සයිට් VPN එකක් සඳහා සයිට් දෙකකට එකම VLAN ID අවශ්‍යද?

කාර්යාල දෙකක එකම VLAN අංක තිබීම සයිට්-සයිට් ටනලයකට උදව් විය යුතු බවක් දැනේ, එය ටනලය ගෙනයන දෙයෙහි කිසිවක් වෙනස් නොකරයි. VLAN ID එකක් එක් ගොඩනැගිල්ලක් තුළ Ethernet විකාශන වසමක් සලකුණු කරයි; ටනලය ගේට්වේ අතර IP පැකට් ඉදිරියට යවයි. සයිට් දෙකකට සම්පූර්ණයෙන් වෙනස් VLAN අංකනයක් භාවිත කරමින් වුවද එකිනෙක දෙසට රවුට් කළ හැක, සහ සයිට් දෙකකට එකම VLAN අංකනය භාවිත කරමින් වුවද එකිනෙක ළඟා විය නොහැක. ළඟාවීම තීරණය කරන විචල්‍යය ලිපින සැලැස්මයි.

මිථ්‍යාව: දෙකෙළවරේම එකම VLAN ID

මෙම විශ්වාසය සාධාරණ තැනකින් පැමිණේ. එක් ගොඩනැගිල්ලක් තුළ, එකම VLAN හි පෝට් දෙකකට කතා කළ හැකි අතර වෙනස් VLAN හි පෝට් දෙකකට නොහැක, එබැවින් VLAN අංකය සම්බන්ධතාවය ලබා දෙන දෙය ලෙස පෙනේ. රවුට් කළ ටනලයක් හරහා ටැගය විස්තර කළ හැකි හවුල් Ethernet කොටසක් නොමැත, සහ ගේට්වේ කිසි විටෙකත් VLAN ලේබල් හුවමාරු නොකරයි.

ටනලයට අවශ්‍ය වන්නේ එකිනෙක අතිච්ඡාදනය නොවන ලිපින පරාස දෙකක් සහ ඒවා අතර ගමනාගමනයට අවසර දෙන ප්‍රතිපත්තියකි. ඕනෑම කාර්යාලයක VLAN වෙනස් කරන්න, ටනලය දිගටම ක්‍රියා කරයි, මන්ද ටනල වින්‍යාසයේ කිසිවක් එයට යොමු නොවූ බැවිනි. මෙය තර්කය තීරණය කරන පරීක්ෂණයයි: VLAN නැවත අංකනය කරන්න, ලිපින නොසලකා හරින්න සහ ටනලය රැඳී තිබේදැයි බලන්න.

ප්‍රතිවිරුද්ධ පරීක්ෂණයද එසේම තොරතුරු සපයයි. කාර්යාල දෙකටම එකම උපජාලය දෙන්න, එකම VLAN අංක කොපමණ වුවද ලිපිනයක් අපැහැදිලි නොකරයි.

ටනලය ඇත්තටම ගෙනයන්නේ කුමක්ද

IPsec ලිපින, ප්‍රොටෝකෝල සහ පෝට් වලින් ප්‍රකාශිත ප්‍රතිපත්තියකට අනුව IP පැකට් ආරක්ෂා කරයි. IPsec ගෘහ නිර්මාණය ස්විච් ටැගයක් විස්තර කරන සියල්ලට වඩා ස්තර කිහිපයක් ඉහළින් ඇති IP ස්තරයේ එම තේරීම් විස්තර කරයි. පැකට් එකක් ටනලයට ඇතුළු වන විට එය දැනටමත් VLAN හැර ගොස් ඇත; ටැගය දේශීය ස්විචය විසින් පරිභෝජනය කර ඇත.

ප්‍රතිපත්ති පාදක සහ මාර්ග පාදක නිර්මාණ ටනලය තෝරන ආකාරයෙන් වෙනස් වේ, ඒවාට ගෙනයා හැකි දෙයෙන් නොවේ. ප්‍රතිපත්ති පාදක සහකරු ගමනාගමන තේරීම් ගැළපීම සහ ගැළපෙන පැකට් ටනලයට යවයි. මාර්ග පාදක සහකරු ටනල අතුරුමුහුණතේ ගමනාගමනය රවුට් කර මාර්ග සටහනට තීරණය භාර දෙයි. දෙකම තවමත් ආරක්ෂණ පරාසයක් සාකච්ඡා කරයි, එබැවින් ටනලය දෙසට යොමු වන මාර්ගයක් සහකරුවන් ආරක්ෂා කිරීමට එකඟ වූ දෙය පුළුල් නොකරයි.

