ಸೈಟ್ VPN ಗಾಗಿ ಎರಡು ಸೈಟ್‌ಗಳಿಗೆ ಒಂದೇ VLAN ID ಬೇಕೇ?

ಎರಡು ಕಚೇರಿಗಳಲ್ಲಿ ಒಂದೇ VLAN ಸಂಖ್ಯೆಗಳಿದ್ದರೆ ಸೈಟ್-ಟು-ಸೈಟ್ ಟನೆಲ್‌ಗೆ ಸಹಾಯವಾಗಬೇಕು ಎನಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ಟನೆಲ್ ಸಾಗಿಸುವ ವಿಷಯದಲ್ಲಿ ಏನನ್ನೂ ಬದಲಿಸುವುದಿಲ್ಲ. ಒಂದು VLAN ID ಒಂದು ಕಟ್ಟಡದ ಒಳಗಿನ Ethernet ಪ್ರಸಾರ ಡೊಮೇನ್ ಅನ್ನು ಗುರುತಿಸುತ್ತದೆ; ಟನೆಲ್ ಗೇಟ್‌ವೇಗಳ ನಡುವೆ IP ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ರವಾನಿಸುತ್ತದೆ. ಎರಡು ಸೈಟ್‌ಗಳು ಸಂಪೂರ್ಣವಾಗಿ ವಿಭಿನ್ನ VLAN ಸಂಖ್ಯೀಕರಣವನ್ನು ಬಳಸಿಯೂ ಒಂದರ ಕಡೆಗೆ ಇನ್ನೊಂದು ರೌಟ್ ಮಾಡಬಹುದು, ಮತ್ತು ಎರಡು ಸೈಟ್‌ಗಳು ಒಂದೇ VLAN ಸಂಖ್ಯೀಕರಣವನ್ನು ಬಳಸಿಯೂ ಒಂದನ್ನೊಂದು ತಲುಪಲಾರವು. ತಲುಪುವಿಕೆಯನ್ನು ನಿರ್ಧರಿಸುವ ಚರ ಎಡ್ರೆಸ್ ಯೋಜನೆ.

ಪುರಾಣ: ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಒಂದೇ VLAN ID

ಈ ನಂಬಿಕೆ ಸಮಂಜಸವಾದ ಸ್ಥಳದಿಂದ ಬರುತ್ತದೆ. ಒಂದು ಕಟ್ಟಡದ ಒಳಗೆ, ಒಂದೇ VLAN ನ ಎರಡು ಪೋರ್ಟ್‌ಗಳು ಮಾತನಾಡಬಹುದು ಮತ್ತು ವಿಭಿನ್ನ VLAN ಗಳ ಎರಡು ಪೋರ್ಟ್‌ಗಳು ಮಾತನಾಡಲಾರವು, ಆದ್ದರಿಂದ VLAN ಸಂಖ್ಯೆ ಸಂಪರ್ಕ ನೀಡುವ ವಸ್ತುವಿನಂತೆ ಕಾಣುತ್ತದೆ. ರೌಟೆಡ್ ಟನೆಲ್‌ನ ಆಚೆಗೆ ಟ್ಯಾಗ್ ವಿವರಿಸಬಹುದಾದ ಹಂಚಿದ Ethernet ವಿಭಾಗವಿಲ್ಲ, ಮತ್ತು ಗೇಟ್‌ವೇಗಳು ಎಂದಿಗೂ VLAN ಲೇಬಲ್‌ಗಳನ್ನು ವಿನಿಮಯ ಮಾಡಿಕೊಳ್ಳುವುದಿಲ್ಲ.

ಟನೆಲ್‌ಗೆ ಬೇಕಾಗಿರುವುದು ಒಂದಕ್ಕೊಂದು ಅತಿಕ್ರಮಿಸದ ಎರಡು ಎಡ್ರೆಸ್ ವ್ಯಾಪ್ತಿಗಳು ಮತ್ತು ಅವುಗಳ ನಡುವಿನ ಸಂಚಾರಕ್ಕೆ ಅನುಮತಿ ನೀಡುವ ನೀತಿ. ಯಾವುದೇ ಕಚೇರಿಯಲ್ಲಿ VLAN ಬದಲಿಸಿ, ಟನೆಲ್ ಕೆಲಸ ಮಾಡುತ್ತಲೇ ಇರುತ್ತದೆ, ಏಕೆಂದರೆ ಟನೆಲ್ ಸಂರಚನೆಯಲ್ಲಿ ಯಾವುದೂ ಅದನ್ನು ಉಲ್ಲೇಖಿಸಿರಲಿಲ್ಲ. ಇದೇ ವಾದವನ್ನು ನಿರ್ಣಯಿಸುವ ಪರೀಕ್ಷೆ: VLAN ಅನ್ನು ಮರುಸಂಖ್ಯೀಕರಿಸಿ, ಎಡ್ರೆಸ್‌ಗಳನ್ನು ಹಾಗೆಯೇ ಬಿಟ್ಟು ಟನೆಲ್ ಉಳಿಯುತ್ತದೆಯೇ ಎಂದು ನೋಡಿ.

