ക്ലയന്റ് VLAN-കൾ അല്ലെങ്കിൽ ടാഗ് ചെയ്ത ട്രങ്ക്: ശരിയായ OpenVPN മോഡ് തിരഞ്ഞെടുക്കുക

ഏതാണ്ട് ഒരേ വാക്കുകളിൽ രണ്ട് അഭ്യർത്ഥനകൾ വരുന്നു: ഓരോ VPN ക്ലയന്റിനെയും തിരഞ്ഞെടുത്ത VLAN-ലേക്ക് ഇടുക, അല്ലെങ്കിൽ നിലവിലുള്ള ഒരു VLAN ട്രങ്ക് VPN-ലൂടെ കൊണ്ടുപോകുക. ഇവ രണ്ട് വ്യത്യസ്ത ഉൽപ്പന്നങ്ങളാണ്. OpenVPN-ന്റെ ഉൾച്ചേർന്ന VLAN-ബോധ്യമുള്ള മോഡ് ആദ്യ അഭ്യർത്ഥനയ്ക്കുള്ള സ്വിച്ച് മോഡലാണ്, അത് സുതാര്യമായ ടാഗ് കൈമാറ്റത്തിന്റെ പര്യായമല്ല. തെറ്റായത് തിരഞ്ഞെടുത്താൽ കോൺഫിഗർ ചെയ്തതുപോലെ തോന്നുന്ന, പക്ഷേ നിങ്ങൾക്ക് പ്രധാനമായ ഫ്രെയിമുകൾ നിശ്ശബ്ദമായി ഉപേക്ഷിക്കുന്ന ഒരു രൂപകൽപ്പന ഉണ്ടാകും.

VLAN-ബോധ്യമുള്ള മോഡ് യഥാർത്ഥത്തിൽ നിർമ്മിക്കുന്നത്

സർവറിനു മാത്രമുള്ള TAP വിന്യാസത്തിൽ vlan-tagging പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ, ഡീമൺ അതിന്റെ TAP ഉപകരണവും ഓരോ ബന്ധിപ്പിച്ച ക്ലയന്റിനെയും ആന്തരിക സ്വിച്ചിന്റെ പോർട്ടുകളായി മാതൃകയാക്കുന്നു. ക്ലയന്റ് പോർട്ടുകൾക്ക് ടാഗ് ഇല്ല, അവയുടെ VLAN ബന്ധം സർവറിൽ ഓരോ ക്ലയന്റിന്റെയും vlan-pvid സന്ദർഭത്തിലൂടെയാണ് നിശ്ചയിക്കുന്നത്, ക്ലയന്റ് അയക്കുന്നതിലൂടെയല്ല. അതാണ് മാതൃകയുടെ മുഴുവൻ സാരം: അംഗത്വം പ്രാമാണീകരിച്ച പങ്കാളിയെക്കുറിച്ച് സർവർ ഭാഗത്ത് എടുക്കുന്ന തീരുമാനമാണ്. ക്ലയന്റ് പ്രൊഫൈലിൽ താൻ ഏത് VLAN-ലാണെന്ന് അറിയേണ്ടതായി ഒന്നുമില്ല.

സർവറിന്റെ TAP ഭാഗം vlan-accept വഴി സ്വന്തം ടാഗ് ചെയ്തതോ ടാഗ് ഇല്ലാത്തതോ ആയ സ്വീകാര്യതാ നയം നേടുന്നു. ആ സ്വിച്ചിനുള്ളിൽ ഫോർവേഡിംഗ് ഒരേപോലെയുള്ള VID-കൾക്കിടയിൽ മാത്രമാണ് നടക്കുന്നത്, client-to-client സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിലും, അതിനാൽ വ്യത്യസ്ത VLAN-കളിലുള്ള രണ്ട് ക്ലയന്റുകൾക്ക് രണ്ടും സർവറിലേക്ക് ബന്ധിപ്പിച്ചിട്ടുണ്ടെങ്കിലും സർവർ വഴി പരസ്പരം എത്താൻ കഴിയില്ല.

ഈ മാതൃക ഒരു ആക്സസ്-പോർട്ട് മാതൃകയാണ്. ക്ലയന്റിൽ നിന്ന് പുറത്തുപോകുന്ന ഫ്രെയിമുകൾക്ക് ടാഗ് ഇല്ല, ബന്ധം സർവർ ഐഡന്റിറ്റിയുടെ അടിസ്ഥാനത്തിൽ അടിച്ചേൽപ്പിക്കുന്നു. ലാപ്ടോപ്പിനോട് സ്വന്തം ട്രാഫിക് തന്നെ ടാഗ് ചെയ്യാൻ ആവശ്യപ്പെടുന്നത് മറ്റൊരു രൂപകൽപ്പന ആവശ്യപ്പെടുന്നതാണ്.

