Кардар VLAN'дары же тегиленген trunk: туура OpenVPN режимин тандаңыз

Дээрлик окшош сүйлөм менен эки суроо келет: ар бир VPN кардарын тандалган VLAN'га жайгаштыруу же бар VLAN trunk'ты VPN аркылуу өткөрүү. Бул эки башка продукт. OpenVPN'дин ичине орнотулган VLAN'ды билген режими биринчи суроо үчүн коммутатор модели жана тунук тег ташуунун синоними эмес. Туура эмес тандоо конфигурациялангандай көрүнгөн, бирок сиз үчүн маанилүү кадрларды үнсүз таштаган долбоорду жаратат.

VLAN'ды билген режим чындыгында эмнени курат

Сервер үчүн гана TAP жайгаштырууда vlan-tagging күйгүзүлгөндө, демон өзүнүн TAP түзмөгүн жана ар бир туташкан кардарды ички коммутатордун порттору катары моделдейт. Кардар порттору тегсиз, ал эми алардын VLAN байланышы серверде ар бир кардардын vlan-pvid контексти аркылуу коюлат, кардар жиберген нерсе менен эмес. Бул — моделдин бүт маңызы: мүчөлүк — аутентификацияланган өнөктөш тууралуу сервер тараптын чечими. Кардар профилинде анын кайсы VLAN'га тиешелүү экенин билүүнүн кереги жок.

Сервердин TAP тарабы vlan-accept аркылуу өзүнүн тегиленген же тегсиз кабыл алуу саясатын алат. Ошол коммутатордун ичиндеги өткөрүү гана дал келген VID'дердин ортосунда болот, client-to-client коюлган учурда да, ошондуктан ар башка VLAN'дагы эки кардар экөө тең ага туташса да, сервер аркылуу бири-бирине жете албайт.

Бул модель — кирүү портунун модели. Кардардан чыккан кадрлар тегсиз, ал эми байланышты сервер идентификациянын негизинде жүктөйт. Ноутбуктан өз трафигин өзү тегдөөнү суроо — башка долбоорду суроо.

Дайындоолор аутентификацияланган кардар идентификациясын ээрчиши керек, кардар өзү тууралуу сунуштаган маанини эмес. Калтырылган дайындоо да карантин абалы эмес: кардар демейки PVID'ге түшөт, ошондуктан жок ccd жазуусу — үнсүз саясат чечими, бейтарап эмес.

Тунук trunk анын ордуна эмнени талап кылат

Мурунтан тегиленген кадрларды четинен четине ташуу VLAN'ды билген иштетүүнү өчүрүүдөн башталат. Коммутатор модели жана тегдерди сактоо — альтернативалар, ал эми экөөнү тең күйгүзүү бир функцияга экинчисинин ишин тапшыруу.

Өчүрүү — бул гана башталыш. Ар бир четтеги көпүрө жана физикалык коммутатор порттору кайсы VLAN'дарга уруксат берилгенин, кайсы тег жергиликтүү экенин жана тегсиз кадрлар кантип иштетилерин макулдашууга тийиш. Чексиз trunk'ты кеңейтүү сиз туташтырмак болгон эки доменден алда канча көп трансляция доменин ачат.

Кадрдын өлчөмү өз бюджетине муктаж. Тегиленген Ethernet кадры жана инкапсуляция колдонмодон көчүрүлгөн пайдалуу жүктүн санынан чоң, ал эми маршрутталган туннелге ылайыктуу MTU trunk жолу иштеп жатканын далилдебейт.

Жоопту чечүүчү үч шарт

Биринчиден, кардар платформасы TAP'ты такыр колдойбу? Android жана iOS колдобойт, macOS колдоосу чектелген, ошондуктан мобилдик колдонуучулардын паркы VLAN'дар кандай жайгаштырылбасын, TAP долбоорлорунун экөөнү тең жокко чыгарат. Маршрутталган TUN сессиясы Ethernet кадрларын эмес, IP пакеттерин ташыйт, жана сервер тараптагы эч бир VLAN конфигурациясы муну өзгөртпөйт. Топологияны долбоорлоодон мурун паркты текшериңиз, анткени бул шартты айланып өтүү мүмкүн эмес. Коммутатор иши бүткөндөн кийин эң көп аныкталган шарт да ушул.

Экинчиден, VLAN'ды ким дайындайт? Жооп «сервер, ким аутентификацияланганына жараша» болсо, коммутатор модели туура келет. Жооп «бар коммутатор инфраструктурасы, мурунтан бар тегдер менен» болсо, сизге trunk долбоору керек.

Үчүнчүдөн, тармактын канча бөлүгү жеткиликтүү болушу керек? Коммутатор модели ар бир кардарды түзүлүшү боюнча бир VLAN'да кармайт. Trunk долбоору — көпүрө, ал эми туура эмес конфигурацияланган көпүрө бөлүнүп калышы керек болгон трансляция домендерин бириктирет.

Тандооңузду текшерүү

Уруксат берилген VLAN'да болушу керек бир кардарды жана болбошу керек бирин туташтырыңыз, анан серверден эмес, чыныгы четтен сынаңыз. Сервер тараптагы жеткиликтүүлүк көпүрөнүн же коммутатордун бар экенин далилдейт; кардардын кайсы VLAN'га түшкөнүн далилдебейт.

ip -d link show tap0
bridge vlan show

Серверде экинчи буйрук ар бир көпүрө портунун VLAN мүчөлүгүн, анын ичинде порттун тегиленгенин көрсөтөт. Экинчи катмардан жогоруну оңдоого киришерден мурун аны көздөгөн дайындооңуз менен салыштырыңыз.

Жайгаштыруу эки долбоордун кайсынысын колдонорун жазып коюңуз. «VLAN'ды билген» деген жазуу эки маанилүү, ал эми кийинки инженер өзү биринчи үйрөнгөн вариантты болжолдойт. OpenVPN VLAN маалымдамасыкоммутатордун жүрүм-турумун жана ар бир кардардын контекстин аныктайт, жана кайсы моделди иштетип жатканыңызды ырастоонун эң кыска жолу — ошол.