TAP most za jedan VLAN: priključite podsučelje

TAP klijent koji je stizao do LAN-a prije VLAN-ova i nakon toga prestao obično ima most koji još uvijek sadrži pogrešno sučelje. Prosljeđivanje okvira ne dodaje VLAN oznaku, pa neoznačeni klijentski okvir poslan na fizički uplink dolazi bez oznake na trunk port i biva odbačen ili završi u izvornom VLAN-u. To što podsučelje postoji negdje na hostu ništa ne mijenja u popisu članova mosta. To je mit koji treba prvo ubiti: oznaku postavlja sučelje koje ju posjeduje, a ne host koji je jednostavno ima.

Jedno proširenje VLAN-a znači jednu domenu sloja 2, a most se mora pridružiti toj domeni, a ne trunku koji ih sve nosi.

Oznaka se ne pojavljuje jer ste premostili trunk

Uzmite Linux uplink eno1 koji nosi VLAN 120 prema upravljanom preklopniku. Dizajn koji radi za jedan VLAN je tap_vpn premošten na br_vpn, pri čemu br_vpn sadrži eno1.120 umjesto eno1. VLAN podsučelje postavlja oznaku na izlazu i skida je na ulazu, pa most vidi samo neoznačene okvire za taj jedan VLAN. Stavite umjesto toga fizičko sučelje u most, i isti okviri izlaze bez oznake na trunk portu, što niste planirali.

Premošćivanje trunka s isključenim filtriranjem VLAN-a nije prečac do istog rezultata. Ono daje mostu svaki VLAN na tom vodu, uključujući one koje klijenti ne bi smjeli vidjeti.

Dva legitimna dizajna, jedan vlasnik oznake

Most svjestan VLAN-a druga je valjana postava: trunk ulazi u port mosta, a članstvo po portu, PVID i postavke označenog izlaza odlučuju koji VLAN-ovi prolaze. Tamo označavanje posjeduje most, a dodavanje VLAN podsučelja ispod njega postavilo bi drugog vlasnika za jedan posao. Oba dizajna rade; dijelovi obaju ne. Odlučite koji objekt postavlja oznaku prije nego uredite bilo koji popis članova.

Port preklopnika mora se slagati s kojim god dizajnom odaberete. Access port koji nosi VLAN bez oznake slaže se s fizičkim sučeljem kao priključkom, dok se trunk port slaže s označenim podsučeljem. Dodavanje podsučelja neodgovarajućem access portu ne popravlja ništa.

Premjestite adresu zajedno s članstvom

U dizajnu s podsučeljem adresa hosta za premoštenu podmrežu pripada na br_vpn, a ne na podređeni VLAN port gdje je možda ranije živjela. Ostavljanje na portu može izgledati da radi, a zatim se čudno ponašati, jer most prosljeđuje na sloju 2 dok adresa sjedi na članu. Premjestite je kao dio promjene članstva, a ne kao zaseban eksperiment.

Premještanje adrese može prekinuti administrativni put. Uspostavite neovisnu rutu oporavka, spremite postojeću konfiguraciju kroz vlastiti mrežni upravitelj distribucije i izbjegnite konkurentnu početnu skriptu koja će se s njom boriti nakon sljedećeg ažuriranja.

Adresiranje klijenata traži istu pažnju. Premošteni VPN smješta klijente u proširenu podmrežu, pa se pool ne smije preklapati s drugim najmovima ili statičkim dodjelama, a postava koju poslužuje DHCP mora biti ona koju LAN doista očekuje. Radni put sloja 2 ne govori ništa o dvostrukim adresama.

Provjerite članstvo prije nego okrivite rute

Čitajte trenutno stanje, a ne namjeravano: ip -d link show dev eno1.120 ispisuje VLAN id i njegovog roditelja, ip link show master br_vpn navodi članove mosta, a bridge vlan show izvještava članstvo po portu i obradu izlaza. U dizajnu s podsučeljem potvrdite da su TAP uređaj i VLAN uređaj članovi. U mostu svjesnom VLAN-a provjerite samu politiku porta, jer postojeći most ne dokazuje što dopušta.

Zatim testirajte jednog dopuštenog klijenta prema usluzi u tom VLAN-u, imajući na umu da su ARP, politika vatrozida i povratni put odvojene stvari od članstva. Ako snimate pakete, primijetite da hardverski offload može promijeniti gdje se VLAN oznake pojavljuju u tragu. Držite i opseg poštenim: rutirani TUN klijent ne postaje VLAN član nikakvom promjenom mosta, a promet klijent-klijent ne zamjenjuje priključak hosta na VLAN.