അനുവദനങ്ങൾ പ്രാമാണീകരിച്ച ക്ലയന്റ് ഐഡന്റിറ്റിയെ പിന്തുടരണം, ക്ലയന്റ് സ്വയം നൽകുന്ന മൂല്യത്തെയല്ല. വിട്ടുപോയ അനുവദന ക്വാറന്റൈൻ അവസ്ഥയുമല്ല: ക്ലയന്റ് സ്ഥിരസ്ഥിതി PVID-യിൽ എത്തുന്നു, അതിനാൽ കാണാത്ത ccd എൻട്രി നിശ്ശബ്ദമായ നയ തീരുമാനമാണ്, നിഷ്പക്ഷമല്ല.

സുതാര്യമായ ട്രങ്ക് പകരം ആവശ്യപ്പെടുന്നത്

ഇതിനകം ടാഗ് ചെയ്ത ഫ്രെയിമുകൾ അറ്റം മുതൽ അറ്റം വരെ കൊണ്ടുപോകുന്നത് VLAN-ബോധ്യമുള്ള പ്രോസസ്സിംഗ് ഓഫ് ചെയ്താണ് തുടങ്ങുന്നത്. സ്വിച്ച് മോഡലും ടാഗ് സംരക്ഷണവും ബദലുകളാണ്, രണ്ടും പ്രവർത്തനക്ഷമമാക്കുന്നത് ഒരു സവിശേഷതയോട് മറ്റൊന്നിന്റെ ജോലി ആവശ്യപ്പെടുന്നതാണ്.

ഓഫ് ചെയ്യുന്നത് തുടക്കം മാത്രം. ഓരോ അറ്റത്തുമുള്ള ബ്രിഡ്ജും ഭൗതിക സ്വിച്ച് പോർട്ടുകളും ഏത് VLAN അനുവദനീയമെന്നും ഏത് ടാഗ് സ്വദേശമാണെന്നും ടാഗ് ഇല്ലാത്ത ഫ്രെയിമുകളെ എങ്ങനെ കൈകാര്യം ചെയ്യുന്നുവെന്നും സമ്മതിക്കണം. പരിധിയില്ലാത്ത ട്രങ്ക് വിപുലീകരിക്കുന്നത് നിങ്ങൾ ബന്ധിപ്പിക്കാൻ ഉദ്ദേശിച്ച രണ്ടെണ്ണത്തേക്കാൾ എത്രയോ കൂടുതൽ ബ്രോഡ്കാസ്റ്റ് ഡൊമെയ്ൻ തുറന്നുകാട്ടുന്നു.

ഫ്രെയിം വലുപ്പത്തിന് സ്വന്തം ബജറ്റ് വേണം. ടാഗ് ചെയ്ത ഈതർനെറ്റ് ഫ്രെയിമും എൻകാപ്സുലേഷനും ഗൈഡിൽ നിന്ന് പകർത്തുന്ന പേലോഡ് സംഖ്യയേക്കാൾ വലുതാണ്, റൂട്ട് ചെയ്ത ടണലിന് അനുയോജ്യമായിരുന്ന MTU ട്രങ്ക് പാത പ്രവർത്തിക്കുന്നു എന്നതിന് തെളിവല്ല.

ഉത്തരം തീരുമാനിക്കുന്ന മൂന്ന് വ്യവസ്ഥകൾ

ഒന്നാമതായി, ക്ലയന്റ് പ്ലാറ്റ്ഫോം TAP-നെ പിന്തുണയ്ക്കുന്നുണ്ടോ? Android-ഉം iOS-ഉം പിന്തുണയ്ക്കുന്നില്ല, macOS-ന്റെ പിന്തുണ പരിമിതമാണ്, അതിനാൽ മൊബൈൽ ഉപയോക്താക്കളുടെ കൂട്ടം VLAN-കൾ എങ്ങനെ ക്രമീകരിച്ചാലും രണ്ട് TAP രൂപകൽപ്പനകളെയും ഒഴിവാക്കുന്നു. റൂട്ട് ചെയ്ത TUN സെഷൻ ഈതർനെറ്റ് ഫ്രെയിമുകളല്ല, IP പാക്കറ്റുകളാണ് കൊണ്ടുപോകുന്നത്, സർവർ ഭാഗത്തെ ഒരു VLAN കോൺഫിഗറേഷനും അത് മാറ്റുന്നില്ല. ടോപ്പോളജി രൂപകൽപ്പന ചെയ്യുന്നതിന് മുമ്പ് കൂട്ടം പരിശോധിക്കുക, കാരണം ഒഴിവാക്കാൻ കഴിയാത്ത വ്യവസ്ഥ ഇതാണ്. സ്വിച്ച് ജോലി കഴിഞ്ഞതിന് ശേഷം ഏറ്റവും കൂടുതൽ കണ്ടെത്തുന്ന വ്യവസ്ഥയും ഇതുതന്നെ.

