VLAN tal-klijenti jew trunk bit-tag: agħżel il-mod OpenVPN it-tajjeb

Jaslu żewġ talbiet b'kliem kważi identiku: poġġi kull klijent VPN f'VLAN magħżul, jew ġorr trunk VLAN eżistenti minn fuq il-VPN. Dawn huma żewġ prodotti differenti. Il-mod inkorporat ta' OpenVPN li jaf bil-VLAN huwa mudell ta' switch għall-ewwel talba, u mhuwiex sinonimu ta' trasport trasparenti tat-tags. Għażla ħażina tipproduċi disinn li jidher konfigurat u li jwarrab bil-kwiet il-qafas li kien jimpurtak minnhom.

X'jibni tassew il-mod li jaf bil-VLAN

Meta vlan-tagging ikun attiv f'implimentazzjoni TAP għas-server biss, id-demon jimmudella l-apparat TAP tiegħu u kull klijent konness bħala portijiet fuq switch intern. Il-portijiet tal-klijenti mhumiex bit-tag, u l-assoċjazzjoni VLAN tagħhom tiġi stabbilita fuq is-server permezz tal-kuntest vlan-pvid għal kull klijent, mhux minn dak li jibgħat il-klijent. Dan huwa l-punt kollu tal-mudell: is-sħubija hija deċiżjoni fuq in-naħa tas-server dwar sieħeb awtentikat. Xejn fil-profil tal-klijent m'għandu jkun jaf liema VLAN jappartjeni għaliha.

In-naħa TAP tas-server tirċievi l-politika tagħha stess ta' aċċettazzjoni bit-tag jew mingħajr tag permezz ta' vlan-accept. Il-ħruġ 'il quddiem ġewwa dak is-switch iseħħ biss bejn VID li jqabblu, inkluż meta client-to-client ikun stabbilit, għalhekk żewġ klijenti f'VLAN differenti ma jistgħux jilħqu lil xulxin permezz tas-server għalkemm it-tnejn huma konnessi miegħu.

Dan il-mudell huwa mudell ta' port ta' aċċess. Il-qafas li joħorġu minn klijent mhumiex bit-tag, u l-assoċjazzjoni tiġi imposta mis-server abbażi tal-identità. Li titlob lill-laptop biex jittagja t-traffiku tiegħu stess ifisser li titlob disinn ieħor.

L-assenjazzjonijiet għandhom isegwu l-identità awtentikata tal-klijent, mhux valur li l-klijent joffri dwaru nnifsu. Assenjazzjoni mitlufa mhijiex lanqas stat ta' kwarantina: il-klijent jinżel fuq il-PVID default, għalhekk entrata ccd nieqsa hija deċiżjoni ta' politika kwieta, mhux newtrali.

X'jeħtieġ minflok trunk trasparenti

Li ġġorr qafas diġà bit-tag mill-bidu sat-tmiem jibda billi titfi l-ipproċessar li jaf bil-VLAN. Il-mudell ta' switch u ż-żamma tat-tags huma alternattivi, u li tattiva t-tnejn ifisser li titlob minn karatteristika waħda tagħmel ix-xogħol tal-oħra.

It-tifi huwa biss il-bidu. Il-pont f'kull tarf u l-portijiet fiżiċi tas-switch iridu jaqblu dwar liema VLAN huma permessi, liema tag huwa nattiv u kif jiġu trattati l-qafas mingħajr tag. Li testendi trunk mingħajr restrizzjoni jesponi ħafna aktar dominji ta' xandir minn dawk it-tnejn li ridt tgħaqqad.

Id-daqs tal-qafas jeħtieġ baġit tiegħu stess. Qafas Ethernet bit-tag flimkien mal-inkapsulament huwa akbar mill-figura tal-payload li n-nies jikkupjaw minn gwida, u MTU li kien tajjeb għal mina rrutjata mhuwiex prova li triq ta' trunk taħdem.

Tliet kundizzjonijiet li jiddeċiedu t-tweġiba

L-ewwel, il-pjattaforma tal-klijent tappoġġja TAP xejn? Android u iOS le, u l-appoġġ tal-macOS huwa limitat, għalhekk flotta ta' utenti mobbli teskludi ż-żewġ disinji TAP, irrispettivament minn kif huma rranġati l-VLAN. Sessjoni TUN rrutjata ġġorr pakketti IP, mhux qafas Ethernet, u l-ebda konfigurazzjoni VLAN fuq in-naħa tas-server ma tibdel dan. Iċċekkja l-flotta qabel ma tiddisinja t-topoloġija, għax din il-kundizzjoni hija dik li ma tistax tiġi evitata. Hija wkoll il-kundizzjoni li tiġi skoperta l-aktar spiss wara li jispiċċa x-xogħol tas-switch.

It-tieni, min jassenja l-VLAN? Jekk it-tweġiba hija «is-server, abbażi ta' min awtentika», il-mudell ta' switch jaqbel. Jekk it-tweġiba hija «l-infrastruttura tas-switch eżistenti, b'tags li diġà jeżistu», għandek bżonn id-disinn tat-trunk.

It-tielet, kemm min-netwerk għandu jkun aċċessibbli? Il-mudell ta' switch iżomm kull klijent fi VLAN wieħed bil-kostruzzjoni. Id-disinn tat-trunk huwa pont, u pont konfigurat ħażin jgħaqqad dominji ta' xandir li kellhom jibqgħu separati.

L-ittestjar tal-għażla li għamilt

Qabbad klijent wieħed li għandu jkun fil-VLAN permess u ieħor li m'għandux, imbagħad ittestja mit-tarf veru minflok mis-server innifsu. L-aċċessibbiltà min-naħa tas-server turi li l-pont jew is-switch jeżisti; ma turix liema VLAN il-klijent niżel fih.

ip -d link show tap0
bridge vlan show

Fuq is-server, it-tieni kmand juri s-sħubija VLAN ta' kull port tal-pont, inkluż jekk port huwiex bit-tag. Qabbel dan mal-assenjazzjoni li kellek f'moħħok qabel ma tibda tiddenubja xejn 'il fuq mill-livell tnejn.

Innota liema mid-disinji t-tnejn juża l-implimentazzjoni. Nota li tgħid «jaf bil-VLAN» hija ambigwa, u l-inġinier li jmiss jassumi dak li tgħallem l-ewwel. Ir-referenza VLAN ta' OpenVPNtiddefinixxi l-imġiba tas-switch u l-kuntest għal kull klijent, u hija l-eqreb triq biex tikkonferma liema mudell qed tħaddem.