क्लायंट VLAN किंवा टॅग केलेला ट्रंक: योग्य OpenVPN मोड निवडा

जवळपास सारख्याच शब्दांत दोन विनंत्या येतात: प्रत्येक VPN क्लायंटला निवडलेल्या VLANमध्ये ठेवा, किंवा विद्यमान VLAN ट्रंक VPNमधून न्या. ही दोन वेगळी उत्पादने आहेत. OpenVPNचा अंगभूत VLAN-जाणते मोड पहिल्या विनंतीसाठी स्विच मॉडेल आहे, आणि तो पारदर्शक टॅग वाहतुकीचा समानार्थी नाही. चुकीची निवड केल्यास अशी रचना तयार होते जी संरचित दिसते पण तुम्हाला महत्त्वाच्या असलेल्या फ्रेम्स गुपचूप टाकून देते.

VLAN-जाणते मोड प्रत्यक्षात काय बांधते

फक्त सर्व्हरसाठीच्या TAP उपयोजनात vlan-tagging सक्रिय असताना, डीमन आपले TAP उपकरण आणि जोडलेल्या प्रत्येक क्लायंटला अंतर्गत स्विचचे पोर्ट म्हणून प्रतिरूपित करते. क्लायंट पोर्ट टॅगविरहित असतात, आणि त्यांचे VLAN संबंध सर्व्हरवर प्रत्येक क्लायंटच्या vlan-pvid संदर्भाने ठरवले जाते, क्लायंट जे पाठवतो त्याने नाही. हाच मॉडेलचा संपूर्ण हेतू: सदस्यत्व हे प्रमाणित सहकाऱ्याबद्दल सर्व्हरच्या बाजूचे निर्णय आहे. क्लायंट प्रोफाइलमधील कोणत्याही गोष्टीला तो कोणत्या VLANमध्ये आहे हे माहीत असण्याची गरज नाही.

सर्व्हरच्या TAP बाजूला vlan-accept द्वारे स्वतःचे टॅग केलेले किंवा टॅग न केलेले स्वीकृती धोरण मिळते. त्या स्विचमधील अग्रेषण फक्त जुळणाऱ्या VIDमध्येच होते, client-to-client सेट असतानाही, म्हणून वेगवेगळ्या VLANमधील दोन क्लायंट दोन्ही सर्व्हरला जोडलेले असूनही सर्व्हरमधून एकमेकांपर्यंत पोहोचू शकत नाहीत.

हे मॉडेल प्रवेश-पोर्ट मॉडेल आहे. क्लायंटमधून बाहेर पडणाऱ्या फ्रेम्स टॅगविरहित असतात, आणि संबंध सर्व्हर ओळखीच्या आधारे लादतो. लॅपटॉपला स्वतःचा रहदारी स्वतः टॅग करायला सांगणे म्हणजे वेगळी रचना मागणे.

नियुक्त्या प्रमाणित क्लायंट ओळखीचे अनुसरण करायला हव्यात, क्लायंट स्वतःबद्दल सांगतो त्या मूल्याचे नाही. वगळलेली नियुक्ती अटकाव स्थितीही नाही: क्लायंट डीफॉल्ट PVIDवर पोहोचतो, त्यामुळे गहाळ ccd नोंद हा शांत धोरण निर्णय आहे, तटस्थ नाही.

पारदर्शक ट्रंक त्याऐवजी काय मागतो

आधीच टॅग केलेल्या फ्रेम्स टोकापासून टोकापर्यंत नेण्याची सुरुवात VLAN-जाणते प्रक्रिया बंद करून होते. स्विच मॉडेल आणि टॅग टिकवणे हे पर्याय आहेत, आणि दोन्ही सक्षम करणे म्हणजे एका वैशिष्ट्याला दुसऱ्याचे काम करायला सांगणे.