ವಿರುದ್ಧ ಪರೀಕ್ಷೆಯೂ ಸಮಾನವಾಗಿ ಮಾಹಿತಿಪೂರ್ಣ. ಎರಡೂ ಕಚೇರಿಗಳಿಗೆ ಒಂದೇ ಸಬ್‌ನೆಟ್ ನೀಡಿ, ಮತ್ತು ಎಷ್ಟೇ ಒಂದೇ VLAN ಸಂಖ್ಯೆಗಳಿದ್ದರೂ ಎಡ್ರೆಸ್ ಅಸ್ಪಷ್ಟವಾಗದು.

ಟನೆಲ್ ನಿಜವಾಗಿ ಏನನ್ನು ಸಾಗಿಸುತ್ತದೆ

IPsec ಎಡ್ರೆಸ್, ಪ್ರೋಟೋಕಾಲ್ ಮತ್ತು ಪೋರ್ಟ್‌ಗಳಲ್ಲಿ ವ್ಯಕ್ತವಾದ ನೀತಿಯ ಪ್ರಕಾರ IP ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ರಕ್ಷಿಸುತ್ತದೆ. IPsec ಆರ್ಕಿಟೆಕ್ಚರ್ ಸ್ವಿಚ್ ಟ್ಯಾಗ್ ವಿವರಿಸುವ ಎಲ್ಲದಕ್ಕಿಂತ ಹಲವು ಪದರಗಳ ಮೇಲಿರುವ IP ಪದರದಲ್ಲಿ ಆ ಸೆಲೆಕ್ಟರ್‌ಗಳನ್ನು ವಿವರಿಸುತ್ತದೆ. ಪ್ಯಾಕೆಟ್ ಟನೆಲ್ ಪ್ರವೇಶಿಸುವಾಗ ಅದು ಈಗಾಗಲೇ VLAN ಬಿಟ್ಟಿರುತ್ತದೆ; ಟ್ಯಾಗ್ ಅನ್ನು ಸ್ಥಳೀಯ ಸ್ವಿಚ್ ಬಳಸಿಬಿಟ್ಟಿದೆ.

ನೀತಿ ಆಧಾರಿತ ಮತ್ತು ರೂಟ್ ಆಧಾರಿತ ವಿನ್ಯಾಸಗಳು ಟನೆಲ್ ಆಯ್ಕೆ ಮಾಡುವ ರೀತಿಯಲ್ಲಿ ಭಿನ್ನ, ಅದು ಏನನ್ನು ಸಾಗಿಸಬಹುದು ಎಂಬುದರಲ್ಲಿ ಅಲ್ಲ. ನೀತಿ ಆಧಾರಿತ ಪೀರ್ ಸಂಚಾರ ಸೆಲೆಕ್ಟರ್‌ಗಳನ್ನು ಹೊಂದಿಸಿ ಹೊಂದುವ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಟನೆಲ್‌ಗೆ ಕಳುಹಿಸುತ್ತದೆ. ರೂಟ್ ಆಧಾರಿತ ಪೀರ್ ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಸಂಚಾರವನ್ನು ರೌಟ್ ಮಾಡಿ ನಿರ್ಣಯವನ್ನು ರೌಟಿಂಗ್ ಕೋಷ್ಟಕಕ್ಕೆ ಬಿಡುತ್ತದೆ. ಎರಡೂ ಇನ್ನೂ ರಕ್ಷಣಾ ವ್ಯಾಪ್ತಿಯ ಮೇಲೆ ಮಾತುಕತೆ ನಡೆಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಟನೆಲ್‌ಗೆ ತೋರಿಸುವ ರೂಟ್ ಪೀರ್‌ಗಳು ರಕ್ಷಿಸಲು ಒಪ್ಪಿದ್ದನ್ನು ವಿಸ್ತರಿಸುವುದಿಲ್ಲ.

