Бир VLAN үчүн TAP көпүрөсү: ички интерфейсти туташтыруу

VLAN-дарга чейин LANга жетип, кийин токтогон TAP кардарында адатта туура эмес интерфейсти камтыган көпүрө калат. Кадрларды жөнөтүү VLAN тегин кошпойт, ошондуктан физикалык аплинкке жөнөтүлгөн тег жок кардар кадры транк портунда тег жок келип, же жок кылынат, же жергиликтүү VLANга түшөт. Хостто болгон ички интерфейс көпүрөнүн мүчөлөр тизмесин эч өзгөртпөйт. Эң оболу жок кылуучу уламыш ушул: тегди аны ээленген интерфейс кошот, хост жөн гана ага ээ болгондуктан эмес.

Бир VLAN кеңейтүү — бир 2-катмар домен, жана көпүрө алардын баарын алып жүргөн транкка эмес, ошол доменге кошулушу керек.

Транкты көпүрөгө кошкондуктан тег көрүнбөйт

VLAN 120 алып жүргөн Linux аплинкин eno1 башкарылуучу коммутаторго жеткириңиз. Бир VLAN үчүн иштеген долбоор — tap_vpn, ал br_vpn менен көпүрөлөнгөн; br_vpn ичинде eno1 эмес, eno1.120 бар. VLAN ички интерфейси тегди чыгууда кошот жана кирүүдө алат, ошондуктан көпүрө ошол бир VLAN үчүн тег жок кадрларды гана көрөт. Анын ордуна физикалык интерфейсти көпүрөгө коюңуз, ошол эле кадрлар транк портунан тег жок чыгат, бул сиз пландаган нерсе эмес.

VLAN фильтрлөө өчүрүлгөн транкты көпүрөгө кошуу — ошол эле натыйжага кыска жол эмес. Ал көпүрөгө ошол зымдагы бардык VLANды берет, кардарлар көрбөшү керек болгондору менен кошо.

Эки мыйзамдуу долбоор, бир тег ээси

VLANды тааныган көпүрө — дагы бир жарактуу курулуш: транк көпүрө портуна кирет, порт боюнча мүчөлүк, PVID жана тегделген чыгуу жөндөөлөрү кайсы VLANдар өтөрүн чечет. Анда тегди көпүрөнүн өзү кошот, ал эми анын астына VLAN ички интерфейсин кошуу бир ишке экинчи ээни орнотот. Эки долбоор тең иштейт; экөөнүн үзүндүлөрү иштебейт. Мүчөлөр тизмесин өзгөртүүдөн мурун тегди кайсы объект кошорун чечиңиз.

Коммутатор порту кайсы долбоорду тандасаңыз да, ага жараша болушу керек. VLANды тег жок алып жүргөн access порту физикалык интерфейс менен тиркеме катары жупташат, ал эми транк порту тегделген ички интерфейс менен жупташат. Туура келбеген access портуна ички интерфейс кошуу эч нерсени оңдобойт.

Даректи мүчөлүк менен бирге жылдырыңыз

Ички интерфейс долбоорунда көпүрөлөнгөн ички тармак үчүн хосттун дареги br_vpn үстүндө болушу керек, мурун болушу мүмкүн болгон кул VLAN портуна эмес. Аны портто калтыруу иштеп жаткандай көрүнүп, анан кызыктай жүрүшү мүмкүн, анткени көпүрө 2-катмарда жөнөтөт, ал эми дарек мүчөдө турат. Аны өзүнчө эксперимент катары эмес, мүчөлүктү өзгөртүүнүн бөлүгү катары жылдырыңыз.

Даректи жылдыруу башкаруу жолун үзүп салышы мүмкүн. Көз карандысыз калыбына келтирүү жолун түзүңүз, учурдагы конфигурацияны дистрибутивдин өз тармак менеджери аркылуу сактаңыз жана кийинки жаңыртуудан кийин ага каршы чыга турган атаандаш иштетүү скриптинен оолак болуңуз.

Кардарларды даректөө да ушундай кам көрүүнү талап кылат. Көпүрөлөнгөн VPN кардарларды кеңейтилген ички тармакка жайгаштырат, ошондуктан пул башка лизингдер же статикалык дайындоолор менен кабатташпашы керек, ал эми DHCP менен берилген конфигурация LAN күткөн конфигурация болушу керек. Иштеп жаткан 2-катмар жолу кайталанган даректер жөнүндө эч нерсе айтпайт.

Маршруттарды күнөөлөөдөн мурун мүчөлүктү текшериңиз

Ойлогон абалды эмес, учурдагы абалды окуңуз: ip -d link show dev eno1.120 VLAN id жана анын атасын басып чыгарат, ip link show master br_vpn көпүрө мүчөлөрүн тизмелейт, bridge vlan show порт боюнча мүчөлүк жана чыгуу иштетүүсү тууралуу билдирет. Ички интерфейс долбоорунда TAP түзмөгү жана VLAN түзмөгү мүчө экенине ынаныңыз. VLANды тааныган көпүрөдө порт саясатын өзүн текшериңиз, анткени көпүрөнүн болушу анын эмнеге жол берерин далилдебейт.

Андан кийин уруксат берилген бир кардарды ошол VLANдагы кызматка каршы текшериңиз, ARP, брандмауэр саясаты жана жооп жолу мүчөлүктөн өзүнчө маселелер экенин эстеп коюңуз. Эгер пакеттерди кармасаңыз, аппараттык жүктөө VLAN тегдери изде кайда пайда болорун өзгөртүшү мүмкүн экенин белгилеңиз. Көлөмдү да чынчыл кармаңыз: маршрутталган TUN кардары эч кандай көпүрө өзгөртүүсү менен VLAN мүчөсү болбойт, ал эми кардардан кардарга трафик хосттун VLANга тиркелүүсүн алмаштырбайт.