Żewġ siti għandhom bżonn l-istess VLAN ID għal VPN tas-sit?

L-istess numri VLAN f'żewġ uffiċċji jidhru bħallikieku għandhom jgħinu mina bejn is-siti, u ma jbiddlu xejn f'dak li ġġorr il-mina. VLAN ID jittikkjetta dominju tax-xandir Ethernet ġewwa bini wieħed; il-mina tibgħat pakketti IP bejn il-gateways. Żewġ siti jistgħu jużaw numrar VLAN kompletament differenti u xorta jirrotaw lejn xulxin, u żewġ siti jistgħu jużaw l-istess numrar VLAN u xorta ma jilħqux lil xulxin. Il-varjabbli li jiddetermina l-aċċessibilità huwa l-pjan tal-indirizzi.

Il-mit: l-istess VLAN ID fiż-żewġt trufijiet

It-twemmin ġej minn post raġonevoli. Ġewwa bini wieħed, żewġ portijiet fl-istess VLAN jistgħu jitkellmu u żewġ portijiet fi VLAN differenti ma jistgħux, għalhekk in-numru VLAN jidher bħala dak li jagħti l-konnettività. Tul mina bir-router m'hemmx segment Ethernet kondiviż li t-tikketta tista' tiddeskrivi, u l-gateways qatt ma jibdlu tikki VLAN.

Dak li l-mina teħtieġ huwa par żoni tal-indirizzi li ma jidħlux f'xulxin u politika li tippermetti t-traffiku bejniethom. Ibdel il-VLAN fi kwalunkwe uffiċċju u l-mina tibqa' taħdem, għax xejn fil-konfigurazzjoni tal-mina ma kien jirreferi għaliha. Dan huwa t-test li jsolvi l-argument: erġa' nnumerja VLAN, ħalli l-indirizzi kif inhuma u ara jekk il-mina tibqax wieqfa.

It-test oppost huwa daqstant infurmativ. Agħti liż-żewġ uffiċċji l-istess subnetwork u l-ebda ammont ta' numri VLAN ugwali mhu se jagħmel indirizz mhux ambigwu.

X'ġġorr il-mina fil-fatt

IPsec jipproteġi pakketti IP skont politika espressa f'indirizzi, protokolli u portijiet. L-arkitettura IPsec tiddeskrivi dawk is-seletturi fil-livell IP, li jinsab diversi livelli 'l fuq minn kull ma jiddeskrivi tikki tas-switch. Meta pakkett jidħol fil-mina huwa jkun diġà telaq mill-VLAN; it-tikketta tkun ġiet ikkunsmata mis-switch lokali.

Disinji bbażati fuq il-politika u bbażati fuq ir-rotot jiddifferixxu fil-mod kif jagħżlu l-mina, mhux f'dak li jistgħu jġorru. Pari bbażat fuq il-politika jqabbel is-seletturi tat-traffiku u jibgħat il-pakketti li jaqblu fil-mina. Pari bbażat fuq ir-rotot jirrota t-traffiku fuq interface tal-mina u jħalli t-tabella tar-rotot tiddeċiedi. It-tnejn għadhom jinnegozjaw ambitu ta' protezzjoni, għalhekk rotta li tipponta lejn il-mina ma tigwidħx dak li l-pari qablu li jipproteġu.

Dik id-distinzjoni tispjega nofs falliment komuni: ir-rotta teżisti, il-pakketti jidħlu fil-mina, u n-naħa l-bogħida tarmihom għax is-seletturi nnegozjati qatt ma kienu jinkludu dak il-prefiss. Il-qari tal-politiki installati juri liema ambitu daħal tassew fis-seħħ.

ip xfrm policy
ip route show
swanctl --list-sas

L-isovrappożizzjoni li tassew tkisser

Żewġ uffiċċji b'subnetworks differenti jirrotaw b'mod nadif minn mina, u n-numri VLAN tagħhom mhumiex rilevanti. Żewġ uffiċċji bl-istess subnetwork le, għax talba għal indirizz partikolari għandha żewġ tifsiriet possibbli u t-tabella tar-rotot tista' tagħżel waħda biss. L-għadd mill-ġdid ta' sit huwa s-sewwa nadif, u ġeneralment irħas mill-alternattivi meta jingħaddu l-bidliet fid-DNS u fil-firewall.

