Эки сайтка сайт VPN үчүн бирдей VLAN ID керекпи?

Эки кеңседе бирдей VLAN номурлары сайттар аралык туннелге жардам бериши керектей сезилет, бирок ал туннель ташыган нерсеге эч нерсени өзгөртпөйт. VLAN ID бир имараттын ичиндеги Ethernet трансляция доменин белгилейт; туннель IP пакеттерин шлюздардын ортосунда жиберет. Эки сайт таптакыр башка VLAN номерлөөсүн колдонуп да бири-бирине маршруттай алат, ал эми эки сайт бирдей VLAN номерлөөсүн колдонуп да бири-бирине жете албашы мүмкүн. Жеткиликтүүлүктү аныктаган өзгөрмө — дарек планы.

Миф: эки учта бирдей VLAN ID

Бул ишеним акылга сыярлык жерден келет. Бир имараттын ичинде бир VLANдагы эки порт сүйлөшө алат, ал эми ар башка VLANдардагы эки порт сүйлөшө албайт, ошондуктан VLAN номуру байланыш берген нерседей көрүнөт. Маршрутталган туннелдин аркы өйүзүндө тег сүрөттөй турган жалпы Ethernet сегменти жок, ал эми шлюздар VLAN белгилерин эч качан алмашышпайт.

Туннелге бири-бирин каптабаган эки дарек диапазону жана алардын ортосундагы трафикке уруксат берген саясат керек. Каалаган кеңседе VLANды өзгөртүңүз, туннель иштей берет, анткени туннель конфигурациясында эч нерсе ага шилтеме кылган эмес. Бул талашты чечкен сынак: VLANды кайра номерлеңиз, даректерди кыймылдатпай калтырыңыз жана туннелдин туруктуу каларын байкаңыз.

Тескери сынак да ошондой маалыматтуу. Эки кеңсеге бирдей ички тармакты бериңиз, жана бирдей VLAN номурларынын канчалык көп болушу даректи бир маанилүү кылбайт.

Туннель чындыгында эмнени ташыйт

IPsec IP пакеттерин даректерде, протоколдордо жана порттордо көрсөтүлгөн саясатка ылайык коргойт. IPsec архитектурасы ошол селекторлорду IP катмарында сүрөттөйт, ал коммутатор теги сүрөттөгөн нерселердин баарынан бир нече катмар жогору. Пакет туннелге киргенде ал VLANды мурун эле таштаган; тегди жергиликтүү коммутатор колдонуп койгон.

Саясатка негизделген жана маршрутка негизделген долбоорлор туннелди кантип тандашы менен айырмаланат, эмнени ташый алышы менен эмес. Саясатка негизделген өнөктөш трафик селекторлорун дал келтирет жана дал келген пакеттерди туннелге жиберет. Маршрутка негизделген өнөктөш трафикти туннель интерфейсинде маршруттайт жана чечимди маршруттоо таблицасына калтырат. Экөө тең дагы эле коргоо диапазону боюнча сүйлөшүп жатышат, ошондуктан туннелге багытталган маршрут өнөктөштөр коргоого макул болгон нерсени кеңейтпейт.

Бул айырмачылык көп кезиккен жарым ийгиликсиздикти түшүндүрөт: маршрут бар, пакеттер туннелге кирет, ал эми алыскы тарап аларды таштайт, анткени сүйлөшүлгөн селекторлор ал префиксти эч качан камтыган эмес. Орнотулган саясаттарды окуу кайсы диапазон чындыгында күчүнө киргенин көрсөтөт.

ip xfrm policy
ip route show
swanctl --list-sas

Чындыгында сындырган каптоо

Ар башка ички тармактары бар эки кеңсе туннель аркылуу таза маршрутталат, ал эми алардын VLAN номурлары маанисиз. Бирдей ички тармагы бар эки кеңсе андай эмес, анткени берилген дарекке суроо эки мүмкүн болгон мааниге ээ жана маршруттоо таблицасы бирөөнү гана тандай алат. Бир сайтты кайра номерлөө таза чечим, жана DNS менен брандмауэр өзгөрүүлөрүн эсептегенде адатта альтернативалардан арзан.

