Client-VLANen oder en getaggte Trunk: de richtegen OpenVPN-Modus wielen

Zwou Ufroen kommen bal mat deemselwechten Wierder: setz all VPN-Client an e gewielte VLAN, oder dréi en existéierenden VLAN-Trunk iwwer d'VPN. Dat sinn zwee verschidde Produkter. Den agaangene VLAN-bewusste Modus vun OpenVPN ass e Switch-Modell fir déi éischt Ufro, an et ass kee Synonym fir transparenten Tag-Transport. Déi falsch Wiel bréngt en Design, deen konfiguréiert ausgesäit an déi Frames, déi Iech wichteg waren, roueg fale léisst.

Wat de VLAN-bewusste Modus tatsächlech baut

Mat vlan-tagging ageschalt an enger TAP-Installatioun just fir de Server, modelléiert den Daemon säin TAP-Apparat an all ugeschlossene Client als Porten op engem internen Switch. Client-Porte sinn net getaggt, an hir VLAN-Zouuerdnung gëtt um Server iwwer de pro-Client vlan-pvid-Kontext gesat, net duerch eppes, wat de Client schéckt. Dat ass de ganze Sënn vum Modell: Memberschaft ass eng Decisioun op der Serversäit iwwer en authentifizéierte Peer. Näischt am Clientprofil muss wësse, a wéi engem VLAN et gehéiert.

D'TAP-Säit vum Server kritt seng eege getaggte oder ongetaggte Akzeptanzpolitik iwwer vlan-accept. D'Weiderleedung bannent deem Switch geschitt nëmme tëschent passenden VIDen, och wann client-to-client gesat ass, sou dass zwee Clienten a verschiddene VLANen net duerch de Server zueneen erreeche kënnen, obwuel béid domat verbonne sinn.

Deem Modell ass en Access-Port-Modell. Frames, déi e Client verloossen, sinn ongetaggt, an d'Zouuerdnung gëtt vum Server op Basis vun der Identitéit opgezwongen. Vum Laptop ze verlaangen, säin eegene Verkéier ze taggen, heescht en anert Design ze verlaangen.

Zouuerdnunge mussen der authentifizéierter Clientidentitéit follegen, net engem Wäert, deen de Client iwwer sech ubidet. Eng ausgeloosse Zouuerdnung ass och keen Quarantänenzoustand: de Client landt op der Standard-PVID, sou dass en feelende ccd-Andrag eng roueg Politikentscheedung ass an net eng neutral.

Wat en transparenten Trunk dogéint verlaangt

Fuere vu schonn getaggte Frames vun engem Enn bis zum aneren fänkt mat dem Ausschalte vun der VLAN-bewusster Veraarbechtung un. Den Switch-Modell an d'Erhale vun den Tagen sinn Alternativen, an béides ze aktivéieren heescht, eng Funktioun ze froen, d'Aarbecht vun der anerer ze maachen.

Ausschalten ass just den Ufank. D'Bréck op all Enn an d'physesch Switchporte mussen sech eens ginn, wéi eng VLANen erlaabt sinn, wéi en Tag native ass a wéi ongetaggte Frames behandelt ginn. En onbeschränkten Trunk auszebauen deckt vill méi Broadcast-Domänen op wéi déi zwee, déi Dir verbinde wëllt.

D'Framegréisst brauch säin eegene Budget. En getaggte Ethernet-Frame plus Kapselung ass méi grouss wéi déi Notzlaaschtzuel, déi d'Leit aus engem Guide kopéieren, an eng MTU, déi fir en gerouteten Tunnel gepasst huet, ass kee Beweis, datt en Trunk-Wee funktionnéiert.

Dräi Bedingungen, déi d'Äntwert entscheeden

Éischtens: ënnerstëtzt d'Clientplattform iwwerhaapt TAP? Android an iOS net, an d'macOS-Ënnerstëtzung ass limitéiert, sou dass eng Flott vu mobilen Notzer béid TAP-Designen ausschléisst, egal wéi d'VLANen ugeuerdnet sinn. Eng geroutete TUN-Sessioun dréit IP-Paketen, net Ethernet-Frames, an keng VLAN-Konfiguratioun op der Serversäit ännert dat. Kontrolléiert d'Flott, ier Dir d'Topologie designt, well déi Bedingung ass déi eenzeg, déi sech net ëmgoe léisst. Et ass och déi Bedingung, déi am heefegsten entdeckt gëtt, nodeems d'Switch-Aarbecht fäerdeg ass.

Zweetens: wien vergëtt de VLAN? Wann d'Äntwert «de Server, op Basis vun deem, dee sech authentifizéiert huet» ass, passt de Switch-Modell. Wann d'Äntwert «déi existéierend Switch-Infrastruktur, mat Tagen, déi et schonn gëtt» ass, braucht Dir den Trunk-Design.

Drëttens: wéi vill vum Netzwierk soll erreechbar sinn? De Switch-Modell hält all Client duerch säin Opbau an engem VLAN. Den Trunk-Design ass eng Bréck, an eng falsch konfiguréiert Bréck verbënnt Broadcast-Domänen, déi sollten ausernee bleiwen.

D'Wiel, déi Dir gemaach hutt, testen

Verbannt ee Client, deen am erlaabten VLAN soll sinn, an een, deen net soll, a test dann vum richtege Enn aus, net vum Server selwer. Erreechbarkeet vun der Serversäit beweist, datt d'Bréck oder de Switch existéiert; et beweist net, a wéi engem VLAN e Client gelant ass.

ip -d link show tap0
bridge vlan show

Um Server weist den zweete Befehl d'VLAN-Memberschaft vun all Bréckport, och ob e Port getaggt ass oder net. Vergläicht dat mat der Zouuerdnung, déi Dir virgesinn hutt, ier Dir eppes iwwer Schicht zwee debugt.

Notéiert, wéi vun den zwee Designen d'Installatioun benotzt. Eng Notiz «VLAN-bewosst» ass zweedeiteg, an den nächsten Ingenieur wäert dat unhuelen, wat hien als Éischten geléiert huet. D' OpenVPN-VLAN-Referenzdefinéiert d'Switch-Verhalen an de Kontext pro Client, an et ass de kierzten Wee, fir ze bestätegen, wéi ee Modell Dir bedreift.