Brauchen zwou Siten déiselwecht VLAN IDen fir e Site-VPN?

Déiselwecht VLAN-Nummeren an zwee Büroen fillen sech u wéi wann se engem Tunnel tëscht Site solle hëllefen, an se ännere näischt u wat den Tunnel transportéiert. Eng VLAN ID markéiert eng Ethernet-Broadcast-Domän an engem Gebai; den Tunnel leet IP-Paketen tëscht de Gatewayen weider. Zwou Site kënnen eng ganz aner VLAN-Nummeréierung benotzen an sech trotzdem géigesäiteg routen, an zwou Site kënnen déiselwecht VLAN-Nummeréierung benotzen an sech trotzdem net erreechen. D'Variabel déi d'Erreechbarkeet entscheet ass den Adressplang.

De Mythos: déiselwecht VLAN IDen op béide Säiten

D'Iwwerzeegung kënnt vun enger verstänneger Plaz. An engem Gebai kënnen zwee Porte am selwechte VLAN matenee schwätzen an zwee Porte a verschiddene VLANen net, also gesäit d'VLAN-Nummer aus wéi dat wat Konnektivitéit gëtt. Iwwer en Tunnel dee geroutet gëtt gëtt et keen gedeelte Ethernet-Segment deen den Tag beschreiwe kéint, an d'Gatewayen tauschen ni VLAN-Labelen aus.

Wat den Tunnel brauch ass e Paar Adressberäicher déi sech net iwwerschneiden an eng Politik déi den Trafik tëscht hinne permittéiert. Ännert d'VLAN an engem Büro an den Tunnel schafft weider, well näischt an der Tunnelkonfiguratioun drop verweist huet. Dat ass den Test deen d'Diskussioun entscheet: renummeréiert eng VLAN, loosst d'Adressen onberéiert a kuckt ob den Tunnel uewen bleift.

Den ëmgekehrten Test ass esou informativ. Gitt béide Büroen déiselwecht Subnetz an et wäert keng Quantitéit vu passenden VLAN-Nummeren eng Adress éideuteg maachen.

Wat den Tunnel tatsächlech transportéiert

IPsec schützt IP-Paketen no enger Politik déi an Adressen, Protokoller a Porte ausgedréckt gëtt. D'IPsec-Architektur beschreift déi Selektoren op der IP-Schicht, déi e puer Schichten iwwer allem läit wat en Switch-Tag beschreift. Wann e Paket an den Tunnel erakënnt, huet et d'VLAN schonn verlooss; den Tag gouf vum lokale Switch verbraucht.

Politikbaséiert an routebaséiert Designen ënnerscheeden sech doran wéi se den Tunnel wielen, net doran wat se transportéiere kënnen. En politikbaséierte Peer passt Traffic-Selektoren un a schéckt passend Paketen an den Tunnel. En routebaséierte Peer routet den Trafik op engem Tunnelinterface a léisst d'Routingtabell entscheeden. Béid verhandelen nach ëmmer e Schutzëmfang, also eng Route déi op den Tunnel weist verbreet net wat d'Peeren ausgemaach hunn ze schützen.

Dësen Ënnerscheed erkläert en heefege hallewen Ausfall: d'Route existéiert, d'Paketen ginn an den Tunnel an déi wäit Säit verwërft se well déi verhandelt Selektoren dee Präfix ni ageschloss hunn. D'installéiert Politiken ze liesen weist wéi en Ëmfang tatsächlech a Kraaft getrueden ass.

ip xfrm policy
ip route show
swanctl --list-sas

D'Iwwerschneidung déi wierklech brécht

Zwee Büroe mat ënnerschiddlechen Subnetzen route sech propper duerch en Tunnel, an hir VLAN-Nummeren sinn irrelevant. Zwee Büroe mat der selwechter Subnetz net, well eng Ufro fir eng bestëmmten Adress zwou méiglech Bedeitungen huet an d'Routingtabell nëmmen eng ka wielen. Eng Site nei ze nummeréieren ass déi propper Léisung, an et ass meeschtens méi bëlleg wéi d'Alternativen wann d'DNS- an Firewall-Ännerunge matgezielt ginn.

