Екі сайтқа сайт VPN үшін бірдей VLAN ID қажет пе?

Екі кеңседе бірдей VLAN нөмірлері сайтаралық туннельге көмектесуі керек сияқты көрінеді, бірақ ол туннель тасымалдайтын нәрсеге ештеңе өзгертпейді. VLAN ID бір ғимараттың ішіндегі Ethernet хабар тарату доменін белгілейді; туннель IP пакеттерін шлюздер арасында жібереді. Екі сайт мүлде басқа VLAN нөмірлеуін пайдаланып та бір-біріне маршруттай алады, ал екі сайт бірдей VLAN нөмірлеуін пайдаланып та бір-біріне жете алмауы мүмкін. Қолжетімділікті анықтайтын айнымалы — мекенжай жоспары.

Миф: екі ұшта бірдей VLAN ID

Бұл сенім ақылға қонымды жерден шығады. Бір ғимараттың ішінде бір VLAN-дағы екі порт сөйлесе алады, ал әртүрлі VLAN-дардағы екі порт сөйлесе алмайды, сондықтан VLAN нөмірі байланыс беретін нәрсе сияқты көрінеді. Маршрутталған туннель арқылы тег сипаттайтын ортақ Ethernet сегменті жоқ, ал шлюздер VLAN белгілерін ешқашан алмастырмайды.

Туннельге бірін-бірі жаппайтын екі мекенжай ауқымы және олардың арасындағы трафикке рұқсат беретін саясат қажет. Кез келген кеңседе VLAN-ды өзгертіңіз, туннель жұмысын жалғастырады, өйткені туннель конфигурациясында ештеңе оған сілтеме жасамаған. Бұл дауды шешетін тест: VLAN-ды қайта нөмірлеңіз, мекенжайларды қозғалтпай қалдырыңыз және туннельдің тұрақты қалатынын бақылаңыз.

Кері тест те соншалықты ақпаратты. Екі кеңсеге бірдей ішкі желіні беріңіз, ал бірдей VLAN нөмірлерінің қандай да бір мөлшері мекенжайды бірмәнді етпейді.

Туннель шын мәнінде не тасымалдайды

IPsec IP пакеттерін мекенжайларда, протоколдарда және порттарда көрсетілген саясатқа сәйкес қорғайды. IPsec архитектурасы осы селекторларды IP қабатында сипаттайды, ол коммутатор тегі сипаттайтынның бәрінен бірнеше қабат жоғары. Пакет туннельге кіргенде ол VLAN-ды әлдеқашан тастаған; тегті жергілікті коммутатор тұтынған.

Саясатқа негізделген және маршрутқа негізделген дизайндар туннельді қалай таңдайтынымен ерекшеленеді, оның не тасымалдай алатынымен емес. Саясатқа негізделген әріптес трафик селекторларын сәйкестендіреді және сәйкес пакеттерді туннельге жібереді. Маршрутқа негізделген әріптес трафикті туннель интерфейсінде маршруттайды және шешімді маршруттау кестесіне қалдырады. Екеуі де әлі де қорғау ауқымы туралы келіседі, сондықтан туннельге нұсқайтын маршрут әріптестер қорғауға келіскен нәрсені кеңейтпейді.

Бұл айырмашылық жиі кездесетін жартылай сәтсіздікті түсіндіреді: маршрут бар, пакеттер туннельге кіреді, ал алыс жақ оларды тастайды, өйткені келісілген селекторлар сол префиксті ешқашан қамтымаған. Орнатылған саясаттарды оқу қай ауқымның шын мәнінде күшіне енгенін көрсетеді.

ip xfrm policy
ip route show
swanctl --list-sas

Шын мәнінде сындыратын қабаттасу

Әртүрлі ішкі желілері бар екі кеңсе туннель арқылы таза маршрутталады, ал олардың VLAN нөмірлері маңызды емес. Бірдей ішкі желісі бар екі кеңсе олай етпейді, өйткені берілген мекенжайға сұрау екі түрлі мағынаға ие болуы мүмкін және маршруттау кестесі тек біреуін таңдай алады. Бір сайтты қайта нөмірлеу — таза шешім, және DNS пен брандмауэр өзгерістерін есепке алғанда әдетте баламалардан арзан.

