Клиент VLAN уу, эсвэл тэмдэглэсэн trunk уу: зөв OpenVPN горимыг сонгоно уу

Бараг ижил үгээр хоёр хүсэлт ирдэг: VPN клиент бүрийг сонгосон VLAN-д хийх, эсвэл одоо байгаа VLAN trunk-ыг VPN-ээр дамжуулах. Эдгээр нь өөр өөр бүтээгдэхүүн юм. OpenVPN-ийн суулгагдсан VLAN-ыг мэддэг горим нь эхний хүсэлтэд зориулсан коммутаторын загвар бөгөөд тунгалаг шошго дамжуулалтын синоним биш. Буруу сонголт нь тохируулсан мэт харагдах боловч танд чухал кадруудыг чимээгүй хаядаг загвар үүсгэдэг.

VLAN-ыг мэддэг горим юу гэж бүтээдэг вэ

Зөвхөн серверт зориулсан TAP байршуулалтад vlan-tagging идэвхжсэн үед демон өөрийн TAP төхөөрөмж болон холбогдсон клиент бүрийг дотоод коммутаторын порт гэж загварчилдаг. Клиентийн портууд шошгогүй бөгөөд тэдгээрийн VLAN холбоо нь сервер дээр клиент тус бүрийн vlan-pvid контекстээр тогтоогддог, клиентийн илгээдэг зүйлээр биш. Энэ бол загварын бүх утга: гишүүнчлэл нь баталгаажсан түншийн талаар серверийн талаас гаргасан шийдвэр юм. Клиентийн профайлд аль VLAN-д хамаарахаа мэдэх шаардлагагүй.

Серверийн TAP тал vlan-accept-оор дамжуулан өөрийн шошготой эсвэл шошгогүй хүлээн авах бодлогыг авдаг. Тэр коммутатор дотор дамжуулалт нь зөвхөн тохирох VID-үүдийн хооронд явагдана, client-to-client тохируулсан үед ч, тиймээс өөр өөр VLAN дахь хоёр клиент хоёулаа түүнтэй холбогдсон ч серверээр дамжин бие биедээ хүрч чадахгүй.

Энэ загвар нь хандалтын портын загвар юм. Клиентээс гарч буй кадрууд шошгогүй бөгөөд холбоог сервер таних мэдээллийн үндсэн дээр тулгадаг. Зөөврийн компьютерээс өөрийн трафикийг өөрөө шошголохыг шаардах нь өөр загвар шаардах хэрэг.

Хуваарилалт нь баталгаажсан клиентийн таних мэдээллийг дагах ёстой, клиентийн өөрийнхөө тухай санал болгож буй утгыг биш. Орхигдсон хуваарилалт нь хоригийн төлөв ч биш: клиент анхдагч PVID дээр буудаг тул дутуу ccd бичлэг нь чимээгүй бодлогын шийдвэр, төвийг сахисан биш.

Тунгалаг trunk үүний оронд юу шаарддаг вэ

Аль хэдийн шошготой кадруудыг эхнээс нь дуустал зөөх нь VLAN-ыг мэддэг боловсруулалтыг унтраахаас эхэлдэг. Коммутаторын загвар ба шошгыг хадгалах нь альтернатив бөгөөд хоёуланг нь идэвхжүүлэх нь нэг функцийг нөгөөгийн ажлыг хийхийг шаардах хэрэг.

Унтраах нь зөвхөн эхлэл. Хоёр төгсгөл дэх гүүр болон физик коммутаторын портууд аль VLAN-ыг зөвшөөрөх, аль шошго нь уугуул болох, шошгогүй кадруудыг хэрхэн зохицуулах талаар санал нийлэх ёстой. Хязгааргүй trunk-ыг өргөтгөх нь таны холбохыг хүссэн хоёроос хамаагүй олон нэвтрүүлэх домайныг ил гаргадаг.

Кадрын хэмжээ өөрийн төсөв шаарддаг. Шошготой Ethernet кадр дээр инкапсуляци нэмэхэд гарын авлагаас хуулж авдаг ачааны тооноос том болдог бөгөөд маршрутлагдсан туннелд тохирсон MTU нь trunk зам ажиллаж байгаагийн баталгаа биш.

Хариултыг шийддэг гурван нөхцөл

Нэгд, клиентийн платформ TAP-ыг огт дэмждэг үү? Android болон iOS дэмждэггүй, macOS-ын дэмжлэг хязгаарлагдмал тул гар утасны хэрэглэгчдийн бүлэг VLAN-ыг хэрхэн зохион байгуулсан ч TAP-ын хоёр загварыг хоёуланг нь хасахад хүргэдэг. Маршрутлагдсан TUN сесс нь Ethernet кадр биш IP пакет зөөдөг бөгөөд серверийн талын ямар ч VLAN тохиргоо үүнийг өөрчлөхгүй. Топологи зохион байгуулахаас өмнө бүлгийг шалгаарай, учир нь энэ нөхцөлийг тойрч гарах боломжгүй. Энэ нь мөн коммутаторын ажил дууссаны дараа хамгийн их илэрдэг нөхцөл юм.

Хоёрт, VLAN-ыг хэн хуваарилдаг вэ? Хариулт нь «сервер, хэн баталгаажсаныг үндэслэн» бол коммутаторын загвар тохирно. Хариулт нь «одоо байгаа коммутаторын дэд бүтэц, аль хэдийн байгаа шошготойгоор» бол танд trunk загвар хэрэгтэй.

Гуравт, сүлжээний хэр их хэсэг хүртээмжтэй байх ёстой вэ? Коммутаторын загвар нь бүтцээрээ клиент бүрийг нэг VLAN-д байлгадаг. Trunk загвар нь гүүр бөгөөд буруу тохируулсан гүүр нь тусдаа байх ёстой байсан нэвтрүүлэх домайнуудыг холбодог.

Сонголтоо шалгах

Зөвшөөрөгдсөн VLAN-д байх ёстой нэг клиент болон байх ёсгүй нэг клиентийг холбож, дараа нь серверээс биш, бодит төгсгөлөөс туршина уу. Серверийн талын хүртээмж нь гүүр эсвэл коммутатор байгааг нотолдог; клиент аль VLAN-д буусаныг нотолдоггүй.

ip -d link show tap0
bridge vlan show

Сервер дээр хоёр дахь команд нь гүүрний порт бүрийн VLAN гишүүнчлэлийг, порт шошготой эсэхийг оруулан харуулна. Хоёрдугаар давхаргаас дээш ямар нэг зүйлийг дибаг хийхээс өмнө үүнийг төлөвлөсөн хуваарилалттай харьцуулна уу.

Байршуулалт хоёр загварын алийг нь ашиглаж байгааг бичнэ үү. «VLAN-ыг мэддэг» гэсэн тэмдэглэл нь хоёрдмол утгатай бөгөөд дараагийн инженер өөрөө анх сурсан хувилбарыг таамаглана. OpenVPN-ийн VLAN лавлахкоммутаторын зан төлөв болон клиент тус бүрийн контекстийг тодорхойлдог бөгөөд ямар загвар ажиллуулж байгаагаа батлах хамгийн богино зам энэ юм.