क्लाइन्ट VLAN वा ट्याग गरिएको ट्रंक: सही OpenVPN मोड छान्नुहोस्

लगभग एउटै शब्दमा दुई अनुरोध आउँछन्: हरेक VPN क्लाइन्टलाई छानिएको VLAN मा राख्नु, वा भएको VLAN ट्रंकलाई VPN मार्फत लैजानु। यी दुई फरक उत्पादन हुन्। OpenVPN को अन्तर्निहित VLAN-सचेत मोड पहिलो अनुरोधका लागि स्विच मोडेल हो, र यो पारदर्शी ट्याग ढुवानीको समानार्थी होइन। गलत छनोटले कन्फिगर गरिएको देखिने तर तपाईंलाई महत्त्वपूर्ण फ्रेमहरू चुपचाप फाल्ने डिजाइन बनाउँछ।

VLAN-सचेत मोडले वास्तवमा के बनाउँछ

सर्भरका लागि मात्र TAP परिनियोजनमा vlan-tagging सक्षम हुँदा, डेमनले आफ्नो TAP यन्त्र र जोडिएको हरेक क्लाइन्टलाई आन्तरिक स्विचका पोर्टका रूपमा नमुनाबद्ध गर्छ। क्लाइन्ट पोर्टहरू ट्यागविहीन हुन्छन्, र तिनको VLAN सम्बन्ध सर्भरमा प्रत्येक क्लाइन्टको vlan-pvid सन्दर्भमार्फत तोकिन्छ, क्लाइन्टले पठाउने कुराबाट होइन। यही मोडेलको पूरै सार हो: सदस्यता प्रमाणित साथीबारे सर्भर पक्षको निर्णय हो। क्लाइन्ट प्रोफाइलमा कुनै पनि कुराले आफू कुन VLAN मा छ भनेर जान्नु पर्दैन।

सर्भरको TAP पक्षले vlan-accept मार्फत आफ्नै ट्याग गरिएको वा ट्याग नगरिएको स्वीकृति नीति पाउँछ। त्यो स्विचभित्र अग्रसरण केवल मिल्ने VID बीच हुन्छ, client-to-client सेट भएको अवस्थामा पनि, त्यसैले फरक VLAN का दुई क्लाइन्ट दुवै सर्भरमा जोडिएका भए पनि सर्भरबाट एकअर्कासम्म पुग्न सक्दैनन्।

यो मोडेल पहुँच-पोर्ट मोडेल हो। क्लाइन्टबाट बाहिरिने फ्रेमहरू ट्यागविहीन हुन्छन्, र सम्बन्ध सर्भरले पहिचानका आधारमा लाद्छ। ल्यापटपलाई आफ्नै ट्राफिक आफैं ट्याग गर्न भन्नु अर्कै डिजाइन माग्नु हो।

तोकाइहरू प्रमाणित क्लाइन्ट पहिचानलाई पछ्याउनुपर्छ, क्लाइन्टले आफ्नोबारेमा दिने मानलाई होइन। छुटेको तोकाइ क्वारेन्टाइन अवस्था पनि होइन: क्लाइन्ट पूर्वनिर्धारित PVID मा पुग्छ, त्यसैले छुटेको ccd प्रविष्टि मौन नीति निर्णय हो, तटस्थ होइन।

पारदर्शी ट्रंकले यसको सट्टा के माग्छ

पहिले नै ट्याग गरिएका फ्रेमहरू छेउदेखि छेउसम्म बोक्नु VLAN-सचेत प्रशोधन बन्द गर्नबाट सुरु हुन्छ। स्विच मोडेल र ट्याग जोगाउने काम विकल्प हुन्, र दुवै सक्षम गर्नु एउटा सुविधालाई अर्कोको काम गर्न भन्नु हो।

बन्द गर्नु केवल सुरुवात हो। प्रत्येक छेउको ब्रिज र भौतिक स्विच पोर्टहरू कुन VLAN अनुमत छन्, कुन ट्याग स्थानीय हो, र ट्यागविहीन फ्रेमलाई कसरी व्यवहार गर्ने भन्नेमा सहमत हुनुपर्छ। सीमारहित ट्रंक विस्तार गर्दा तपाईंले जोड्न खोजेका दुईभन्दा धेरै प्रसारण डोमेन खुला हुन्छन्।

