Vai divām vietnēm ir vajadzīgi vieni un tie paši VLAN ID vietnes VPN?

Vieni un tie paši VLAN numuri divos birojos šķiet tā, it kā tiem būtu jāpalīdz tunelim starp vietnēm, un tie neko nemaina tajā, ko tunelis pārvadā. VLAN ID iezīmē Ethernet apraides domēnu vienas ēkas iekšienē; tunelis pārsūta IP paketes starp vārtejām. Divas vietnes var izmantot pilnīgi atšķirīgu VLAN numerāciju un tomēr maršrutēt viena uz otru, un divas vietnes var izmantot identisku VLAN numerāciju un tomēr nespēt viena otru sasniegt. Mainīgais, kas nosaka sasniedzamību, ir adrešu plāns.

Mīts: vieni un tie paši VLAN ID abos galos

Pārliecība nāk no saprātīgas vietas. Vienas ēkas iekšienē divi viena VLAN porti var sarunāties, bet divi dažādu VLAN porti nevar, tāpēc VLAN numurs šķiet kā tas, kas piešķir savienojamību. Pāri maršrutētam tunelim nav kopīga Ethernet segmenta, ko atzīme varētu aprakstīt, un vārtejas nekad neapmainās ar VLAN atzīmēm.

Tunelim vajag pāri adrešu apgabalu, kas nepārklājas, un politiku, kas atļauj starp tiem plūstošo datplūsmu. Mainiet VLAN jebkurā birojā, un tunelis turpina darboties, jo nekas tuneļa konfigurācijā uz to neatsaucās. Tas ir tests, kas izšķir strīdu: pārnumurējiet VLAN, atstājiet adreses neskartas un vērojiet, vai tunelis noturas.

Apgrieztais tests ir tikpat pamācošs. Dodiet abiem birojiem vienu un to pašu apakštīklu, un neviens daudzums vienādu VLAN numuru nepadarīs adresi viennozīmīgu.

Ko tunelis patiešām pārvadā

IPsec aizsargā IP paketes saskaņā ar politiku, kas izteikta adresēs, protokolos un portos. IPsec arhitektūra apraksta šos selektorus IP slānī, kas atrodas vairākus slāņus virs visa, ko apraksta komutatora atzīme. Kad pakete nonāk tunelī, tā jau ir atstājusi VLAN; atzīmi ir patērējis vietējais komutators.

Uz politiku balstīti un uz maršrutiem balstīti risinājumi atšķiras ar to, kā tie izvēlas tuneli, nevis ar to, ko tie spēj pārvadāt. Uz politiku balstīts partneris saskaņo datplūsmas selektorus un sūta atbilstošās paketes tunelī. Uz maršrutiem balstīts partneris maršrutē datplūsmu tuneļa saskarnē un atstāj lēmumu maršrutēšanas tabulai. Abi joprojām apspriež aizsardzības apjomu, tāpēc maršruts, kas norāda uz tuneli, nepaplašina to, par ko partneri vienojušies aizsargāt.

Šī atšķirība izskaidro biežu pusceļa neveiksmi: maršruts pastāv, paketes nonāk tunelī, un tālā puse tās izmet, jo apspriestie selektori nekad neietvēra šo prefiksu. Instalēto politiku lasīšana parāda, kurš apjoms patiešām stājās spēkā.

ip xfrm policy
ip route show
swanctl --list-sas

Pārklāšanās, kas patiešām lauž

Divi biroji ar atšķirīgiem apakštīkliem tīri maršrutējas caur tuneli, un to VLAN numuri nav svarīgi. Divi biroji ar vienu un to pašu apakštīklu ne, jo pieprasījumam uz konkrētu adresi ir divas iespējamas nozīmes, un maršrutēšanas tabula var izvēlēties tikai vienu. Vienas vietnes pārnumurēšana ir tīrais risinājums, un tas parasti ir lētāks par alternatīvām, kad tiek ieskaitītas DNS un ugunsmūra izmaiņas.

Kad pārnumurēšana nav iespējama, apzināts tulkošanas dizains var katrai pusei parādīt atšķirīgus adrešu skatus. Tas nozīmē viens-pret-viens kartēšanu, atbilstošus selektorus, DNS ierakstus, kas atspoguļo tulkoto skatu, un atgriešanas maršrutēšanu, kas pārdzīvo pārrakstīšanu. Tas ir atbalstīts dizains ar reālām ekspluatācijas izmaksām, un tas nav tas, ko dara VLAN ID maiņa.

Vieni un tie paši VLAN numuri abos galos dažkārt ir kopīga veidnes nejaušība, un šīs nejaušības uzskatīšana par strādājoša tuneļa cēloni noved pie nepareizas izmaiņas, kad vēlāk kaut kas salūzt.

Viens uzdevums vienam slānim, pierakstīts

Vietējais komutators izlemj, kuri porti dala apraides domēnu, un tā VLAN numerācija ir vietēja uzskaite, kas nevienai citai vietnei nav jāzina. Vārteja autentificē partneri un īsteno apspriesto aizsardzības apjomu. Maršrutēšanas tabula izlemj, kur tālāk dodas atšifrētā pakete, un piekļuves politika izlemj, vai šai paketei vispār bija jāļauj iet.

Šo uzdevumu šķiršana ir tas, kas padara izmaiņas drošas. VLAN pārnumurēšana vienā birojā skar vietējo komutatoru, DHCP apgabalu un, iespējams, ugunsmūra zonu, un tā neskar tuneli. Prefiksa maiņa skar tuneļa selektorus, maršrutus abās pusēs un piekļuves politiku, un tā neskar komutatora atzīmes.

Atgriešanas maršruti, privāts DNS un lietojumprogrammas identitātes prasības atkal ir atsevišķi uzdevumi, un neviens no tiem nerodas, nokopējot VLAN numuru no otras vietnes. Dizaina dokuments, kurā uzskaitīti sasniedzamie prefiksi un atļautie pakalpojumi, pārdzīvo komutatora atjaunināšanu; tas, kurā uzskaitīti VLAN numuri, nepārdzīvo.

Apstipriniet vietējo ainu ar tilta rīkiem, pirms pieņemat, ka atzīme sasniedz tuneli.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Kad layer-2 paplašināšana ir īstā prasība

Dažiem risinājumiem patiešām vajadzīga Ethernet uzvedība starp vietnēm: mantota lietojumprogramma, kas paļaujas uz apraides atklāšanu, migrācija, kurai jāsaglabā adrese, kamēr mašīna pārvietojas, vai protokols, kas ietver layer-2 pieņēmumus. Šādos gadījumos vajadzīgs pārklājums vai tiltota pakalpojums, kas pārvadā kadrus, un tad VLAN dalība, cilpu novēršana un kļūdu apstrāde kļūst par jautājumiem no gala līdz galam.

Tā ir daudz lielāka kļūdu joma, un tai jābūt apzinātai izvēlei, nevis nejaušam rezultātam mēģinājumam piespiest darboties failu koplietošanu. Parastam failu serverim, datubāzei vai tīmekļa lietojumprogrammai vajadzīgs autorizēts IP ceļš, un tas būs laimīgāks bez izstiepta apraides domēna zem tā.

Pierakstiet VPN līgumu kā sasniedzamus prefiksus un atļautus pakalpojumus, un reģistrējiet VLAN atzīmi tikai tur, kur tā vajadzīga vietējām darbībām. Tad katrs birojs varēs pārnumurēt savu komutāciju, nepārvēršot katru izmaiņu tuneļa pārprojektēšanā.