Adakah dua tapak memerlukan VLAN ID yang sama untuk VPN tapak?

Nombor VLAN yang sama di dua pejabat terasa seolah-olah patut membantu terowong antara tapak, dan ia tidak mengubah apa-apa tentang apa yang dibawa terowong. VLAN ID menandakan domain siaran Ethernet dalam satu bangunan; terowong memajukan paket IP antara gateway. Dua tapak boleh menggunakan penomboran VLAN yang sama sekali berbeza dan masih menghala ke satu sama lain, dan dua tapak boleh menggunakan penomboran VLAN yang sama dan masih tidak dapat mencapai satu sama lain. Pemboleh ubah yang menentukan kebolehcapaian ialah pelan alamat.

Mitos: VLAN ID yang sama di kedua-dua hujung

Kepercayaan itu datang dari tempat yang munasabah. Dalam satu bangunan, dua port dalam VLAN yang sama boleh bercakap dan dua port dalam VLAN berbeza tidak boleh, jadi nombor VLAN kelihatan seperti perkara yang memberikan konektiviti. Merentasi terowong berpenghalaan tiada segmen Ethernet dikongsi yang boleh diterangkan oleh tag, dan gateway tidak pernah bertukar label VLAN.

Apa yang terowong perlukan ialah sepasang skop alamat yang tidak bertindih dan dasar yang membenarkan trafik antaranya. Tukar VLAN di mana-mana pejabat dan terowong terus berfungsi, kerana tiada apa-apa dalam konfigurasi terowong merujuknya. Itulah ujian yang menyelesaikan perdebatan: nombor semula VLAN, biarkan alamat itu dan lihat sama ada terowong kekal.

Ujian sebaliknya sama bermaklumat. Beri kedua-dua pejabat subnet yang sama dan tiada jumlah nombor VLAN yang sama akan menjadikan alamat tidak kabur.

Apa yang sebenarnya dibawa terowong

IPsec melindungi paket IP mengikut dasar yang dinyatakan dalam alamat, protokol dan port. Seni bina IPsec menerangkan pemilih itu pada lapisan IP, yang beberapa lapisan di atas apa pun yang diterangkan oleh tag suis. Apabila paket masuk ke terowong, ia sudah meninggalkan VLAN; tag telah digunakan oleh suis tempatan.

Reka bentuk berasaskan dasar dan berasaskan laluan berbeza dalam cara mereka memilih terowong, bukan dalam apa yang boleh dibawa. Rakan berasaskan dasar memadankan pemilih trafik dan menghantar paket padanan ke dalam terowong. Rakan berasaskan laluan menghala trafik pada antara muka terowong dan membiarkan jadual penghalaan memutuskan. Kedua-duanya masih merundingkan skop perlindungan, jadi laluan yang menunjuk ke terowong tidak meluaskan apa yang rakan-rakan bersetuju untuk lindungi.

Perbezaan itu menjelaskan kegagalan separuh yang biasa: laluan wujud, paket masuk ke terowong, dan sisi jauh membuangnya kerana pemilih yang dirundingkan tidak pernah memasukkan prefiks itu. Membaca dasar yang dipasang menunjukkan skop mana yang benar-benar berkuat kuasa.

ip xfrm policy
ip route show
swanctl --list-sas

Pertindihan yang benar-benar memecahkan

Dua pejabat dengan subnet berbeza menghala dengan bersih melalui terowong, dan nombor VLAN mereka tidak relevan. Dua pejabat dengan subnet yang sama tidak, kerana permintaan untuk alamat tertentu mempunyai dua makna yang mungkin dan jadual penghalaan hanya boleh memilih satu. Menomborkan semula satu tapak ialah pembaikan bersih, dan biasanya lebih murah daripada alternatif apabila perubahan DNS dan firewall dikira.

Apabila penomboran semula mustahil, reka bentuk terjemahan yang disengajakan boleh membentangkan pandangan alamat yang berbeza kepada setiap sisi. Itu bermaksud pemetaan satu-ke-satu, pemilih yang sepadan, entri DNS yang mencerminkan pandangan terjemahan dan penghalaan balik yang bertahan daripada penulisan semula. Ia reka bentuk yang disokong dengan kos operasi sebenar, dan bukan itu yang dilakukan oleh menukar VLAN ID.

Nombor VLAN yang sama di kedua-dua hujung kadangkala kebetulan daripada templat dikongsi, dan menganggap kebetulan itu sebagai punca terowong yang berfungsi membawa kepada perubahan yang salah apabila sesuatu rosak kemudian.

Satu tugas bagi setiap lapisan, ditulis

Suis tempatan memutuskan port mana yang berkongsi domain siaran, dan penomboran VLAN-nya ialah perakaunan tempatan yang tiada tapak lain perlu tahu. Gateway mengesahkan rakan dan menguatkuasakan skop perlindungan yang dirundingkan. Jadual penghalaan memutuskan ke mana paket yang dinyahsulit pergi seterusnya, dan dasar akses memutuskan sama ada paket itu patut dibenarkan sama sekali.

Mengekalkan tugas itu berasingan ialah apa yang menjadikan perubahan selamat. Penomboran semula VLAN di satu pejabat menyentuh suis tempatan, skop DHCP dan mungkin zon firewall, dan ia tidak menyentuh terowong. Perubahan prefiks menyentuh pemilih terowong, laluan di kedua-dua belah dan dasar akses, dan ia tidak menyentuh tag suis.

Laluan balik, DNS peribadi dan keperluan identiti aplikasi sekali lagi tugas berasingan, dan tiada satu pun datang dengan menyalin nombor VLAN dari tapak lain. Dokumen reka bentuk yang menyenaraikan prefiks boleh dicapai dan perkhidmatan dibenarkan bertahan daripada penggantian suis; yang menyenaraikan nombor VLAN tidak.

Sahkan gambaran tempatan dengan alat jambatan sebelum menganggap tag sampai ke terowong.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Apabila lanjutan layer-2 ialah keperluan sebenar

Sesetengah reka bentuk benar-benar memerlukan tingkah laku Ethernet antara tapak: aplikasi legasi yang bergantung pada penemuan siaran, migrasi yang mesti mengekalkan alamat semasa mesin bergerak, atau protokol yang membenamkan andaian layer-2. Kes sedemikian memerlukan overlay atau perkhidmatan berjambatan yang membawa bingkai, dan kemudian keahlian VLAN, pencegahan gelung dan pengendalian kegagalan menjadi perkara hujung ke hujung.

Itu domain kegagalan yang jauh lebih besar, dan ia sepatutnya menjadi pilihan yang disengajakan dan bukan hasil tidak sengaja daripada cubaan membuat perkongsian fail berfungsi. Pelayan fail, pangkalan data atau aplikasi web biasa memerlukan laluan IP yang dibenarkan, dan ia akan lebih gembira tanpa domain siaran yang diregangkan di bawahnya.

Tulis kontrak VPN sebagai prefiks boleh dicapai tambah perkhidmatan dibenarkan, dan rekod label VLAN hanya di tempat operasi tempatan memerlukannya. Setiap pejabat kemudian boleh menomborkan semula suisnya sendiri tanpa mengubah setiap perubahan menjadi reka bentuk semula terowong.