Кайра номерлөө мүмкүн болбогондо, атайын жасалган котормо долбоору ар бир тарапка ар башка дарек көрүнүштөрүн сунуштай алат. Бул бирге-бир салыштыруу, дал келген селекторлор, которулган көрүнүштү чагылдырган DNS жазуулары жана кайра жазуудан аман калган кайтаруу маршруттоосун билдирет. Бул реалдуу операциялык чыгымы бар колдоого алынган долбоор, жана VLAN IDды өзгөртүү жасаган нерсе бул эмес.

Эки учта бирдей VLAN номурлары кээде жалпы шаблондун кокустугу, жана ошол кокустукту иштеп жаткан туннелдин себеби деп эсептөө кийинчерээк бир нерсе бузулганда туура эмес өзгөртүүгө алып келет.

Ар бир катмарга бир иш, жазылган

Жергиликтүү коммутатор кайсы порттор трансляция доменин бөлүшөрүн чечет, ал эми анын VLAN номерлөөсү башка эч бир сайт билүүгө тийиш эмес жергиликтүү эсеп. Шлюз өнөктөштү аутентификациялайт жана сүйлөшүлгөн коргоо диапазонун колдонот. Маршруттоо таблицасы шифри чечилген пакеттин ары кайда кетерин чечет, ал эми кирүү саясаты ошол пакетке таптакыр уруксат берилиши керекпи деп чечет.

Ушул иштерди өзүнчө кармоо өзгөртүүлөрдү коопсуз кылат. Бир кеңседе VLANды кайра номерлөө жергиликтүү коммутаторго, DHCP диапазонуна жана мүмкүн брандмауэр аймагына тиет, ал эми туннелге тийбейт. Префиксти өзгөртүү туннель селекторлоруна, эки тараптагы маршруттарга жана кирүү саясатына тиет, ал эми коммутатор тегдерине тийбейт.

Кайтаруу маршруттары, жеке DNS жана колдонмо инсандыгынын талаптары дагы өзүнчө иштер, жана алардын эч бири башка сайттан VLAN номурун көчүрүү менен келбейт. Жеткиликтүү префикстерди жана уруксат берилген кызматтарды тизмелеген долбоордук документ коммутатор алмаштыруудан аман калат; VLAN номурларын тизмелеген документ калбайт.

Тег туннелге жетет деп божомолдоодон мурун көпүрө куралдары менен жергиликтүү көрүнүштү ырастаңыз.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

layer-2 кеңейтүү чыныгы талап болгондо

Айрым долбоорлор сайттардын ортосунда чын эле Ethernet жүрүм-турумун талап кылат: трансляция аркылуу табууга таянган эски колдонмо, машина жылып жатканда даректи сактоого тийиш болгон көчүрүү, же layer-2 божомолдорун камтыган протокол. Мындай учурлар кадрларды ташыган overlay же көпүрө кызматын талап кылат, жана ошондо VLAN мүчөлүгү, циклдердин алдын алуу жана бузулууларды иштетүү учтан-учка маселелерге айланат.

Бул алда канча чоң бузулуу домени, жана бул файл бөлүшүүнү иштетүү аракетинин кокустук натыйжасы эмес, атайын тандоо болушу керек. Кадимки файл сервери, маалымат базасы же веб-колдонмо авторизацияланган IP жолун талап кылат жана анын астында созулган трансляция домени жок бактылуураак болот.

VPN келишимин жеткиликтүү префикстер жана уруксат берилген кызматтар катары жазыңыз, ал эми VLAN тегин жергиликтүү операцияларга керек жерде гана жазып коюңуз. Ошондо ар бир кеңсе ар бир өзгөртүүнү туннелди кайра долбоорлоого айландырбастан өзүнүн коммутациясын кайра номерлей алат.