Wann d'Renummeréierung onméiglech ass, kann en bewosst Iwwersetzungsdesign all Säit verschidde Adressvue presentéieren. Dat bedeit Eent-zu-Eent-Mapping, passend Selektoren, DNS-Anträg déi déi iwwersat Vue reflektéieren an Ëmleedung zréck déi d'Ëmschreiwen iwwerliewt. Et ass en ënnerstëtzt Design mat richtege Betribskäschten, an et ass net wat d'Änneren vun enger VLAN ID mécht.

Déiselwecht VLAN-Nummeren op béide Säiten sinn heiansdo en Zoufall vun engem gedeelte Schabloun, an deen Zoufall als Ursaach vun engem funktionéierenden Tunnel ze behandelen féiert bei der falscher Ännerung wann spéider eppes brécht.

Eng Aufgab pro Schicht, opgeschriwwen

Den lokale Switch entscheet wéi eng Porten eng Broadcast-Domän deelen, an seng VLAN-Nummeréierung ass lokal Buchhaltung déi keen anere Site brauch ze wëssen. D'Gateway authentifizéiert de Peer a setzt den ausgehandelten Schutzëmfang duerch. D'Routingtabell entscheet wou en decryptéierte Paket als nächst hin geet, an d'Zougrëffspolitik entscheet ob dee Paket iwwerhaapt sollt erlaabt gi sinn.

Dës Aufgaben getrennt ze halen ass wat Ännerungen sécher mécht. Eng VLAN-Renummeréierung an engem Büro beréiert den lokale Switch, den DHCP-Ëmfang an eventuell eng Firewall-Zon, an se beréiert den Tunnel net. Eng Präfix-Ännerung beréiert d'Tunnelselektoren, d'Routen op béide Säiten an d'Zougrëffspolitik, an se beréiert d'Switch-Taggen net.

Zréckrouten, privaten DNS an Ufuerderunge fir Applikatiounsidentitéit sinn erëm getrennt Aufgaben, an keng dovun kënnt duerch d'Kopéiere vun enger VLAN-Nummer vum anere Site. En Designdokument dat erreechbar Präfixer an erlaabt Servicer opzielt iwwerliewt eng Switch-Erneierung; eent dat VLAN-Nummeren opzielt net.

Bestätegt d'lokal Bild mat de Bridge-Werkzeugen ier Dir uhuelt datt en Tag den Tunnel erreecht.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Wann d'Layer-2-Erweiderung déi richteg Ufuerderung ass

E puer Designen brauchen würklech Ethernet-Verhalen tëscht Site: eng al Applikatioun déi sech op Broadcast-Entdeckung verléisst, eng Migratioun déi eng Adress muss halen während eng Maschinn ëmzitt, oder e Protokoll dat Layer-2-Unerstellungen anhëlt. Esou Fäll verlaangen en Overlay oder en iwwerbréckte Service deen d'Framen dréit, an dann ginn VLAN-Memberschaft, Loop-Verhënnerung a Fehlerbehandlung End-zu-End-Saachen.

Dat ass eng vill méi grouss Fehlerdomän, an et sollt eng bewosst Wiel sinn an net d'Zoufallsresultat vum Versuch eng Dateifreigab zum Lafen ze bréngen. En normale Dateiserver, Datebank oder Webapplikatioun brauch en autoriséierten IP-Wee an ass glécklecher ouni eng gestreckt Broadcast-Domän drënner.

Schreift de VPN-Kontrakt als erreechbar Präfixer plus erlaabt Servicer, a registréiert den VLAN-Tag nëmmen do wou lokal Operatiounen en brauchen. Da kann all Büro seng eege Vermëttlung renummeréieren ouni all Ännerung an en Tunnel-Redesign ze verwandelen.