TAP-Bréck fir eng eenzel VLAN: d’Subinterface ukoppelen

En TAP-Client, deen virun de VLANen d’LAN erreecht huet an duerno opgehalen huet, huet meeschtens nach eng Bréck, déi nach ëmmer dat falscht Interface enthält. D’Frame-Weiderleeung setzt keen VLAN-Tag dobäi, also kënnt en ongetaggte Client-Frame, deen op den physikaleschen Uplink geet, ongetaggt op engem Trunk-Port un a gëtt entweder verworf oder lant an der nativer VLAN. Datt d’Subinterface iergendwou um Host existéiert, ännert näischt un der Memberschaftslëscht vun der Bréck. Dee Mythe muss een als éischt aus der Welt schafen: den Tag gëtt vum Interface gesat, deem en gehéiert, net well den Host just een huet.

Eng VLAN-Erweiderung bedeit eng 2-Schicht-Domän, an d’Bréck muss där Domän bäitrieden, net dem Trunk, deen se all dréit.

Den Tag erschéngt net, well den Trunk gebréckt gouf

Huel en Linux-Uplink eno1 mat VLAN 120 op e verwalteten Switch. D’Design, dat fir eng eenzel VLAN funktionéiert, ass tap_vpn op br_vpn gebréckt, woubäi br_vpn eno1.120 enthält an net eno1. D’VLAN-Subinterface setzt den Tag beim Austrëtt a läscht en beim Antrëtt, also gesäit d’Bréck ëmmer nëmmen ongetaggte Frames fir déi eng VLAN. Setz amplaz dat physikalescht Interface an d’Bréck, da ginn déiselwecht Frames ongetaggt op engem Trunk-Port eraus, wat Dir net geplangt hutt.

Den Trunk ze brécken, wärend d’VLAN-Filterung ausgeschalt ass, ass keen Ofkierzung op datselwecht Resultat. Et gëtt der Bréck all VLAN op där Läitung, och déi, déi d’Cliente guer net solle gesinn.

Zwee legitim Designen, een Tag-Besëtzer

Eng VLAN-aware Bréck ass déi aner valabel Arrangement: den Trunk geet an e Bréck-Port, a Memberschaft pro Port, PVID an getaggte Austrëtts-Astellunge bestëmmen, wéi eng VLANen duerchkommen. Do gehéiert d’Tagging der Bréck, an eng VLAN-Subinterface drënner ze setzen, géif en zweeten Besëtzer fir eng Aufgab installéieren. Béid Designe funktionéieren; Fragmenter vu béiden net. Entscheet, wéi en Objet den Tag setzt, ier Dir eng Memberschaftslëscht ännert.

De Switch-Port muss mat deem Design averstanen sinn, dat Dir wielt. En Access-Port, deen d’VLAN ongetaggt dréit, passt mam physikaleschen Interface als Uschloss, wärend en Trunk-Port mat enger getaggter Subinterface passt. Eng Subinterface op en net passenden Access-Port derbäizesetzen reparéiert näischt.

Réckt d’Adress mat der Memberschaft

Am Subinterface-Design gehéiert d’Host-Adress fir dat gebréckt Subnetz op br_vpn, net op den ënnergeuerdenten VLAN-Port, wou se virdru kéint gelieft hunn. Se um Port ze loossen, ka schénge funktionéieren an duerno komesch behuelen, well d’Bréck op Schicht 2 weiderleet, wärend d’Adress op engem Member sëtzt. Réckt se als Deel vun der Memberschaftsännerung, net als separat Experiment.

D’Adress ze réckelen, kann den Administratiounspfad ofschneiden. Bau eng onofhängeg Erholungsroute op, späicher déi bestehend Konfiguratioun iwwer den eegene Netzmanager vun der Distributioun, a vermeid e konkurréierende Startskript, deen no dem nächsten Update dogéint kämpft.

D’Client-Adresséierung brauch déiselwecht Suergfalt. Eng gebréckt VPN setzt d’Cliente an dat erweidert Subnetz, also däerf e Pool net mat anere Leasingen oder stateschen Zoudeelungen iwwerlappen, an eng DHCP-versuergt Arrangement muss dat sinn, wat den LAN wierklech erwaart. En funktionéierende 2-Schicht-Pfad seet näischt iwwer duebel Adressen.

Iwwerpréift d’Memberschaft, ier Dir d’Routen beschëllegt

Liest den aktuellen Zoustand amplaz deen, deen Dir wollt: ip -d link show dev eno1.120 dréckt d’VLAN-ID an hire Papp aus, ip link show master br_vpn lëscht d’Bréck-Memberen op, an bridge vlan show mellelt Memberschaft pro Port an d’Austrëttsbehandlung. Am Subinterface-Design confirméiert, datt den TAP-Gerät an de VLAN-Gerät d’Memberen sinn. An enger VLAN-aware Bréck préift d’Port-Politik selwer, well eng Bréck, déi existéiert, net beweist, wat se erlaabt.

Dann test ee erlaabte Client géint engem Service an där VLAN, a behalt am Kapp, datt ARP, Firewall-Politik an de Réckwee getrennt Suergen vun der Memberschaft sinn. Wann Dir Paketen ofänkt, notéiert, datt Hardware-Offload ka changéieren, wou VLAN-Tags an engem Trace erschéngen. Halt de Beräich och éierlech: en gerouteten TUN-Client gëtt duerch keng Bréck-Ännerung e VLAN-Member, an de Client-zu-Client-Traffic ersetzt net den Uschloss vum Host un d’VLAN.