फ्रेमको आकारलाई आफ्नै बजेट चाहिन्छ। ट्याग गरिएको इथरनेट फ्रेम र इन्क्याप्सुलेसन गाइडबाट प्रतिलिपि गरिने पेलोड अंकभन्दा ठूलो हुन्छ, र राउटेड सुरुङका लागि ठीक भएको MTU ट्रंक मार्ग चल्छ भन्ने प्रमाण होइन।

उत्तर निर्धारण गर्ने तीन सर्त

पहिलो, क्लाइन्ट प्लेटफर्मले TAP लाई समर्थन गर्छ कि गर्दैन? Android र iOS गर्दैनन्, र macOS को समर्थन सीमित छ, त्यसैले मोबाइल प्रयोगकर्ताको फ्लीटले VLAN कसरी मिलाए पनि दुवै TAP डिजाइन अस्वीकार गर्छ। राउटेड TUN सत्रले इथरनेट फ्रेम होइन, IP प्याकेट बोक्छ, र सर्भर पक्षको कुनै पनि VLAN कन्फिगरेसनले त्यो बदल्दैन। टोपोलोजी डिजाइन गर्नुअघि फ्लीट जाँच्नुहोस्, किनभने यही सर्त छल्न नसकिने हो। स्विचको काम सकिएपछि सबैभन्दा धेरै भेटिने सर्त पनि यही हो।

दोस्रो, VLAN कसले तोक्छ? उत्तर «सर्भर, कसले प्रमाणित गर्‍यो भन्ने आधारमा» भएमा स्विच मोडेल मिल्छ। उत्तर «अवस्थित स्विच पूर्वाधार, पहिले नै भएका ट्यागसहित» भएमा तपाईंलाई ट्रंक डिजाइन चाहिन्छ।

तेस्रो, नेटवर्कको कति भाग पहुँचयोग्य हुनुपर्छ? स्विच मोडेलले बनावटअनुसार हरेक क्लाइन्टलाई एउटै VLAN मा राख्छ। ट्रंक डिजाइन ब्रिज हो, र गलत कन्फिगर गरिएको ब्रिजले अलग रहनुपर्ने प्रसारण डोमेन जोड्छ।

तपाईंले गरेको छनोटको परीक्षण

अनुमत VLAN मा हुनुपर्ने एउटा क्लाइन्ट र नहुनुपर्ने अर्को जोड्नुहोस्, त्यसपछि सर्भरबाट होइन, वास्तविक छेउबाट परीक्षण गर्नुहोस्। सर्भर पक्षको पहुँचले ब्रिज वा स्विच छ भनी प्रमाणित गर्छ; क्लाइन्ट कुन VLAN मा पुग्यो भन्ने प्रमाणित गर्दैन।

ip -d link show tap0
bridge vlan show

सर्भरमा, दोस्रो आदेशले प्रत्येक ब्रिज पोर्टको VLAN सदस्यता देखाउँछ, पोर्ट ट्याग गरिएको छ कि छैन पनि समावेश गर्छ। दोस्रो तहमाथि केही डिबग गर्नुअघि यसलाई तपाईंले सोचेको तोकाइसँग तुलना गर्नुहोस्।

परिनियोजनले दुईमध्ये कुन डिजाइन प्रयोग गर्छ लेख्नुहोस्। «VLAN-सचेत» भन्ने टिप्पणी अस्पष्ट छ, र अर्को इन्जिनियरले आफूले पहिले सिकेको कुरा मान्नेछ। OpenVPN VLAN सन्दर्भस्विचको व्यवहार र प्रत्येक क्लाइन्टको सन्दर्भ परिभाषित गर्छ, र तपाईं कुन मोडेल चलाउँदै हुनुहुन्छ भनी पुष्टि गर्ने सबैभन्दा छोटो बाटो त्यही हो।