Қайта нөмірлеу мүмкін болмағанда, әдейі жасалған аударма дизайны әр жаққа әртүрлі мекенжай көріністерін ұсына алады. Бұл бір-біріне салыстыру, сәйкес селекторлар, аударылған көріністі көрсететін DNS жазбалары және қайта жазудан аман қалатын қайтару маршруттауын білдіреді. Бұл нақты операциялық шығыны бар қолдау көрсетілетін дизайн, және VLAN ID-ды өзгерту жасайтын нәрсе бұл емес.

Екі ұшта бірдей VLAN нөмірлері кейде ортақ үлгінің кездейсоқтығы, ал сол кездейсоқтықты жұмыс істеп тұрған туннельдің себебі деп санау кейінірек бірдеңе бұзылғанда қате өзгеріске әкеледі.

Әр қабатқа бір жұмыс, жазылған

Жергілікті коммутатор қай порттардың хабар тарату доменін бөлісетінін шешеді, ал оның VLAN нөмірлеуі басқа ешбір сайт білуге тиіс емес жергілікті есеп. Шлюз әріптесті аутентификациялайды және келісілген қорғау ауқымын қолданады. Маршруттау кестесі шифры шешілген пакеттің әрі қарай қайда кететінін шешеді, ал қатынау саясаты сол пакетке жалпы рұқсат беру керек пе еді дегенді шешеді.

Осы жұмыстарды бөлек ұстау өзгерістерді қауіпсіз етеді. Бір кеңседе VLAN-ды қайта нөмірлеу жергілікті коммутаторға, DHCP ауқымына және мүмкін брандмауэр аймағына қатысты, ал туннельге қатысты емес. Префиксті өзгерту туннель селекторларына, екі жақтағы маршруттарға және қатынау саясатына қатысты, ал коммутатор тегтеріне қатысты емес.

Қайтару маршруттары, жеке DNS және қосымша сәйкестілігі талаптары тағы да жеке жұмыстар, және олардың ешқайсысы басқа сайттан VLAN нөмірін көшіру арқылы келмейді. Қолжетімді префикстер мен рұқсат етілген қызметтерді тізімдейтін дизайн құжаты коммутаторды ауыстырудан аман қалады; VLAN нөмірлерін тізімдейтіні аман қалмайды.

Тег туннельге жетеді деп болжамас бұрын көпір құралдарымен жергілікті көріністі растаңыз.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

layer-2 кеңейту шынайы талап болғанда

Кейбір дизайндар сайттар арасында шынымен Ethernet мінез-құлқын қажет етеді: хабар тарату арқылы табуға сүйенетін ескі қосымша, машина жылжығанда мекенжайды сақтауы керек көшіру, немесе layer-2 болжамдарын қамтитын протокол. Мұндай жағдайлар кадрларды тасымалдайтын overlay немесе көпірлік қызметті қажет етеді, содан кейін VLAN мүшелігі, циклдердің алдын алу және ақауларды өңдеу ұшынан ұшына мәселелерге айналады.

Бұл әлдеқайда үлкен ақау домені, және бұл файл алмасуды іске қосу әрекетінің кездейсоқ нәтижесі емес, әдейі таңдау болуы керек. Қарапайым файл сервері, дерекқор немесе веб-қосымша авторизацияланған IP жолын қажет етеді және астында созылған хабар тарату доменінсіз бақыттырақ болады.

VPN шартын қолжетімді префикстер және рұқсат етілген қызметтер ретінде жазыңыз, ал VLAN тегін тек жергілікті операцияларға қажет жерде жазып қойыңыз. Сонда әр кеңсе әрбір өзгерісті туннельді қайта жобалауға айналдырмай-ақ өз коммутациясын қайта нөмірлей алады.