ಈ ವ್ಯತ್ಯಾಸವು ಸಾಮಾನ್ಯ ಅರ್ಧ-ವೈಫಲ್ಯವನ್ನು ವಿವರಿಸುತ್ತದೆ: ರೂಟ್ ಇದೆ, ಪ್ಯಾಕೆಟ್‌ಗಳು ಟನೆಲ್ ಪ್ರವೇಶಿಸುತ್ತವೆ, ಮತ್ತು ದೂರದ ಬದಿ ಅವನ್ನು ಬಿಸಾಡುತ್ತದೆ ಏಕೆಂದರೆ ಮಾತುಕತೆಯ ಸೆಲೆಕ್ಟರ್‌ಗಳು ಆ ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ಎಂದಿಗೂ ಒಳಗೊಂಡಿರಲಿಲ್ಲ. ಸ್ಥಾಪಿತ ನೀತಿಗಳನ್ನು ಓದುವುದು ಯಾವ ವ್ಯಾಪ್ತಿ ನಿಜವಾಗಿ ಜಾರಿಗೆ ಬಂತು ಎಂದು ತೋರಿಸುತ್ತದೆ.

ip xfrm policy
ip route show
swanctl --list-sas

ನಿಜವಾಗಿ ಮುರಿಯುವ ಅತಿಕ್ರಮಣ

ವಿಭಿನ್ನ ಸಬ್‌ನೆಟ್‌ಗಳ ಎರಡು ಕಚೇರಿಗಳು ಟನೆಲ್ ಮೂಲಕ ಸ್ವಚ್ಛವಾಗಿ ರೌಟ್ ಆಗುತ್ತವೆ, ಮತ್ತು ಅವುಗಳ VLAN ಸಂಖ್ಯೆಗಳು ಅಪ್ರಸ್ತುತ. ಒಂದೇ ಸಬ್‌ನೆಟ್‌ನ ಎರಡು ಕಚೇರಿಗಳು ಹಾಗಲ್ಲ, ಏಕೆಂದರೆ ನಿರ್ದಿಷ್ಟ ಎಡ್ರೆಸ್‌ನ ವಿನಂತಿಗೆ ಎರಡು ಸಂಭಾವ್ಯ ಅರ್ಥಗಳಿವೆ ಮತ್ತು ರೌಟಿಂಗ್ ಕೋಷ್ಟಕ ಒಂದನ್ನು ಮಾತ್ರ ಆಯ್ಕೆ ಮಾಡಬಲ್ಲದು. ಒಂದು ಸೈಟ್ ಮರುಸಂಖ್ಯೀಕರಿಸುವುದು ಸ್ವಚ್ಛ ಪರಿಹಾರ, ಮತ್ತು DNS ಹಾಗೂ ಫೈರ್‌ವಾಲ್ ಬದಲಾವಣೆಗಳನ್ನು ಎಣಿಸಿದ ಮೇಲೆ ಸಾಮಾನ್ಯವಾಗಿ ಪರ್ಯಾಯಗಳಿಗಿಂತ ಅಗ್ಗ.

ಮರುಸಂಖ್ಯೀಕರಣ ಅಸಾಧ್ಯವಾದಾಗ, ಉದ್ದೇಶಪೂರ್ವಕ ಅನುವಾದ ವಿನ್ಯಾಸವು ಪ್ರತಿ ಬದಿಗೂ ವಿಭಿನ್ನ ಎಡ್ರೆಸ್ ದೃಶ್ಯಗಳನ್ನು ಪ್ರಸ್ತುತಪಡಿಸಬಹುದು. ಅಂದರೆ ಒಂದಕ್ಕೊಂದು ಮ್ಯಾಪಿಂಗ್, ಹೊಂದುವ ಸೆಲೆಕ್ಟರ್‌ಗಳು, ಅನುವಾದಿತ ದೃಶ್ಯವನ್ನು ಪ್ರತಿಬಿಂಬಿಸುವ DNS ನಮೂದುಗಳು ಮತ್ತು ಮರುಬರವಣಿಗೆಯನ್ನು ತಾಳಿಕೊಳ್ಳುವ ಮರಳು ರೌಟಿಂಗ್. ಇದು ನೈಜ ಕಾರ್ಯಾಚರಣಾ ವೆಚ್ಚವಿರುವ ಬೆಂಬಲಿತ ವಿನ್ಯಾಸ, ಮತ್ತು VLAN ID ಬದಲಿಸುವುದು ಮಾಡುವುದು ಇದಲ್ಲ.

ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಒಂದೇ VLAN ಸಂಖ್ಯೆಗಳು ಕೆಲವೊಮ್ಮೆ ಹಂಚಿದ ಟೆಂಪ್ಲೇಟ್‌ನ ಕಾಕತಾಳೀಯ, ಮತ್ತು ಆ ಕಾಕತಾಳೀಯವನ್ನು ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಟನೆಲ್‌ನ ಕಾರಣವೆಂದು ಪರಿಗಣಿಸುವುದು ನಂತರ ಏನಾದರೂ ಮುರಿದಾಗ ತಪ್ಪು ಬದಲಾವಣೆಗೆ ಕಾರಣವಾಗುತ್ತದೆ.

ಪ್ರತಿ ಪದರಕ್ಕೆ ಒಂದು ಕೆಲಸ, ಬರೆಯಲಾಗಿದೆ

ಸ್ಥಳೀಯ ಸ್ವಿಚ್ ಯಾವ ಪೋರ್ಟ್‌ಗಳು ಪ್ರಸಾರ ಡೊಮೇನ್ ಹಂಚಿಕೊಳ್ಳುತ್ತವೆ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಅದರ VLAN ಸಂಖ್ಯೀಕರಣ ಬೇರೆ ಯಾವುದೇ ಸೈಟ್ ತಿಳಿಯಬೇಕಾಗಿಲ್ಲದ ಸ್ಥಳೀಯ ಲೆಕ್ಕಪತ್ರ. ಗೇಟ್‌ವೇ ಪೀರ್ ಅನ್ನು ದೃಢೀಕರಿಸಿ ಮಾತುಕತೆಯ ರಕ್ಷಣಾ ವ್ಯಾಪ್ತಿಯನ್ನು ಜಾರಿಗೊಳಿಸುತ್ತದೆ. ರೌಟಿಂಗ್ ಕೋಷ್ಟಕ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಪ್ಯಾಕೆಟ್ ಮುಂದೆ ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತದೆ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಪ್ರವೇಶ ನೀತಿ ಆ ಪ್ಯಾಕೆಟ್‌ಗೆ ಮೊದಲೇ ಅನುಮತಿ ಇರಬೇಕಿತ್ತೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ.

ಈ ಕೆಲಸಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಇಡುವುದೇ ಬದಲಾವಣೆಗಳನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸುತ್ತದೆ. ಒಂದು ಕಚೇರಿಯಲ್ಲಿ VLAN ಮರುಸಂಖ್ಯೀಕರಣ ಸ್ಥಳೀಯ ಸ್ವಿಚ್, DHCP ವ್ಯಾಪ್ತಿ ಮತ್ತು ಬಹುಶಃ ಫೈರ್‌ವಾಲ್ ವಲಯವನ್ನು ಮುಟ್ಟುತ್ತದೆ, ಮತ್ತು ಟನೆಲ್ ಅನ್ನು ಮುಟ್ಟುವುದಿಲ್ಲ. ಪ್ರಿಫಿಕ್ಸ್ ಬದಲಾವಣೆ ಟನೆಲ್ ಸೆಲೆಕ್ಟರ್‌ಗಳು, ಎರಡೂ ಬದಿಗಳ ರೂಟ್‌ಗಳು ಮತ್ತು ಪ್ರವೇಶ ನೀತಿಯನ್ನು ಮುಟ್ಟುತ್ತದೆ, ಮತ್ತು ಸ್ವಿಚ್ ಟ್ಯಾಗ್‌ಗಳನ್ನು ಮುಟ್ಟುವುದಿಲ್ಲ.

ಮರಳು ರೂಟ್‌ಗಳು, ಖಾಸಗಿ DNS ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಗುರುತಿನ ಅಗತ್ಯಗಳು ಮತ್ತೆ ಪ್ರತ್ಯೇಕ ಕೆಲಸಗಳು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ಇನ್ನೊಂದು ಸೈಟ್‌ನಿಂದ VLAN ಸಂಖ್ಯೆಯನ್ನು ನಕಲಿಸಿ ಬರುವುದಿಲ್ಲ. ತಲುಪಬಹುದಾದ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳು ಮತ್ತು ಅನುಮತಿಸಿದ ಸೇವೆಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುವ ವಿನ್ಯಾಸ ದಾಖಲೆ ಸ್ವಿಚ್ ಬದಲಾವಣೆಯನ್ನು ಉಳಿದುಕೊಳ್ಳುತ್ತದೆ; VLAN ಸಂಖ್ಯೆಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುವುದು ಉಳಿಯುವುದಿಲ್ಲ.

