ایا دوه سایټونو ته د سایټ VPN لپاره ورته VLAN ID ته اړتیا ده؟

په دوو دفترونو کې ورته VLAN شمېرې داسې ښکاري چې باید د سایټ تر سایټ تونل سره مرسته وکړي، او په هغه څه کې چې تونل یې لېږدوي هېڅ نه بدلوي. یو VLAN ID د یوې ودانۍ په داخل کې د Ethernet خپرېدنې ډومین په نښه کوي؛ تونل د ګېټوې ترمنځ IP پاکټونه وړاندې لېږي۔ دوه سایټونه کولای شي په بشپړ ډول بېل VLAN شمېرنه وکاروي او بیا هم یو بل ته روټ شي، او دوه سایټونه کولای شي ورته VLAN شمېرنه وکاروي او بیا هم یو بل ته ونه رسېږي. هغه بدلون چې د رسېدو وړتیا ټاکي د پتې پلان دی۔

افسانه: په دواړو سرونو کې ورته VLAN ID

دا باور له یو منطقي ځای څخه راځي. د یوې ودانۍ په داخل کې، د یوې VLAN دوه پورټونه کولای شي خبرې وکړي او د بېلو VLAN دوه پورټونه نه شي کولای، نو VLAN شمېره داسې ښکاري لکه هغه څه چې اړیکه ورکوي. د روټ شوي تونل په اوږدو کې هېڅ شریک Ethernet برخه نشته چې ټګ یې بیان کړي، او ګېټوې هېڅکله VLAN نښې نه تبادلوي۔

هغه څه چې تونل ته اړتیا ده یو جوړه پتې سیمې دي چې یو بل ته نه رسېږي او یوه پالیسي چې د دوی ترمنځ ترافیک اجازه ورکوي. په هر دفتر کې VLAN بدل کړئ او تونل کار کوي، ځکه چې د تونل په ترتیباتو کې هېڅ شي ورته اشاره نه وه کړې. دا هغه ازموینه ده چې شخړه حل کوي: VLAN بیا شمېره کړئ، پتې ناڅاپه پرېږدئ او وګورئ چې تونل پاتې کېږي که نه۔

مخالف ازموینه هم همدومره معلوماتي ده. دواړو دفترونو ته ورته فرعي شبکه ورکړئ او د ورته VLAN شمېرو هر څومره کچه به پته ناڅرګنده نه کړي۔

تونل په رښتیا څه لېږدوي

IPsec د پتو، پروتوکولونو او پورټونو کې څرګند شوي پالیسي له مخې IP پاکټونه ساتي. د IPsec معماری په IP طبقې کې هغه ټاکنوونکي بیانوي، چې د سویچ ټګ له بیانولو څخه څو طبقې لوړ دی. کله چې پاکټ تونل ته ننوځي، هغه لا دمخه VLAN پرېښی وي؛ ټګ یې سیمه ییز سویچ کارولی وي۔

د پالیسۍ پر بنسټ او د لارې پر بنسټ ډیزاینونه په دې کې توپیر لري چې څنګه تونل ټاکي، نه په دې کې چې څه لېږدولای شي۔ د پالیسۍ پر بنسټ همکار د ترافیک ټاکنوونکي سره سمون خوري او سمون خوړونکي پاکټونه تونل ته لېږي. د لارې پر بنسټ همکار په تونل انټرفېس کې ترافیک روټوي او پرېکړه د روټینګ جدول ته پرېږدي. دواړه لا هم د ساتنې د ساحې په اړه خبرې اترې کوي، نو هغه لار چې تونل ته اشاره کوي هغه څه نه پراخوي چې همکارانو د ساتنې لپاره منلي دي۔

دا توپیر یو عام نیمګړی ناکامي تشریح کوي: لار شته، پاکټونه تونل ته ننوځي، او لرې اړخ یې غورځوي ځکه چې خبرې شوي ټاکنوونکي هغه مخکښه هېڅکله نه درلوده. نصب شوې پالیسۍ لوستل ښیي چې کومه ساحه په رښتیا نافذ شوه۔

ip xfrm policy
ip route show
swanctl --list-sas

هغه تیتوالی چې په رښتیا ماتوي

دوه دفترونه چې بېلې فرعي شبکې لري په تونل کې پاک روټ کېږي، او د دوی VLAN شمېرې بې اړیکې دي. دوه دفترونه چې ورته فرعي شبکه لري نه، ځکه چې د یوې ټاکلې پتې غوښتنه دوه ممکنه ماناګانې لري او روټینګ جدول یوازې یوه ټاکلای شي. یو سایټ بیا شمېره کول پاک حل دی، او کله چې DNS او فایر وال بدلونونه وشمېرل شي معمولاً له بدیلونو ارزانه دی۔

