Хоёр сайтад сайтын VPN-д ижил VLAN ID хэрэгтэй юу?

Хоёр оффис дахь ижил VLAN дугаарууд нь сайт хоорондын туннельд туслах ёстой мэт санагддаг ч туннелийн зөөдөг зүйлд юу ч өөрчлөхгүй. VLAN ID нь нэг барилгын доторх Ethernet нэвтрүүлэх домэйныг тэмдэглэдэг; туннель нь гарцуудын хооронд IP пакетуудыг дамжуулдаг. Хоёр сайт огт өөр VLAN дугаарлалт хэрэглэсэн ч бие бие рүүгээ маршрутлагдаж болно, хоёр сайт ижил VLAN дугаарлалт хэрэглэсэн ч бие бие рүүгээ хүрч чадахгүй байж болно. Хүртээмжийг тодорхойлдог хувьсагч бол хаягийн төлөвлөгөө юм.

Мит: хоёр төгсгөлд ижил VLAN ID

Энэ итгэл үнэмшил нь ухаалаг газраас гаралтай. Нэг барилгын дотор нэг VLAN-ийн хоёр порт ярьж чаддаг бол өөр VLAN-ийн хоёр порт чаддаггүй тул VLAN дугаар нь холболт өгдөг зүйл мэт харагддаг. Маршрутлагдсан туннелийн цаана шошго дүрсэлж чадах хуваалцсан Ethernet сегмент байхгүй бөгөөд гарцууд VLAN шошгыг хэзээ ч солилцдоггүй.

Туннельд хэрэгтэй зүйл бол хоорондоо давхцахгүй хоёр хаягийн хүрээ ба тэдгээрийн хоорондын урсгалыг зөвшөөрөх бодлого юм. Аль ч оффис дээр VLAN-г сольсон ч туннель ажилласаар байна, учир нь туннелийн тохиргоонд юу ч үүнд дурдаагүй байсан. Энэ бол маргааныг шийдэх туршилт юм: VLAN-г дахин дугаарлаж, хаягуудыг хөндөхгүй орхиж, туннель тэсэх эсэхийг ажиглаарай.

Эсрэг туршилт ч мөн адил мэдээлэлтэй. Хоёр оффисст ижил дэд сүлжээ өгвөл ижил VLAN дугаар хэдий ч олон байсан ч хаягийг хоёрдмол утгагүй болгохгүй.

Туннель үнэндээ юу зөөдөг вэ

IPsec нь хаяг, протокол, портод илэрхийлсэн бодлогын дагуу IP пакетыг хамгаалдаг. IPsec архитектур нь коммутаторын шошго дүрсэлдэг бүхнээс хэд хэдэн давхарга дээгүүр байдаг IP давхаргад тэдгээр селекторуудыг дүрсэлдэг. Пакет туннельд орох үед аль хэдийн VLAN-г орхисон байдаг; шошгыг локал коммутатор зарцуулсан байна.

Бодлогод суурилсан ба маршрутад суурилсан загварууд туннелийг хэрхэн сонгодогоороо ялгаатай, юу зөөж чадахаараа биш. Бодлогод суурилсан түнш урсгалын селекторуудыг тааруулж, тохирох пакетуудыг туннель рүү илгээдэг. Маршрутад суурилсан түнш урсгалыг туннелийн интерфейс дээр маршрутлаж, шийдвэрийг маршрутлалтын хүснэгтэд үлдээдэг. Хоёулаа хамгаалалтын хүрээний талаар хэлэлцсээр байдаг тул туннель рүү заасан маршрут нь түншүүдийн хамгаалахаар тохиролцсоныг өргөжүүлэхгүй.

Энэ ялгаа нь түгээмэл хагас бүтэлгүйтлийг тайлбарладаг: маршрут байгаа, пакетууд туннельд ордог, харин алслагдсан тал тэдгээрийг хаядаг, учир нь хэлэлцсэн селекторууд тэр префиксийг хэзээ ч агуулаагүй. Суулгасан бодлогуудыг уншихад ямар хүрээ үнэндээ хүчин төгөлдөр болсныг харуулна.

ip xfrm policy
ip route show
swanctl --list-sas

Үнэндээ эвддэг давхцал

Өөр дэд сүлжээтэй хоёр оффис туннелээр цэвэрхэн маршрутлагддаг бөгөөд тэдгээрийн VLAN дугаар хамаагүй. Ижил дэд сүлжээтэй хоёр оффис тийм биш, учир нь өгөгдсөн хаягийн хүсэлт хоёр боломжит утгатай бөгөөд маршрутлалтын хүснэгт зөвхөн нэгийг сонгож чадна. Нэг сайтыг дахин дугаарлах нь цэвэр шийдэл бөгөөд DNS болон галт ханын өөрчлөлтийг тооцвол ихэвчлэн хувилбаруудаас хямд.

