Бір VLAN үшін TAP көпірі: ішкі интерфейсті қосу

VLAN-дарға дейін LAN-ға жетіп, кейін тоқтап қалған TAP клиентінде әдетте көпір әлі күнге дейін дұрыс емес интерфейсті қамтиды. Кадрларды жіберу VLAN тегін қоспайды, сондықтан физикалық аплинкке жіберілген тегсіз клиент кадры транк портында тегсіз келіп, не жойылады, не байырғы VLAN-ға түседі. Ішкі интерфейстің хостта болуы көпірдің мүшелер тізімін еш өзгертпейді. Ең алдымен осы аңызды жою керек: тегті оны иеленетін интерфейс қосады, хосттың жай ғана оған ие болуы емес.

Бір VLAN кеңейтуі — бір 2-деңгейлі домен, ал көпір сол доменге қосылуы керек, олардың барлығын тасымалдайтын транкқа емес.

Тег көрінбейді, себебі сіз транкты көпірге қостыңыз

VLAN 120-ны алып жүретін Linux аплинкін eno1 басқарылатын коммутаторға апарыңыз. Бір VLAN үшін жұмыс істейтін жоба — tap_vpn br_vpn-ге көпірленген, ал br_vpn ішінде eno1 емес, eno1.120 бар. VLAN ішкі интерфейсі тегті шығыста қосады, кірісте алады, сондықтан көпір сол бір VLAN үшін тек тегсіз кадрларды көреді. Оның орнына физикалық интерфейсті көпірге қойсаңыз, сол кадрлар транк портынан тегсіз шығады, бұл сіз жоспарлаған нәрсе емес.

VLAN сүзгілеуі өшірілген транкты көпірге қосу — сол нәтижеге апарар қысқа жол емес. Ол көпірге сол желідегі барлық VLAN-ды береді, оның ішінде клиенттерге көруге болмайтындары да бар.

Екі заңды жоба, бір тег иесі

VLAN-ды танитын көпір — басқа да жарамды құрылым: транк көпір портына кіреді, ал порт бойынша мүшелік, PVID және тегтелген шығыс параметрлері қай VLAN-дар өтетінін шешеді. Онда тегті көпірдің өзі қояды, ал оның астына VLAN ішкі интерфейсін қосу бір жұмысқа екінші ие қосады. Екі жоба да жұмыс істейді; екеуінің үзінділері жұмыс істемейді. Мүшелер тізімін өңдеуден бұрын тегті қай объект қосатынын шешіңіз.

Коммутатор порты қай жобаны таңдасаңыз да, сонымен келісуі керек. VLAN-ды тегсіз тасымалдайтын access порты физикалық интерфейспен бекіту нүктесі ретінде жұптасады, ал транк порты тегтелген ішкі интерфейспен жұптасады. Сәйкес келмейтін access портына ішкі интерфейс қосу ештеңені түзетпейді.

Мекенжайды мүшелікпен бірге жылжытыңыз

Ішкі интерфейс жобасында көпірленген ішкі желі үшін хост мекенжайы br_vpn-ге тиесілі, бұрын болуы мүмкін болған құлдықтағы VLAN портына емес. Оны портта қалдыру жұмыс істеп тұрғандай көрініп, содан кейін таңғаларлық әрекет етуі мүмкін, өйткені көпір 2-деңгейде жібереді, ал мекенжай мүшеде тұрады. Оны жеке эксперимент ретінде емес, мүшелікті өзгертудің бөлігі ретінде жылжытыңыз.

Мекенжайды жылжыту әкімшілік жолды үзіп тастауы мүмкін. Тәуелсіз қалпына келтіру жолын орнатыңыз, ағымдағы конфигурацияны дистрибутивтің өз желі менеджері арқылы сақтаңыз және келесі жаңартудан кейін онымен күресетін бәсекелес іске қосу сценарийінен аулақ болыңыз.

Клиенттерді мекенжайлау да дәл осындай күтімді қажет етеді. Көпірленген VPN клиенттерді кеңейтілген ішкі желіге орналастырады, сондықтан пул басқа лизингтермен немесе статикалық тағайындаулармен қабаттаспауы керек, ал DHCP қызметімен берілетін конфигурация LAN күтетін конфигурация болуы керек. Жұмыс істеп тұрған 2-деңгей жолы қайталанатын мекенжайлар туралы ештеңе айтпайды.

Маршруттарды кінәлаудан бұрын мүшелікті тексеріңіз

Ойлаған күйіңізді емес, ағымдағы күйді оқыңыз: ip -d link show dev eno1.120 VLAN идентификаторын және оның түбірін басып шығарады, ip link show master br_vpn көпір мүшелерін тізіп шығарады, ал bridge vlan show порт бойынша мүшелік пен шығыс өңдеуін хабарлайды. Ішкі интерфейс жобасында TAP құрылғысы мен VLAN құрылғысының мүше екеніне көз жеткізіңіз. VLAN-ды танитын көпірде порт саясатының өзін тексеріңіз, өйткені көпірдің болуы оның неге рұқсат беретінін дәлелдемейді.

Содан кейін рұқсат етілген бір клиентті сол VLAN-дағы қызметке қарсы тексеріңіз, ARP, брандмауэр саясаты және жауап жолы мүшеліктен бөлек мәселелер екенін есте ұстаңыз. Егер пакеттерді түсірсеңіз, аппараттық жүктемені ағыту VLAN тегтерінің ізде қайда пайда болатынын өзгертуі мүмкін екенін ескеріңіз. Ауқымды да шынайы ұстаңыз: маршрутталған TUN клиенті ешбір көпір өзгерісімен VLAN мүшесі бола алмайды, ал клиенттен клиентке трафик хосттың VLAN-ға бекітілуін алмастырмайды.