Meta l-għadd mill-ġdid mhuwiex possibbli, disinn ta' traduzzjoni maħsub jista' jippreżenta veduti tal-indirizzi distinti lil kull naħa. Dan ifisser immappjar wieħed għal wieħed, seletturi li jaqblu, entrati DNS li jirriflettu l-veduta tradotta u rotot tar-ritorn li jissuperaw l-iskrittura mill-ġdid. Huwa disinn appoġġjat bi spiża operattiva reali, u mhuwiex dak li tagħmel bidla fil-VLAN ID.

L-istess numri VLAN fiż-żewġt trufijiet huma xi drabi koinċidenza ta' mudell kondiviż, u t-trattament ta' dik il-koinċidenza bħala l-kawża ta' mina li taħdem iwassal għall-bidla ħażina meta xi ħaġa tinkiser aktar tard.

Xogħol wieħed għal kull saff, miktub

Is-switch lokali jiddeċiedi liema portijiet jaqsmu dominju tax-xandir, u n-numrar VLAN tiegħu huwa kontabilità lokali li ħadd ieħor m'għandu bżonn jaf. Il-gateway jawtentika l-pari u jinfurza l-ambitu ta' protezzjoni nnegozjat. It-tabella tar-rotot tiddeċiedi fejn imur pakkett deċifrat imbagħad, u l-politika tal-aċċess tiddeċiedi jekk dak il-pakkett kellux jiġi permess xejn.

Iż-żamma ta' dawk ix-xogħlijiet separati hi li tagħmel il-bidliet sikuri. L-għadd mill-ġdid tal-VLAN f'uffiċċju wieħed jolqot is-switch lokali, l-ambitu DHCP u forsi żona tal-firewall, u ma jolqotx il-mina. Bidla fil-prefiss tolqot is-seletturi tal-mina, ir-rotot fuq iż-żewġ naħat u l-politika tal-aċċess, u ma tolqotx it-tikki tas-switch.

Ir-rotot tar-ritorn, id-DNS privat u r-rekwiżiti tal-identità tal-applikazzjoni huma għal darb'oħra xogħlijiet separati, u ħadd minnhom ma jiġi billi tikkopja numru VLAN mis-sit l-ieħor. Dokument tad-disinn li jelenka prefissi aċċessibbli u servizzi permessi jibqa' għaddej minn tiġdid tas-switch; wieħed li jelenka numri VLAN le.

Ikkonferma l-istampa lokali bl-għodod tal-pont qabel ma tassumi li tikketta tasal sal-mina.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Meta l-estensjoni layer-2 hija r-rekwiżit veru

Xi disinji verament jeħtieġu mġiba Ethernet bejn is-siti: applikazzjoni antika li tiddependi fuq skoperta b'xandir, migrazzjoni li trid iżżomm indirizz waqt li magna tiċċaqlaq, jew protokoll li jinkorpora suppożizzjonijiet layer-2. Dawn il-każijiet jeħtieġu overlay jew servizz bil-pont li jġorr il-frejms, u mbagħad is-sħubija fil-VLAN, il-prevenzjoni tal-linji u l-immaniġġjar tal-ħsarat isiru kwistjonijiet mit-tarf sat-tarf.

Dak huwa dominju tal-ħsarat ferm akbar, u għandu jkun għażla deliberata u mhux ir-riżultat aċċidentali ta' tentattiv li tħaddem qsim tal-fajls. Server tal-fajls, database jew applikazzjoni web ordinarji jeħtieġu mogħdija IP awtorizzata, u jkunu aktar ferħanin mingħajr dominju tax-xandir miġbud taħthom.

Ikteb il-kuntratt tal-VPN bħala prefissi aċċessibbli flimkien ma' servizzi permessi, u rreġistra t-tikketta VLAN biss fejn l-operazzjonijiet lokali jeħtiġuha. Imbagħad kull uffiċċju jista' jerġa' jinnumerja s-switching tiegħu stess mingħajr ma jbiddel kull bidla fi ddisinn mill-ġdid tal-mina.