Дахин дугаарлах боломжгүй үед санаатай орчуулгын загвар тал бүрд өөр өөр хаягийн дүр төрхийг үзүүлж чадна. Энэ нь нэг-нэг зураглал, тохирох селекторууд, орчуулсан дүр төрхийг тусгасан DNS бичлэгүүд, дахин бичилтийг даван туулах буцах маршрутлалтыг хэлнэ. Энэ бол бодит ашиглалтын зардалтай дэмжигдсэн загвар бөгөөд VLAN ID-г өөрчлөх нь хийдэг зүйл энэ биш.

Хоёр төгсгөлд ижил VLAN дугаарууд заримдаа нийтлэг загварын санамсаргүй тохиол бөгөөд тэр тохиолыг ажиллаж буй туннелийн шалтгаан гэж үзэх нь дараа нь ямар нэгэн зүйл эвдрэхэд буруу өөрчлөлтөд хүргэдэг.

Давхарга бүрд нэг ажил, бичгээр

Локал коммутатор аль портууд нэвтрүүлэх домэйныг хуваалцахыг шийддэг бөгөөд түүний VLAN дугаарлалт нь өөр ямар ч сайтад мэдэх шаардлагагүй локал бүртгэл юм. Гарц нь түншийг баталгаажуулж, хэлэлцсэн хамгаалалтын хүрээг хэрэгжүүлдэг. Маршрутлалтын хүснэгт нь тайлагдсан пакет дараа нь хаашаа явахыг, хандалтын бодлого нь тэр пакетыг ер нь зөвшөөрөх ёстой байсан эсэхийг шийддэг.

Эдгээр ажлыг тусгаарлах нь өөрчлөлтийг аюулгүй болгодог. Нэг оффис дахь VLAN дахин дугаарлалт нь локал коммутатор, DHCP хүрээ, магадгүй галт ханын бүсэд хүрдэг бөгөөд туннельд хүрдэггүй. Префикс өөрчлөлт нь туннелийн селекторууд, хоёр талын маршрутууд, хандалтын бодлогод хүрдэг бөгөөд коммутаторын шошгонд хүрдэггүй.

Буцах маршрутууд, хувийн DNS, аппликейшны таних шаардлага нь дахин тусдаа ажлууд бөгөөд тэдгээрийн аль нь ч нөгөө сайтаас VLAN дугаар хуулж ирдэггүй. Хүрч болох префиксүүд болон зөвшөөрөгдсөн үйлчилгээг жагсаасан загварын баримт бичиг коммутаторын солилтыг даван туулна; VLAN дугаарыг жагсаасан нь даван туулахгүй.

Шошго туннельд хүрнэ гэж үзэхээс өмнө гүүрний хэрэгслээр локал дүр зургийг баталгаажуулаарай.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

layer-2 өргөтгөл нь жинхэнэ шаардлага болсон үед

Зарим загварт сайтуудын хооронд үнэхээр Ethernet зан төлөв хэрэгтэй: нэвтрүүлэх илрүүлэлтэд тулгуурладаг хуучин аппликейшн, машин нүүх үед хаягийг хадгалах ёстой шилжилт, эсвэл layer-2 таамаглалуудыг агуулсан протокол. Ийм тохиолдолд хүрээг зөөдөг overlay эсвэл гүүрэн үйлчилгээ хэрэгтэй бөгөөд тэгэхэд VLAN гишүүнчлэл, давталт сэргийлэх, алдаа зохицуулалт нь эхнээс төгсгөл хүртэлх асуудал болдог.

Энэ нь хамаагүй том алдааны домэйн бөгөөд файл хуваалцалтыг ажиллуулах оролдлогын санамсаргүй үр дүн биш, санаатай сонголт байх ёстой. Энгийн файлын сервер, мэдээллийн сан эсвэл вэб аппликейшнд зөвшөөрөгдсөн IP зам хэрэгтэй бөгөөд доор нь сунгасан нэвтрүүлэх домэйнгүй бол илүү аз жаргалтай байх болно.

VPN гэрээг хүрч болох префиксүүд ба зөвшөөрөгдсөн үйлчилгээнүүд гэж бичиж, VLAN шошгыг зөвхөн локал үйл ажиллагаанд хэрэгтэй газарт бүртгээрэй. Тэгвэл оффис бүр өөрчлөлт бүрийг туннелийн дахин загварчлал болгохгүйгээр өөрийн коммутацийг дахин дугаарлаж чадна.