Нэг VLAN-д зориулсан TAP гүүр: дэд интерфейсийг холбох

VLAN-аас өмнө LAN-д хүрч, дараа нь зогссон TAP клиент ихэвчлэн буруу интерфейсийг агуулсан гүүртэй хэвээр байдаг. Фрейм дамжуулалт VLAN шошго нэмдэггүй тул физик uplink руу илгээсэн шошгогүй клиент фрейм trunk порт дээр шошгогүй ирж, эсвэл хаягдана, эсвэл native VLAN-д орно. Дэд интерфейс хостоос хаа нэгтээ байгаа нь гүүрийн гишүүдийн жагсаалтад юу ч өөрчлөхгүй. Эхлээд устгах ёстой домог нь энэ: шошгыг түүнийг эзэмшдэг интерфейс тавьдаг, зөвхөн хост түүнтэй байгаа учраас биш.

Нэг VLAN өргөтгөл гэдэг нь нэг 2-р түвшний домэйн гэсэн үг бөгөөд гүүр бүгдийг нь зөөдөг trunk биш, тэр домэйнд нэгдэх ёстой.

Шошго харагдахгүй байгаа шалтгаан нь та trunk-ыг гүүрлэсэн

VLAN 120 зөөж буй Linux uplink eno1-г удирдлагатай свитч рүү аваач. Нэг VLAN-д ажилладаг загвар нь tap_vpn-г br_vpn рүү гүүрлэсэн, br_vpn дотор eno1 биш eno1.120 агуулагдана. VLAN дэд интерфейс гарцад шошго тавьж, орцонд авч хаядаг тул гүүр зөвхөн тэр нэг VLAN-ын шошгогүй фреймийг л хардаг. Оронд нь физик интерфейсийг гүүрт хийвэл мөнөөх фреймүүд trunk порт дээр шошгогүй гардаг бөгөөд энэ нь таны төлөвлөсөн зүйл биш.

VLAN шүүлтийг унтрааж trunk-ыг гүүрлэх нь ижил үр дүнд хүрэх товч зам биш. Энэ нь гүүрт тэр утасны бүх VLAN-ыг, клиентүүд харах ёсгүйг ч оруулан өгдөг.

Хоёр хууль ёсны загвар, нэг шошгын эзэн

VLAN-ыг мэддэг гүүр нь өөр нэг хүчинтэй зохион байгуулалт: trunk гүүрийн порт руу орж, порт тус бүрийн гишүүнчлэл, PVID, шошготой гарцын тохиргоо аль VLAN-уудыг нэвтрүүлэхийг шийддэг. Тэнд шошголлыг гүүр эзэмшдэг бөгөөд түүний доор VLAN дэд интерфейс нэмэх нь нэг ажилд хоёр дахь эзэн суулгана. Хоёр загвар ажилладаг; хоёулангийнх нь хэсэг ажиллахгүй. Гишүүдийн жагсаалтыг засахын өмнө аль объект шошго тавихыг шийд.

Свитчийн порт таны сонгосон аль ч загвартай тохирсон байх ёстой. VLAN-ыг шошгогүй зөөдөг access порт нь физик интерфейстэй холболт болж тохирдог бол trunk порт нь шошготой дэд интерфейстэй тохирдог. Тохирохгүй access порт руу дэд интерфейс нэмэх нь юу ч засахгүй.

Хаягийг гишүүнчлэлийн хамт зөө

Дэд интерфейсийн загварт гүүрлэсэн дэд сүлжээний хост хаяг br_vpn дээр байх ёстой, өмнө нь байж болох боол VLAN порт дээр биш. Үүнийг порт дээр үлдээвэл ажиллаж байгаа мэт харагдаад дараа нь хачин авирлаж болно, учир нь гүүр 2-р түвшинд дамжуулдаг бол хаяг гишүүн дээр сууж байдаг. Үүнийг тусдаа туршилт биш, гишүүнчлэлийн өөрчлөлтийн хэсэг болгон зөө.

Хаяг зөөх нь удирдлагын замыг таслаж болно. Бие даасан сэргээх зам бий болгож, одоогийн тохиргоог дистрибутивийн өөрийн сүлжээний менежерээр хадгалж, дараагийн шинэчлэлтийн дараа түүнтэй тэмцэх өрсөлдөгч эхлүүлэх скриптээс зайлсхий.

Клиентийн хаягшуулалт мөн адил анхаарал шаарддаг. Гүүрлэсэн VPN клиентүүдийг өргөтгөсөн дэд сүлжээнд байрлуулдаг тул пул бусад лизинг эсвэл статик хуваарилалттай давхцах ёсгүй бөгөөд DHCP-ээр үйлчлүүлэх зохион байгуулалт нь LAN-ын үнэхээр хүлээж байгаа зүйл байх ёстой. Ажиллаж буй 2-р түвшний зам давхардсан хаягийн талаар юу ч хэлэхгүй.

Маршрутыг буруутгахын өмнө гишүүнчлэлийг шалга

Төлөвлөсөн биш, одоогийн төлөвийг унш: ip -d link show dev eno1.120 VLAN id болон түүний эцгийг хэвлэдэг, ip link show master br_vpn гүүрийн гишүүдийг жагсаадаг, bridge vlan show порт тус бүрийн гишүүнчлэл болон гарцын боловсруулалтыг мэдээлдэг. Дэд интерфейсийн загварт TAP төхөөрөмж болон VLAN төхөөрөмж гишүүн эсэхийг батал. VLAN-ыг мэддэг гүүрт портын бодлогыг өөрөө шалга, учир нь гүүр байгаа нь юуг зөвшөөрч байгааг нотлохгүй.

Дараа нь зөвшөөрөгдсөн нэг клиентийг тэр VLAN дахь үйлчилгээтэй тулгаж туршиж, ARP, галт хананы бодлого, хариу зам нь гишүүнчлэлээс тусдаа асуудал гэдгийг сана. Хэрэв пакет барьж авбал, техник хангамжийн offload нь VLAN шошго трасд хаана харагдахыг өөрчилж болохыг анхаар. Хүрээг ч шударга бариарай: маршрутлагдсан TUN клиент ямар ч гүүрийн өөрчлөлтөөр VLAN гишүүн болохгүй, клиент хоорондын урсгал хостын VLAN-тай холболтыг орлохгүй.