രണ്ടാമതായി, VLAN ആരാണ് അനുവദിക്കുന്നത്? ഉത്തരം «സർവർ, ആരാണ് പ്രാമാണീകരിച്ചത് എന്നതിന്റെ അടിസ്ഥാനത്തിൽ» എന്നാണെങ്കിൽ സ്വിച്ച് മോഡൽ യോജിക്കും. ഉത്തരം «നിലവിലുള്ള സ്വിച്ച് അടിസ്ഥാനസൗകര്യം, ഇതിനകം ഉള്ള ടാഗുകളോടെ» എന്നാണെങ്കിൽ നിങ്ങൾക്ക് ട്രങ്ക് രൂപകൽപ്പന വേണം.

മൂന്നാമതായി, നെറ്റ്വർക്കിന്റെ എത്ര ഭാഗം എത്തിച്ചേരാവുന്നതായിരിക്കണം? സ്വിച്ച് മോഡൽ നിർമ്മാണപരമായി ഓരോ ക്ലയന്റിനെയും ഒരു VLAN-ൽ നിർത്തുന്നു. ട്രങ്ക് രൂപകൽപ്പന ഒരു ബ്രിഡ്ജാണ്, തെറ്റായി കോൺഫിഗർ ചെയ്ത ബ്രിഡ്ജ് വേർതിരിഞ്ഞിരിക്കേണ്ട ബ്രോഡ്കാസ്റ്റ് ഡൊമെയ്നുകളെ ബന്ധിപ്പിക്കുന്നു.

തിരഞ്ഞെടുത്തത് പരിശോധിക്കുക

അനുവദിച്ച VLAN-ൽ ആയിരിക്കേണ്ട ഒരു ക്ലയന്റും ആയിരിക്കേണ്ടാത്ത മറ്റൊന്നും ബന്ധിപ്പിച്ച്, സർവറിൽ നിന്നല്ല, യഥാർത്ഥ അറ്റത്തുനിന്ന് പരിശോധിക്കുക. സർവർ ഭാഗത്തെ എത്തിച്ചേരൽ ബ്രിഡ്ജോ സ്വിച്ചോ ഉണ്ടെന്ന് തെളിയിക്കുന്നു; ക്ലയന്റ് ഏത് VLAN-ൽ എത്തിയെന്ന് തെളിയിക്കുന്നില്ല.

ip -d link show tap0
bridge vlan show

സർവറിൽ, രണ്ടാമത്തെ കമാൻഡ് ഓരോ ബ്രിഡ്ജ് പോർട്ടിന്റെയും VLAN അംഗത്വം കാണിക്കുന്നു, പോർട്ട് ടാഗ് ചെയ്തതാണോ എന്നതും ഉൾപ്പെടെ. രണ്ടാം പാളിക്ക് മുകളിൽ എന്തെങ്കിലും ഡീബഗ് ചെയ്യുന്നതിന് മുമ്പ് അത് നിങ്ങൾ ഉദ്ദേശിച്ച അനുവദനയുമായി താരതമ്യം ചെയ്യുക.

വിന്യാസം രണ്ട് രൂപകൽപ്പനകളിൽ ഏതാണ് ഉപയോഗിക്കുന്നതെന്ന് രേഖപ്പെടുത്തുക. «VLAN-ബോധ്യമുള്ള» എന്ന കുറിപ്പ് അവ്യക്തമാണ്, അടുത്ത എൻജിനീയർ ആദ്യം പഠിച്ചത് അനുമാനിക്കും. OpenVPN VLAN റഫറൻസ്സ്വിച്ചിന്റെ സ്വഭാവവും ഓരോ ക്ലയന്റിന്റെയും സന്ദർഭവും നിർവചിക്കുന്നു, നിങ്ങൾ ഏത് മോഡലാണ് ഓടിക്കുന്നതെന്ന് ഉറപ്പാക്കാനുള്ള ഏറ്റവും ചെറിയ വഴി അതാണ്.