Jambatan TAP untuk Satu VLAN: Pasang Subantara Muka

Klien TAP yang mencapai LAN sebelum VLAN dan berhenti selepas itu biasanya masih mempunyai jambatan yang mengandungi antara muka yang salah. Penghantaran bingkai tidak menambah tag VLAN, jadi bingkai klien tanpa tag yang dihantar ke uplink fizikal tiba tanpa tag pada port trunk dan sama ada dibuang atau mendarat dalam VLAN asli. Subantara muka yang wujud di suatu tempat pada hos tidak mengubah apa-apa pada senarai ahli jambatan. Itulah mitos yang perlu dibunuh dahulu: tag digunakan oleh antara muka yang memilikinya, bukan oleh hos yang sekadar memilikinya.

Satu lanjutan VLAN bermaksud satu domain lapisan 2, dan jambatan mesti menyertai domain itu, bukan trunk yang membawa kesemuanya.

Tag Tidak Muncul Kerana Anda Menjambat Trunk

Ambil uplink Linux eno1 yang membawa VLAN 120 ke suis terurus. Reka bentuk yang berfungsi untuk satu VLAN ialah tap_vpn dijambat ke br_vpn, dengan br_vpn mengandungi eno1.120 dan bukan eno1. Subantara muka VLAN menggunakan tag pada keluar dan menanggalkannya pada masuk, jadi jambatan hanya melihat bingkai tanpa tag untuk VLAN itu. Letakkan antara muka fizikal dalam jambatan sebaliknya, dan bingkai yang sama keluar tanpa tag pada port trunk, yang bukan apa yang anda rancang.

Menjambat trunk dengan penapisan VLAN dimatikan bukan jalan pintas kepada hasil yang sama. Ia menyerahkan setiap VLAN pada wayar itu kepada jambatan, termasuk yang tidak sepatutnya dilihat oleh klien.

Dua Reka Bentuk Sah, Satu Pemilik Tag

Jambatan sedar VLAN ialah susunan sah yang lain: trunk masuk ke port jambatan, dan keahlian setiap port, PVID serta tetapan keluar bertag menentukan VLAN mana yang melalui. Di situ jambatan memiliki penandaan, dan menambah subantara muka VLAN di bawahnya akan memasang pemilik kedua untuk satu tugas. Kedua-dua reka bentuk berfungsi; serpihan kedua-duanya tidak. Tentukan objek mana yang menggunakan tag sebelum mengedit mana-mana senarai keahlian.

Port suis mesti bersetuju dengan mana-mana reka bentuk yang anda pilih. Port access yang membawa VLAN tanpa tag berpasangan dengan antara muka fizikal sebagai sambungan, manakala port trunk berpasangan dengan subantara muka bertag. Menambah subantara muka pada port access yang tidak sepadan tidak membaiki apa-apa.

Pindahkan Alamat Bersama Keahlian

Dalam reka bentuk subantara muka, alamat hos untuk subnet yang dijambat terletak pada br_vpn, bukan pada port VLAN yang diperhamba tempat ia mungkin berada sebelum ini. Membiarkannya pada port boleh kelihatan berfungsi dan kemudian berkelakuan pelik, kerana jambatan menghantar pada lapisan 2 manakala alamat duduk pada ahli. Pindahkannya sebagai sebahagian daripada perubahan keahlian, bukan sebagai eksperimen berasingan.

Memindahkan alamat boleh memutuskan laluan pentadbiran. Wujudkan laluan pemulihan bebas, simpan konfigurasi sedia ada melalui pengurus rangkaian distribusi itu sendiri, dan elakkan skrip permulaan yang bersaing yang akan bergaduh dengannya selepas naik taraf seterusnya.

Pengalamatan klien memerlukan penjagaan yang sama. VPN yang dijambat meletakkan klien dalam subnet lanjutan, jadi kolam tidak boleh bertindih dengan pajakan lain atau penetapan statik, dan susunan yang disediakan DHCP mesti yang benar-benar dijangka oleh LAN. Laluan lapisan 2 yang berfungsi tidak mengatakan apa-apa tentang alamat pendua.

Sahkan Keahlian Sebelum Menyalahkan Laluan

Baca keadaan semasa dan bukan yang dimaksudkan: ip -d link show dev eno1.120 mencetak id VLAN dan induknya, ip link show master br_vpn menyenaraikan ahli jambatan, dan bridge vlan show melaporkan keahlian setiap port dan rawatan keluar. Dalam reka bentuk subantara muka, sahkan bahawa peranti TAP dan peranti VLAN ialah ahli. Dalam jambatan sedar VLAN, periksa dasar port itu sendiri, kerana jambatan yang wujud tidak membuktikan apa yang dibenarkannya.

Kemudian uji satu klien yang dibenarkan terhadap perkhidmatan dalam VLAN itu, sambil mengingati bahawa ARP, dasar tembok api dan laluan balasan adalah perkara berasingan daripada keahlian. Jika anda menangkap paket, ambil perhatian bahawa offload perkakasan boleh mengubah tempat tag VLAN muncul dalam jejak. Jaga skop dengan jujur juga: klien TUN yang dihalakan tidak menjadi ahli VLAN melalui sebarang perubahan jambatan, dan trafik klien-ke-klien tidak menggantikan sambungan hos ke VLAN.