کله چې بیا شمېره کول ناممکن وي، یو قصد شوی ژباړه ډیزاین کولای شي هر اړخ ته بېلې پتې لید وړاندې کړي. دا مانا یو-تر-یو نقشه کول، سمون خوړونکي ټاکنوونکي، د ژباړل شوي لید انعکاس کوونکي DNS ننوتې او د بیا لیکنې څخه ژغورل شوي بیرته روټینګ دي. دا د ریښتیني عملیاتي لګښت سره ملاتړ شوی ډیزاین دی، او VLAN ID بدلول هغه څه نه دي چې دا کوي۔

په دواړو سرونو کې ورته VLAN شمېرې کله ناکله د شریکې کېنې تصادف وي، او هغه تصادف د کار کوونکي تونل لامل ګڼل کله چې وروسته یو څه مات شي غلط بدلون ته رسوي۔

هرې طبقې لپاره یوه دنده، لیکل شوې

سیمه ییز سویچ ټاکي چې کوم پورټونه یو خپرېدنې ډومین شریکوي، او د هغه VLAN شمېرنه سیمه ییز حساب دی چې بل هر سایټ ته د پوهېدو اړتیا نشته. ګېټ د همکار تصدیق کوي او خبرې شوې د ساتنې ساحه پلي کوي. روټینګ جدول ټاکي چې ډکرپټ شوی پاکټ بل چېرته ځي، او د لاسرسي پالیسي ټاکي چې هغه پاکټ باید اصلاً اجازه درلوده که نه۔

دې دندې جلا ساتل هغه څه دي چې بدلونونه خوندي کوي. په یو دفتر کې VLAN بیا شمېره کول سیمه ییز سویچ، DHCP ساحه او ممکنه فایر وال زون ته رسېږي، او تونل ته نه رسېږي. د مخکښې بدلون د تونل ټاکنوونکو، دواړو خواوو لارو او د لاسرسي پالیسۍ ته رسېږي، او د سویچ ټګونو ته نه رسېږي۔

بیرته لارې، خصوصي DNS او د اپلیکیشن هویت غوښتنې بیا جلا دندې دي، او هېڅ یوه یې هم د بل سایټ څخه VLAN شمېره کاپي کولو سره نه راځي. هغه ډیزاین سند چې د رسېدو وړ مخکښې او اجازه شوې خدمتونه لیست کوي د سویچ بدلون څخه ژغورل کېږي؛ هغه چې VLAN شمېرې لیست کوي نه۔

د دې فرض کولو دمخه چې ټګ تونل ته رسېږي، د پل وسیلو سره سیمه ییز انځور تایید کړئ۔

bridge vlan show
ip -br addr
ip route get 10.62.0.20

کله چې layer-2 پراخول ریښتینې اړتیا وي

ځینې ډیزاینونه واقعاً د سایټونو ترمنځ د Ethernet چلند ته اړتیا لري: زوړ اپلیکیشن چې د خپرېدنې کشف ته تکیه کوي، مهاجرت چې باید پته وساتي کله چې ماشین ګرځي، یا پروتوکول چې layer-2 انګېرنې لري. دا ډول قضیې د فریمونو لېږدونکي overlay یا پل شوې خدمت ته اړتیا لري، او بیا VLAN غړیتوب، د حلقو مخنیوی او د ناکامیو سمبالښت له سره تر سره مسلې ګرځي۔

دا خورا لوی ناکامي ډومین دی، او باید قصد شوې ټاکنه وي نه د فایل شریکولو د چلولو هڅې تصادفي نتیجه. عادي فایل سرور، ډیټابیس یا ویب اپلیکیشن ته اجازه شوې IP لار ته اړتیا ده، او د هغې لاندې اوږد شوي خپرېدنې ډومین پرته به ډېر خوشحاله وي۔

VPN تړون د رسېدو وړ مخکښو او اجازه شوو خدمتونو په توګه ولیکئ، او VLAN نښه یوازې هلته ثبت کړئ چې سیمه ییز عملیات ورته اړتیا لري. بیا هر دفتر کولای شي خپله سویچنګ بیا شمېره کړي پرته له دې چې هر بدلون د تونل بیا ډیزاین ته واړوي۔