონის შემთხვევითობაა და ამ შემთხვევითობის მუშა გვირაბის მიზეზად მიჩნევა იწვევს არასწორ ცვლილებას, როცა მოგვიანებით რაღაც ფუჭდება.
თითო საქმე თითო ფენაზე, დაწერილი
ლოკალური კომუტატორი განსაზღვრავს, რომელი პორტები იზიარებენ გამაუწყებელ დომენს და მისი VLAN ნუმერაცია ლოკალური აღრიცხვაა, რომლის ცოდნა არც ერთ სხვა ადგილს არ სჭირდება. კარიბჭე ამოწმებს პირს და ახორციელებს შეთანხმებულ დაცვის არეს. მარშრუტიზაციის ცხრილი განსაზღვრავს, სად მიდის გაშიფრული პაკეტი შემდეგ, ხოლო წვდომის პოლიტიკა განსაზღვრავს, საერთოდ უნდა ყოფილიყო თუ არა ეს პაკეტი დაშვებული.
სწორედ ამ საქმეების განცალკევება ხდის ცვლილებებს უსაფრთხოს. ერთ ოფისში VLAN-ის გადანომვრა ეხება ლოკალურ კომუტატორს, DHCP-ის არეს და შესაძლოა ფაირვოლის ზონას, და არ ეხება გვირაბს. პრეფიქსის ცვლილება ეხება გვირაბის სელექტორებს, ორივე მხარის მარშრუტებს და წვდომის პოლიტიკას, და არ ეხება კომუტატორის ტეგებს.
დაბრუნების მარშრუტები, კერძო DNS და აპლიკაციის იდენტობის მოთხოვნები კვლავ ცალკე საქმეებია და არც ერთი მათგანი არ მოდის სხვა ადგილიდან VLAN ნომრის კოპირებით. დიზაინის დოკუმენტი, რომელიც ჩამოთვლის ხელმისაწვდომ პრეფიქსებსა და დაშვებულ სერვისებს, გადაურჩება კომუტატორის განახლებას; ის, რომელიც VLAN ნომრებს ჩამოთვლის, ვერ გადაურჩება.
დაადასტურეთ ლოკალური სურათი ხიდის ხელსაწყოებით, სანამ ჩათვლით, რომ ტეგი გვირაბს აღწევს.
bridge vlan show
ip -br addr
ip route get 10.62.0.20როცა layer-2-ის გაფართოება ნამდვილი მოთხოვნაა
ზოგიერთ დიზაინს ნამდვილად სჭირდება Ethernet-ის ქცევა ადგილებს შორის: ძველი აპლიკაცია, რომელიც გამაუწყებელ აღმოჩენას ეყრდნობა, მიგრაცია, რომელმაც უნდა შეინარჩუნოს მისამართი, სანამ მანქანა გადაადგილდება, ან პროტოკოლი, რომელიც layer-2 ვარაუდებს შეიცავს. ასეთი შემთხვევები მოითხოვს overlay-ს ან ხიდურ სერვისს, რომელიც კადრებს გადააქვს, და მაშინ VLAN წევრობა, მარყუჟების პრევენცია და უკმარისობების დამუშავება ბოლოდან ბოლომდე საკითხები ხდება.
ეს გაცილებით დიდი უკმარისობის დომენია და ეს უნდა იყოს განზრახ არჩევანი და არა ფაილების გაზიარების ამოქმედების მცდელობის შემთხვევითი შედეგი. ჩვეულებრივ ფაილურ სერვერს, მონაცემთა ბაზას ან ვებ აპლიკაციას სჭირდება ავტორიზებული IP გზა და უფრო ბედნიერი იქნება მის ქვეშ გაწელილი გამაუწყებელი დომენის გარეშე.
ჩაწერეთ VPN კონტრაქტი როგორც ხელმისაწვდომი პრეფიქსები პლუს დაშვებული სერვისები და VLAN ტეგი ჩაიწერეთ მხოლოდ იქ, სადაც ლოკალურ ოპერაციებს სჭირდება. მაშინ თითოეულ ოფისს შეეძლება საკუთარი კომუტაციის გადანომვრა იმის გარეშე, რომ ყოველი ცვლილება გვირაბის გადაპროექტებად აქციოს.