ಟ್ಯಾಗ್ ಟನೆಲ್ ತಲುಪುತ್ತದೆ ಎಂದು ಊಹಿಸುವ ಮೊದಲು ಸೇತುವೆ ಸಾಧನಗಳಿಂದ ಸ್ಥಳೀಯ ಚಿತ್ರವನ್ನು ದೃಢೀಕರಿಸಿ.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

layer-2 ವಿಸ್ತರಣೆಯೇ ನಿಜವಾದ ಅಗತ್ಯವಾದಾಗ

ಕೆಲವು ವಿನ್ಯಾಸಗಳಿಗೆ ಸೈಟ್‌ಗಳ ನಡುವೆ ನಿಜವಾಗಿಯೂ Ethernet ವರ್ತನೆ ಬೇಕು: ಪ್ರಸಾರ ಪತ್ತೆಯನ್ನು ಅವಲಂಬಿಸುವ ಹಳೆಯ ಅಪ್ಲಿಕೇಶನ್, ಯಂತ್ರ ಚಲಿಸುವಾಗ ಎಡ್ರೆಸ್ ಉಳಿಸಿಕೊಳ್ಳಬೇಕಾದ ಸ್ಥಳಾಂತರ, ಅಥವಾ layer-2 ಊಹೆಗಳನ್ನು ಒಳಗೊಂಡ ಪ್ರೋಟೋಕಾಲ್. ಅಂತಹ ಸಂದರ್ಭಗಳಿಗೆ ಚೌಕಟ್ಟುಗಳನ್ನು ಸಾಗಿಸುವ ಓವರ್‌ಲೇ ಅಥವಾ ಸೇತುವೆ ಸೇವೆ ಬೇಕು, ಮತ್ತು ಆಗ VLAN ಸದಸ್ಯತ್ವ, ಲೂಪ್ ತಡೆ ಮತ್ತು ವೈಫಲ್ಯ ನಿರ್ವಹಣೆ ತುದಿಯಿಂದ ತುದಿಗೆ ವಿಷಯಗಳಾಗುತ್ತವೆ.

ಅದು ತುಂಬಾ ದೊಡ್ಡ ವೈಫಲ್ಯ ಕ್ಷೇತ್ರ, ಮತ್ತು ಫೈಲ್ ಹಂಚಿಕೆ ಕೆಲಸ ಮಾಡಿಸುವ ಪ್ರಯತ್ನದ ಆಕಸ್ಮಿಕ ಫಲವಲ್ಲ, ಉದ್ದೇಶಪೂರ್ವಕ ಆಯ್ಕೆಯಾಗಿರಬೇಕು. ಸಾಮಾನ್ಯ ಫೈಲ್ ಸರ್ವರ್, ಡೇಟಾಬೇಸ್ ಅಥವಾ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್‌ಗೆ ಅಧಿಕೃತ IP ಮಾರ್ಗ ಬೇಕು, ಮತ್ತು ಅದರ ಕೆಳಗೆ ವಿಸ್ತರಿಸಿದ ಪ್ರಸಾರ ಡೊಮೇನ್ ಇಲ್ಲದೆ ಅದು ಹೆಚ್ಚು ಸಂತೋಷವಾಗಿರುತ್ತದೆ.

VPN ಒಪ್ಪಂದವನ್ನು ತಲುಪಬಹುದಾದ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳು ಮತ್ತು ಅನುಮತಿಸಿದ ಸೇವೆಗಳಾಗಿ ಬರೆಯಿರಿ, ಮತ್ತು VLAN ಲೇಬಲ್ ಅನ್ನು ಸ್ಥಳೀಯ ಕಾರ್ಯಾಚರಣೆಗಳಿಗೆ ಅಗತ್ಯವಿರುವಲ್ಲಿ ಮಾತ್ರ ದಾಖಲಿಸಿ. ಆಗ ಪ್ರತಿ ಕಚೇರಿಯೂ ಪ್ರತಿ ಬದಲಾವಣೆಯನ್ನು ಟನೆಲ್ ಮರುವಿನ್ಯಾಸವಾಗಿ ಮಾಡದೆ ತನ್ನ ಸ್ವಿಚಿಂಗ್ ಅನ್ನು ಮರುಸಂಖ್ಯೀಕರಿಸಬಹುದು.