VLAN klien atau trunk bertag: pilih mod OpenVPN yang betul

Dua permintaan datang dengan hampir sama perkataan: letakkan setiap klien VPN dalam VLAN pilihan, atau bawa trunk VLAN sedia ada merentas VPN. Ia dua produk berbeza. Mod terbina dalam OpenVPN yang peka VLAN ialah model suis untuk permintaan pertama, dan ia bukan sinonim pengangkutan tag telus. Pilihan yang salah menghasilkan reka bentuk yang kelihatan dikonfigurasikan dan diam-diam membuang bingkai yang anda pentingkan.

Apa yang sebenarnya dibina oleh mod peka VLAN

Dengan vlan-tagging diaktifkan pada penggunaan TAP pelayan sahaja, daemon memodelkan peranti TAPnya dan setiap klien yang disambungkan sebagai port pada suis dalaman. Port klien tidak bertag, dan perkaitan VLANnya ditetapkan pada pelayan melalui konteks vlan-pvid bagi setiap klien, bukan oleh apa-apa yang dihantar oleh klien. Itulah inti keseluruhan model: keahlian ialah keputusan di pihak pelayan tentang rakan yang disahkan. Tiada apa-apa dalam profil klien perlu tahu VLAN mana ia tergolong.

Bahagian TAP pelayan mendapat dasar penerimaan bertag atau tidak bertag sendiri melalui vlan-accept. Pemajuan dalam suis itu hanya berlaku antara VID yang sepadan, termasuk apabila client-to-client ditetapkan, jadi dua klien dalam VLAN berbeza tidak boleh saling mencapai melalui pelayan walaupun kedua-duanya bersambung kepadanya.

Model itu ialah model port akses. Bingkai yang keluar dari klien tidak bertag, dan perkaitan itu dikenakan oleh pelayan berdasarkan identiti. Meminta komputer riba menandakan trafiknya sendiri bermakna meminta reka bentuk lain.

Penetapan mesti mengikut identiti klien yang disahkan, bukan nilai yang ditawarkan klien tentang dirinya. Penetapan yang tertinggal juga bukan keadaan kuarantin: klien mendarat pada PVID lalai, jadi entri ccd yang tiada ialah keputusan dasar yang senyap, bukan neutral.

Apa yang sebaliknya diperlukan oleh trunk telus

Membawa bingkai yang sudah bertag dari hujung ke hujung bermula dengan mematikan pemprosesan peka VLAN. Model suis dan pemeliharaan tag ialah alternatif, dan mengaktifkan kedua-duanya bermakna meminta satu ciri melakukan kerja yang lain.

Mematikannya hanyalah permulaan. Jambatan di setiap hujung dan port suis fizikal mesti bersetuju tentang VLAN mana yang dibenarkan, tag mana yang asli dan bagaimana bingkai tanpa tag dirawat. Meluaskan trunk tanpa had mendedahkan jauh lebih banyak domain siaran daripada dua yang anda mahu sambungkan.

Saiz bingkai memerlukan belanjanya sendiri. Bingkai Ethernet bertag serta enkapsulasi lebih besar daripada angka muatan yang orang salin daripada panduan, dan MTU yang sesuai untuk terowong berpenghalaan bukan bukti bahawa laluan trunk berfungsi.

Tiga syarat yang menentukan jawapannya

Pertama, adakah platform klien menyokong TAP sama sekali? Android dan iOS tidak, dan sokongan macOS terhad, jadi armada pengguna mudah alih menolak kedua-dua reka bentuk TAP, tidak kira bagaimana VLAN disusun. Sesi TUN berpenghalaan membawa paket IP, bukan bingkai Ethernet, dan tiada konfigurasi VLAN di pihak pelayan mengubahnya. Periksa armada sebelum mereka bentuk topologi, kerana syarat inilah yang tidak dapat dielakkan. Ia juga syarat yang paling kerap ditemui selepas kerja suis selesai.

Kedua, siapa yang menetapkan VLAN? Jika jawapannya «pelayan, berdasarkan siapa yang disahkan», model suis sesuai. Jika jawapannya «infrastruktur suis sedia ada, dengan tag yang sudah wujud», anda memerlukan reka bentuk trunk.

Ketiga, sebanyak mana rangkaian harus boleh dicapai? Model suis mengekalkan setiap klien dalam satu VLAN secara pembinaan. Reka bentuk trunk ialah jambatan, dan jambatan yang salah dikonfigurasikan menyatukan domain siaran yang sepatutnya kekal berasingan.

Menguji pilihan yang anda buat

Sambungkan satu klien yang sepatutnya berada dalam VLAN yang dibenarkan dan satu yang tidak, kemudian uji dari hujung sebenar dan bukan dari pelayan itu sendiri. Kebolehcapaian dari pihak pelayan membuktikan jambatan atau suis wujud; ia tidak membuktikan VLAN mana klien mendarat.

ip -d link show tap0
bridge vlan show

Pada pelayan, perintah kedua menunjukkan keahlian VLAN setiap port jambatan, termasuk sama ada port itu bertag. Bandingkannya dengan penetapan yang anda maksudkan sebelum menyahpepijat apa-apa di atas lapisan dua.

Catat reka bentuk mana antara dua yang digunakan oleh penggunaan. Nota yang berkata «peka VLAN» adalah kabur, dan jurutera seterusnya akan menganggap yang pertama dipelajarinya. Rujukan VLAN OpenVPNmentakrifkan tingkah laku suis dan konteks bagi setiap klien, dan itulah laluan terpendek untuk mengesahkan model mana yang anda jalankan.