Ar dviem vietovėms reikia tų pačių VLAN ID vietos VPN?

Tie patys VLAN numeriai dviejuose biuruose atrodo tarsi turėtų padėti tuneliui tarp vietų, ir jie nieko nekeičia tame, ką tunelis perduoda. VLAN ID žymi Ethernet transliacijos domeną vieno pastato viduje; tunelis persiunčia IP paketus tarp tinklų sietuvų. Dvi vietos gali naudoti visiškai skirtingą VLAN numeraciją ir vis tiek maršrutizuoti viena į kitą, o dvi vietos gali naudoti identišką VLAN numeraciją ir vis tiek negalėti viena kitos pasiekti. Kintamasis, lemiantis pasiekiamumą, yra adresų planas.

Mitas: tie patys VLAN ID abiejuose galuose

Įsitikinimas kyla iš pagrįstos vietos. Vieno pastato viduje du to paties VLAN prievadai gali kalbėtis, o du skirtingų VLAN prievadai negali, todėl VLAN numeris atrodo kaip tai, kas suteikia ryšį. Per maršrutizuotą tunelį nėra bendro Ethernet segmento, kurį žyma galėtų apibūdinti, ir sietuvai niekada nekeičiasi VLAN žymomis.

Tuneliui reikia poros nesikertančių adresų sričių ir politikos, kuri leidžia srautą tarp jų. Pakeiskite VLAN bet kuriame biure ir tunelis veikia toliau, nes niekas tunelio konfigūracijoje į jį nenurodė. Tai testas, kuris išsprendžia ginčą: pernumeruokite VLAN, palikite adresus nepaliestus ir stebėkite, ar tunelis išlieka.

Atvirkštinis testas taip pat pamokantis. Duokite abiem biurams tą patį potinklį ir joks kiekis sutampančių VLAN numerių nepadarys adreso vienareikšmio.

Ką tunelis iš tikrųjų perduoda

IPsec apsaugo IP paketus pagal politiką, išreikštą adresais, protokolais ir prievadais. IPsec architektūra apibūdina tuos selektorius IP sluoksnyje, kuris yra keliais sluoksniais aukščiau už viską, ką apibūdina komutatoriaus žyma. Kai paketas patenka į tunelį, jis jau paliko VLAN; žymą sunaudojo vietinis komutatorius.

Politikos pagrindu ir maršruto pagrindu sukurti sprendimai skiriasi tuo, kaip pasirenka tunelį, o ne tuo, ką gali perduoti. Politikos pagrindu veikiantis partneris suderina srauto selektorius ir siunčia atitinkančius paketus į tunelį. Maršruto pagrindu veikiantis partneris maršrutizuoja srautą tunelio sąsajoje ir palieka sprendimą maršrutizavimo lentelei. Abu vis dar derasi dėl apsaugos apimties, todėl maršrutas, nukreiptas į tunelį, neišplečia to, dėl ko partneriai susitarė apsaugoti.

Šis skirtumas paaiškina dažną pusinę nesėkmę: maršrutas yra, paketai patenka į tunelį, o tolimoji pusė juos išmeta, nes suderinti selektoriai niekada neapėmė to prefikso. Įdiegtų politikų skaitymas parodo, kuri apimtis iš tikrųjų įsigaliojo.

ip xfrm policy
ip route show
swanctl --list-sas

Persidengimas, kuris iš tikrųjų lūžta

Du biurai su skirtingais potinkliais švariai maršrutizuojami per tunelį, ir jų VLAN numeriai nesvarbūs. Du biurai su tuo pačiu potinkliu ne, nes užklausa konkrečiam adresui turi dvi galimas reikšmes, o maršrutizavimo lentelė gali pasirinkti tik vieną. Vienos vietos pernumeravimas yra švarus sprendimas ir paprastai pigesnis už alternatyvas, kai suskaičiuojami DNS ir ugniasienės pakeitimai.

Kai pernumeruoti neįmanoma, sąmoningas vertimo sprendimas gali pateikti kiekvienai pusei skirtingus adresų vaizdus. Tai reiškia vienas prie vieno susiejimą, atitinkančius selektorius, DNS įrašus, atspindinčius išverstą vaizdą, ir grįžtamąjį maršrutizavimą, kuris išgyvena perrašymą. Tai palaikomas sprendimas su realiomis eksploatavimo sąnaudomis, ir tai nėra tai, ką daro VLAN ID pakeitimas.

Tie patys VLAN numeriai abiejuose galuose kartais yra bendro šablono atsitiktinumas, o to atsitiktinumo laikymas veikiančio tunelio priežastimi veda prie neteisingo pakeitimo, kai vėliau kažkas sugenda.

Viena užduotis vienam sluoksniui, užrašyta

Vietinis komutatorius nusprendžia, kurie prievadai dalijasi transliacijos domenu, o jo VLAN numeracija yra vietinė apskaita, kurios jokia kita vieta neturi žinoti. Sietuvas autentifikuoja partnerį ir vykdo suderintą apsaugos apimtį. Maršrutizavimo lentelė nusprendžia, kur toliau eina iššifruotas paketas, o prieigos politika nusprendžia, ar tam paketui apskritai turėjo būti leista.

Šių užduočių atskyrimas yra tai, kas daro pakeitimus saugius. VLAN pernumeravimas viename biure paliečia vietinį komutatorių, DHCP sritį ir galbūt ugniasienės zoną, ir nepaliečia tunelio. Prefikso pakeitimas paliečia tunelio selektorius, maršrutus abiejose pusėse ir prieigos politiką, ir nepaliečia komutatoriaus žymų.

Grįžtamieji maršrutai, privatus DNS ir programos tapatybės reikalavimai vėl yra atskiros užduotys, ir nė viena iš jų neatsiranda nukopijavus VLAN numerį iš kitos vietos. Projektinis dokumentas, kuriame išvardyti pasiekiami prefiksai ir leidžiamos paslaugos, išgyvena komutatoriaus atnaujinimą; tas, kuriame išvardyti VLAN numeriai, neišgyvena.

Patvirtinkite vietinį vaizdą tilto įrankiais prieš manydami, kad žyma pasiekia tunelį.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Kai layer-2 plėtra yra tikrasis reikalavimas

Kai kurie sprendimai iš tikrųjų reikalauja Ethernet elgsenos tarp vietų: senoji programa, kuri remiasi transliacijos aptikimu, migracija, kuri turi išsaugoti adresą mašinai judant, arba protokolas, kuris įterpia layer-2 prielaidas. Tokie atvejai reikalauja perdangos arba sujungtos paslaugos, kuri perduoda kadrus, ir tada VLAN narystė, kilpų prevencija ir gedimų tvarkymas tampa ištisiniais klausimais.

Tai daug didesnė gedimų sritis, ir tai turėtų būti sąmoningas pasirinkimas, o ne atsitiktinis bandymo paleisti failų bendrinimą rezultatas. Įprastas failų serveris, duomenų bazė ar žiniatinklio programa reikalauja autorizuoto IP kelio ir bus laimingesni be ištempto transliacijos domeno po jais.

Užrašykite VPN sutartį kaip pasiekiamus prefiksus ir leidžiamas paslaugas, o VLAN žymą įrašykite tik ten, kur vietinėms operacijoms jos reikia. Tada kiekvienas biuras galės pernumeruoti savo perjungimą nepaverčiant kiekvieno pakeitimo tunelio perprojektavimu.