बंद करणे ही फक्त सुरुवात. प्रत्येक टोकावरील ब्रिज आणि भौतिक स्विच पोर्ट कोणते VLAN परवानगीत आहेत, कोणता टॅग स्थानिक आहे आणि टॅग नसलेल्या फ्रेम्सना कसे वागवायचे यावर एकमत झाले पाहिजेत. अमर्यादित ट्रंक वाढवल्यास तुम्हाला जोडायचे होते त्या दोनपेक्षा कितीतरी जास्त प्रसारण क्षेत्रे उघड होतात.

फ्रेमच्या आकाराला स्वतःचे अर्थसंकल्प हवे. टॅग केलेली इथरनेट फ्रेम आणि एन्कॅप्सुलेशन मार्गदर्शकातून कॉपी केलेल्या पेलोड आकड्यापेक्षा मोठे असते, आणि राउटेड बोगद्यासाठी योग्य असलेले MTU ट्रंक मार्ग चालतो याचा पुरावा नाही.

उत्तर ठरवणाऱ्या तीन अटी

प्रथम, क्लायंट प्लॅटफॉर्म TAPला अजिबात आधार देतो का? Android आणि iOS देत नाहीत, आणि macOSचा आधार मर्यादित आहे, त्यामुळे मोबाइल वापरकर्त्यांचा ताफा VLAN कसेही मांडले असले तरी दोन्ही TAP रचना रद्द करतो. राउटेड TUN सत्र इथरनेट फ्रेम्स नाही तर IP पॅकेट वाहते, आणि सर्व्हरच्या बाजूचे कोणतेही VLAN संरचना ते बदलत नाही. टोपोलॉजी रचण्यापूर्वी ताफा तपासा, कारण हीच अट टाळता येत नाही. स्विचचे काम संपल्यानंतर सर्वाधिक आढळणारी अटही हीच असते.

दुसरे, VLAN कोण नियुक्त करतो? उत्तर «सर्व्हर, कोणी प्रमाणित केले याच्या आधारे» असेल तर स्विच मॉडेल योग्य आहे. उत्तर «विद्यमान स्विच पायाभूत सुविधा, आधीपासून असलेल्या टॅगसह» असेल तर तुम्हाला ट्रंक रचना हवी.

तिसरे, नेटवर्कचा किती भाग पोहोचण्यायोग्य असावा? स्विच मॉडेल रचनेनुसार प्रत्येक क्लायंटला एका VLANमध्ये ठेवते. ट्रंक रचना ब्रिज आहे, आणि चुकीच्या संरचित ब्रिज वेगळी राहायला हवी होती अशी प्रसारण क्षेत्रे जोडते.

तुम्ही केलेल्या निवडीची चाचणी

परवानगीत VLANमध्ये असायला हवा असा एक क्लायंट आणि नसायला हवा असा दुसरा जोडा, नंतर सर्व्हरवरून नाही तर खऱ्या टोकावरून चाचणी करा. सर्व्हरच्या बाजूची पोहोच ब्रिज किंवा स्विच आहे हे सिद्ध करते; क्लायंट कोणत्या VLANमध्ये पोहोचला हे सिद्ध करत नाही.

ip -d link show tap0
bridge vlan show

सर्व्हरवर, दुसरा आदेश प्रत्येक ब्रिज पोर्टचे VLAN सदस्यत्व दाखवतो, पोर्ट टॅग केलेला आहे का हेही. दुसऱ्या स्तरावरील काहीही डीबग करण्यापूर्वी त्याची तुम्ही ठरवलेल्या नियुक्तीशी तुलना करा.

उपयोजन दोनपैकी कोणती रचना वापरते ते नोंदवा. «VLAN-जाणते» अशी नोंद संदिग्ध आहे, आणि पुढचा अभियंता आपण प्रथम शिकलेली रचना गृहीत धरेल. OpenVPN VLAN संदर्भस्विचचे वर्तन आणि प्रत्येक क्लायंटचा संदर्भ परिभाषित करतो, आणि तुम्ही कोणते मॉडेल चालवता हे पुष्टी करण्याचा सर्वात लहान मार्ग तोच आहे.