Клиент VLAN-дары немесе тегтелген trunk: дұрыс OpenVPN режимін таңдаңыз

Бірдей дерлік тұжырыммен екі сұраныс келеді: әрбір VPN клиентін таңдалған VLAN-ға орналастыру немесе бар VLAN trunk-ты VPN арқылы өткізу. Бұл екі түрлі өнім. OpenVPN-нің кірістірілген VLAN-ды білетін режимі бірінші сұраныс үшін коммутатор моделі және мөлдір тег тасымалының синонимі емес. Дұрыс емес таңдау конфигурацияланған болып көрінетін, бірақ сізге маңызды кадрларды үнсіз тастайтын жоба туғызады.

VLAN-ды білетін режим шын мәнінде не салады

Тек серверге арналған TAP орналастыруында vlan-tagging қосылған кезде демон өзінің TAP құрылғысын және әр қосылған клиентті ішкі коммутатордың порттары ретінде модельдейді. Клиент порттары тегсіз, ал олардың VLAN байланысы серверде әр клиенттің vlan-pvid контексті арқылы орнатылады, клиент жіберетін нәрсемен емес. Бұл — модельдің бүкіл мәні: мүшелік — аутентификацияланған серіктес туралы сервер жағының шешімі. Клиент профилінде оның қай VLAN-ға жататынын білу қажет емес.

Сервердің TAP жағы vlan-accept арқылы өзінің тегтелген немесе тегсіз қабылдау саясатын алады. Сол коммутатордың ішіндегі жіберу тек сәйкес VID-тер арасында жүреді, client-to-client орнатылған кезде де, сондықтан әртүрлі VLAN-дағы екі клиент екеуі де оған қосылса да, сервер арқылы бір-біріне жете алмайды.

Бұл модель — қатынау портының моделі. Клиенттен шығатын кадрлар тегсіз, ал байланысты сервер сәйкестік негізінде таңады. Ноутбуктен өз трафигін өзі тегтеуді сұрау — басқа жобаны сұрау.

Тағайындаулар аутентификацияланған клиент сәйкестігіне сүйенуі керек, клиент өзі туралы ұсынатын мәнге емес. Қалдырылған тағайындау да карантин күйі емес: клиент әдепкі PVID-ге түседі, сондықтан жоқ ccd жазбасы — үнсіз саясат шешімі, бейтарап емес.

Мөлдір trunk оның орнына нені талап етеді

Әлдеқашан тегтелген кадрларды шетінен шетіне тасымалдау VLAN-ды білетін өңдеуді өшіруден басталады. Коммутатор моделі мен тегтерді сақтау — баламалар, ал екеуін де қосу бір функцияға екіншісінің жұмысын істеуді тапсыру.

Өшіру — тек басы. Әр шеттегі көпір мен физикалық коммутатор порттары қандай VLAN-дарға рұқсат етілгені, қай тегтің жергілікті екені және тегсіз кадрлардың қалай өңделетіні туралы келісуі керек. Шексіз trunk-ты кеңейту сіз қоспақ болған екеуінен әлдеқайда көп хабар тарату доменін ашады.

Кадр өлшемі өз бюджетін қажет етеді. Тегтелген Ethernet кадры және инкапсуляция нұсқаулықтан көшірілетін пайдалы жүктеме санынан үлкен, ал маршрутталған туннельге жарамды MTU trunk жолының жұмыс істейтінін дәлелдемейді.

Жауапты шешетін үш шарт

Біріншіден, клиент платформасы TAP-ты мүлдем қолдай ма? Android мен iOS қолдамайды, ал macOS қолдауы шектеулі, сондықтан мобильді пайдаланушылар паркі VLAN-дар қалай реттелсе де, TAP жобаларының екеуін де жоққа шығарады. Маршрутталған TUN сессиясы Ethernet кадрларын емес, IP пакеттерін тасымалдайды, және сервер жағындағы ешбір VLAN конфигурациясы мұны өзгертпейді. Топологияны жобаламас бұрын паркті тексеріңіз, өйткені бұл шартты айналып өту мүмкін емес. Бұл — коммутатор жұмысы біткеннен кейін жиі анықталатын шарт та.

Екіншіден, VLAN-ды кім тағайындайды? Жауап «сервер, кім аутентификацияланғанына қарай» болса, коммутатор моделі сай келеді. Жауап «бар коммутатор инфрақұрылымы, әлдеқашан бар тегтермен» болса, сізге trunk жобасы қажет.

Үшіншіден, желінің қаншалықты бөлігі қолжетімді болуы керек? Коммутатор моделі әр клиентті құрылымы бойынша бір VLAN-да ұстайды. Trunk жобасы — көпір, ал дұрыс конфигурацияланбаған көпір бөлек қалуы керек хабар тарату домендерін қосады.

Жасаған таңдауыңызды тексеру

Рұқсат етілген VLAN-да болуы керек бір клиентті және болмауы керек бір клиентті қосыңыз, содан кейін сервердің өзінен емес, нақты шеттен сынаңыз. Сервер жағындағы қолжетімділік көпірдің немесе коммутатордың бар екенін дәлелдейді; клиенттің қай VLAN-ға түскенін дәлелдемейді.

ip -d link show tap0
bridge vlan show

Серверде екінші команда әр көпір портының VLAN мүшелігін, соның ішінде порттың тегтелгенін де көрсетеді. Екінші деңгейден жоғарыны жөндеуге кіріспес бұрын оны көздеген тағайындаумен салыстырыңыз.

Орналастыру екі жобаның қайсысын қолданатынын жазып қойыңыз. «VLAN-ды білетін» деген жазба екіұшты, ал келесі инженер өзі бірінші үйренген нұсқаны болжайды. OpenVPN VLAN анықтамалығыкоммутатордың әрекетін және әр клиенттің контекстін анықтайды, және қай модельді іске қосып жатқаныңызды растаудың ең қысқа жолы — осы.