Дали на две локации им требаат исти VLAN ID за локациски VPN?

Истите VLAN броеви во две канцеларии изгледаат како да треба да помогнат на тунел меѓу локации, а не менуваат ништо од она што тунелот го пренесува. VLAN ID означува Ethernet broadcast домен во една зграда; тунелот препраќа IP пакети меѓу портите. Две локации можат да користат сосема различно VLAN нумерирање и сепак да рутираат една кон друга, а две локации можат да користат исто VLAN нумерирање и сепак да не можат да се достават. Променливата што ја одредува достапноста е планот на адреси.

Мит: исти VLAN ID на двата краја

Верувањето доаѓа од разумно место. Во една зграда два порта во исти VLAN можат да разговараат, а два порта во различни VLAN не можат, па VLAN бројот изгледа како она што дава поврзаност. Низ рутиран тунел нема заеднички Ethernet сегмент што ознаката би го опишала, а портите никогаш не разменуваат VLAN ознаки.

На тунелот му требаат пар адресни опсези што не се преклопуваат и политика што го дозволува сообраќајот меѓу нив. Сменете VLAN во која било канцеларија и тунелот продолжува да работи, зашто ништо во конфигурацијата на тунелот не упатуваше на него. Тоа е тестот што ја решава расправата: пренумерирајте VLAN, оставете ги адресите недопрени и гледајте дали тунелот останува.

Обратниот тест е подеднакво поучен. Дајте им на двете канцеларии иста подмрежа и никакво количество исти VLAN броеви нема да направи адресата недвосмислена.

Што всушност пренесува тунелот

IPsec ги штити IP пакетите според политика изразена во адреси, протоколи и порти. Архитектура на IPsec ги опишува тие селектори на IP слојот, што е неколку слоја над сѐ што опишува ознаката на прекинувачот. Кога пакет влегува во тунелот, тој веќе го напуштил VLAN; ознаката ја потрошил локалниот прекинувач.

Дизајните засновани на политика и на рути се разликуваат по тоа како го избираат тунелот, а не по тоа што можат да пренесат. Партнер заснован на политика ги совпаѓа селекторите на сообраќај и ги испраќа соодветните пакети во тунелот. Партнер заснован на рути го рутира сообраќајот на интерфејс на тунел и ја остава одлуката на табелата за рутирање. И двата сѐ уште преговараат за опсег на заштита, па рута што покажува кон тунелот не го проширува она за што партнерите се договориле да го штитат.

Таа разлика објаснува чест половичен неуспех: рутата постои, пакетите влегуваат во тунелот, а спротивната страна ги отфрла зашто преговараните селектори никогаш не го вклучиле тој префикс. Читањето на инсталираните политики покажува кој опсег навистина стапил на сила.

ip xfrm policy
ip route show
swanctl --list-sas

Преклопувањето што навистина крши

Две канцеларии со различни подмрежи чисто рутираат низ тунел, а нивните VLAN броеви се неважни. Две канцеларии со иста подмрежа не, зашто барањето за дадена адреса има две можни значења а табелата за рутирање може да избере само едно. Пренумерирањето на една локација е чистото решение и обично е поевтино од алтернативите кога ќе се пресметаат промените во DNS и огнениот ѕид.

Кога пренумерирањето е невозможно, намерен дизајн на превод може на секоја страна да ѝ претстави различни погледи на адресите. Тоа значи мапирање еден-на-еден, соодветни селектори, DNS записи што го одразуваат преведениот поглед и повратно рутирање што го преживува препишувањето. Тоа е поддржан дизајн со вистински оперативни трошоци и не е она што го прави менувањето на VLAN ID.

Истите VLAN броеви на двата краја се понекогаш случајност од заеднички шаблон, а третирањето на таа случајност како причина за функционален тунел води до погрешна промена кога нешто подоцна ќе се скрши.

Една задача по слој, запишана

Локалниот прекинувач одлучува кои порти делат broadcast домен, а неговото VLAN нумерирање е локално книговодство што ниту една друга локација не треба да го знае. Портата го автентифицира партнерот и го спроведува преговараниот опсег на заштита. Табелата за рутирање одлучува каде оди декриптираниот пакет потоа, а политиката за пристап одлучува дали тој пакет воопшто требало да биде дозволен.

Одделувањето на овие задачи е она што ги прави промените безбедни. Пренумерирањето VLAN во една канцеларија го допира локалниот прекинувач, DHCP опсегот и можеби зона на огнен ѕид, а не го допира тунелот. Промената на префикс ги допира селекторите на тунелот, рутите на двете страни и политиката за пристап, а не ги допира ознаките на прекинувачот.

Повратните рути, приватниот DNS и барањата за идентитет на апликацијата се повторно одделни задачи и ниту една од нив не доаѓа со копирање на VLAN број од другата локација. Дизајн документ што ги наведува достапните префикси и дозволените услуги преживува замена на прекинувач; оној што наведува VLAN броеви не преживува.

Потврдете ја локалната слика со алатките за мост пред да претпоставите дека ознака стигнува до тунелот.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Кога проширувањето на layer-2 е вистинското барање

Некои дизајни навистина бараат Ethernet однесување меѓу локации: наследена апликација што се потпира на откривање преку broadcast, миграција што мора да задржи адреса додека машината се движи, или протокол што вградува претпоставки за layer-2. Таквите случаи бараат overlay или мостова услуга што ги пренесува рамките, и тогаш VLAN членството, спречувањето јамки и справувањето со дефекти стануваат прашања од крај до крај.

Тоа е многу поголем домен на дефекти и треба да биде намерен избор, а не случаен резултат од обидот да се пушти споделување на датотеки. Обичен датотечен сервер, база на податоци или веб-апликација бараат авторизирана IP патека и ќе бидат посреќни без растегнат broadcast домен под нив.

Запишете го VPN договорот како достапни префикси плус дозволени услуги и регистрирајте ја VLAN ознаката само таму каде што им треба на локалните операции. Тогаш секоја канцеларија може да го пренумерира сопственото префрлување без секоја промена да ја претвори во редизајн на тунелот.