TAP мост за еден VLAN: прикачете го под-интерфејсот

TAP клиент што стигнал до LAN пред VLAN-ите и потоа престанал, обично има мост што уште го содржи погрешниот интерфејс. Препраќањето на кадри не додава VLAN ознака, па кадарот на клиентот без ознака испратен до физичкиот uplink пристигнува без ознака на trunk порта и или се отфрла, или завршува во нативниот VLAN. Тоа што под-интерфејсот постои некаде на домаќинот не менува ништо во списокот на членови на мостот. Тоа е митот што прво треба да се убие: ознаката ја става интерфејсот што ја поседува, а не домаќинот што едноставно ја има.

Едно VLAN проширување значи еден домен на 2 слој, а мостот мора да се приклучи кон тој домен, а не кон trunk-от што ги носи сите.

Ознаката не се појавува затоа што го премостивте trunk-от

Земете Linux uplink eno1 што носи VLAN 120 до управуван прекинувач. Дизајнот што работи за еден VLAN е tap_vpn премостен кон br_vpn, при што br_vpn содржи eno1.120 наместо eno1. VLAN под-интерфејсот ја става ознаката на излез и ја отстранува на влез, па мостот гледа само кадри без ознака за тој еден VLAN. Наместо тоа, ставете го физичкиот интерфејс во мостот и истите кадри излегуваат без ознака на trunk порта, што не е она што го планиравте.

Премостување на trunk-от со исклучено VLAN филтрирање не е кратенка до истиот резултат. Тоа му ги дава на мостот сите VLAN-и на таа жица, вклучително и тие што клиентите не треба да ги гледаат.

Два легитимни дизајни, еден сопственик на ознаката

VLAN-свесен мост е другиот валиден распоред: trunk-от влегува во мост порта, а членството по порта, PVID и поставките за означен излез одлучуваат кои VLAN-и поминуваат. Таму мостот го поседува означувањето, а додавањето VLAN под-интерфејс под него би инсталирало втор сопственик за една работа. Двата дизајна работат; фрагменти од двата не. Одлучете кој објект ја става ознаката пред да уредувате каков било список на членови.

Прекинувачката порта мора да се согласи со кој и да е дизајн што ќе го изберете. Access порта што го носи VLAN-от без ознака се совпаѓа со физичкиот интерфејс како приклучок, додека trunk порта се совпаѓа со означен под-интерфејс. Додавањето под-интерфејс на несоодветна access порта не поправа ништо.

Преместете ја адресата заедно со членството

Во дизајнот со под-интерфејс, адресата на домаќинот за премостената подмрежа припаѓа на br_vpn, а не на поробената VLAN порта каде што можеби живеела порано. Да се остави на портата може да изгледа дека работи, а потоа да се однесува чудно, бидејќи мостот препраќа на 2 слој, додека адресата стои на член. Преместете ја како дел од промената на членството, а не како одделен експеримент.

Преместувањето на адреса може да го прекине административниот пат. Воспоставете независен пат за враќање, зачувајте ја постојната конфигурација преку сопствениот мрежен менаџер на дистрибуцијата и избегнувајте конкурентна стартна скрипта што ќе се бори со неа по следното надградување.

Адресирањето на клиентите бара истата грижа. Премостениот VPN ги става клиентите во проширената подмрежа, па базенот не смее да се преклопува со други закупи или статични доделувања, а распоредот што го служи DHCP мора да биде тој што LAN-от навистина го очекува. Работен пат на 2 слој не кажува ништо за дупликат адреси.

Проверете го членството пред да ги обвините рутите

Читајте ја сегашната состојба, а не предвидената: ip -d link show dev eno1.120 печати VLAN id и неговиот родител, ip link show master br_vpn ги наведува членовите на мостот, а bridge vlan show известува за членство по порта и обработка на излезот. Во дизајнот со под-интерфејс, потврдете дека TAP уредот и VLAN уредот се членови. Во VLAN-свесен мост, проверете ја самата политика на портата, бидејќи постоечки мост не докажува што дозволува.

Потоа тестирајте еден дозволен клиент против услуга во тој VLAN, запомнувајќи дека ARP, политиката на огнениот ѕид и повратниот пат се одделни прашања од членството. Ако фаќате пакети, забележете дека хардверското offload може да го промени местото каде VLAN ознаките се појавуваат во трага. Држете го обемот чесен: рутиран TUN клиент не станува VLAN член со никаква промена на мостот, а сообраќајот клиент-кон-клиент не го заменува приклучувањето на домаќинот кон VLAN.