මෙම වෙනස සුලභ අඩක්-අසාර්ථකත්වයක් පැහැදිලි කරයි: මාර්ගය පවතී, පැකට් ටනලයට ඇතුළු වේ, සහ දුර පැත්ත ඒවා ඉවත දමයි, මන්ද සාකච්ඡා කළ තේරීම් එම ප්‍රීෆික්සය කිසි විටෙකත් ඇතුළත් නොවූ බැවිනි. ස්ථාපිත ප්‍රතිපත්ති කියවීමෙන් කුමන පරාසය ඇත්තටම බලාත්මක වූයේදැයි පෙනේ.

ip xfrm policy
ip route show
swanctl --list-sas

ඇත්තටම කඩන අතිච්ඡාදනය

වෙනස් උපජාල සහිත කාර්යාල දෙකක් ටනලයක් හරහා පිරිසිදුව රවුට් වේ, ඒවායේ VLAN අංක අදාළ නොවේ. එකම උපජාලය සහිත කාර්යාල දෙකක් එසේ නොවේ, මන්ද දී ඇති ලිපිනයක් සඳහා ඉල්ලීමකට හැකි අර්ථ දෙකක් ඇති අතර මාර්ග සටහනට එකක් පමණක් තෝරා ගත හැක. එක් සයිට් එකක් නැවත අංකනය කිරීම පිරිසිදු විසඳුමයි, සහ DNS සහ ෆයර්වෝල් වෙනස්කම් ගණන් කළ විට එය සාමාන්‍යයෙන් විකල්පවලට වඩා ලාභදායී වේ.

නැවත අංකනය කළ නොහැකි විට, හිතාමතා කළ පරිවර්තන නිර්මාණයකට එක් එක් පැත්තට වෙනස් ලිපින දර්ශන ඉදිරිපත් කළ හැක. එහි අර්ථය එකින් එකට සිතියම් කිරීම, ගැළපෙන තේරීම්, පරිවර්තිත දර්ශනය පිළිබිඹු කරන DNS ඇතුළත් කිරීම් සහ නැවත ලිවීමෙන් ගැලවෙන ආපසු මාර්ගගත කිරීමයි. මෙය සැබෑ මෙහෙයුම් වියදමක් සහිත ආධාරක නිර්මාණයක් වන අතර VLAN ID වෙනස් කිරීම කරන්නේ එය නොවේ.

දෙකෙළවරේම එකම VLAN අංක සමහර විට හවුල් අච්චුවක අහම්බයකි, සහ එම අහම්බය ක්‍රියාකාරී ටනලයක හේතුව ලෙස සැලකීම පසුව යමක් කැඩී ගිය විට වැරදි වෙනසකට තුඩු දෙයි.

එක් ස්තරයකට එක් කාර්යයක්, ලිඛිතව

දේශීය ස්විචය තීරණය කරන්නේ කුමන පෝට් විකාශන වසමක් බෙදා ගන්නේද යන්නයි, සහ එහි VLAN අංකනය වෙනත් කිසිදු සයිට් එකකට දැනගත යුතු නොවන දේශීය ගිණුම්කරණයකි. ගේට්වේ සහකරු සත්‍යාපනය කර සාකච්ඡා කළ ආරක්ෂණ පරාසය බලාත්මක කරයි. මාර්ග සටහන ඩීක්‍රිප්ට් කළ පැකට් ඊළඟට කොහේ යයිද තීරණය කරයි, සහ ප්‍රවේශ ප්‍රතිපත්තිය එම පැකට් කිසිසේත් අවසර ලැබිය යුතුව තිබුණේදැයි තීරණය කරයි.

මෙම කාර්යයන් වෙන් කර තැබීම තමයි වෙනස්කම් ආරක්ෂිත කරන්නේ. එක් කාර්යාලයක VLAN නැවත අංකනය කිරීම දේශීය ස්විචය, DHCP පරාසය සහ සමහරවිට ෆයර්වෝල් කලාපයක් ස්පර්ශ කරයි, සහ ටනලය ස්පර්ශ නොකරයි. උපසර්ග වෙනසක් ටනල තේරීම්, දෙපැත්තේ මාර්ග සහ ප්‍රවේශ ප්‍රතිපත්තිය ස්පර්ශ කරයි, සහ ස්විච් ටැග් ස්පර්ශ නොකරයි.

ආපසු මාර්ග, පෞද්ගලික DNS සහ යෙදුම් අනන්‍යතා අවශ්‍යතා නැවතත් වෙනම කාර්යයන් වන අතර ඒවායින් කිසිවක් අනෙක් සයිට් එකේ VLAN අංකය පිටපත් කිරීමෙන් නොපැමිණේ. ප්‍රවේශ විය හැකි උපසර්ග සහ අවසර ලත් සේවා ලැයිස්තුගත කරන නිර්මාණ ලේඛනයක් ස්විච් ප්‍රතිස්ථාපනයකින් පවතී; VLAN අංක ලැයිස්තුගත කරන එක පවතින්නේ නැත.

ටැගය ටනලයට ළඟා වේ යැයි උපකල්පනය කිරීමට පෙර පාලම් මෙවලම් සමඟ දේශීය රූපය තහවුරු කරන්න.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

layer-2 දිගුවම සැබෑ අවශ්‍යතාව වන විට

සමහර නිර්මාණවලට සයිට් අතර සැබවින්ම Ethernet හැසිරීම අවශ්‍ය වේ: විකාශන සොයාගැනීම මත රඳා පවතින පැරණි යෙදුමක්, යන්ත්‍රයක් ගමන් කරන අතර ලිපිනයක් රඳවා ගත යුතු සංක්‍රමණයක්, හෝ layer-2 උපකල්පන ඇතුළත් ප්‍රොටෝකෝලයක්. එවැනි අවස්ථා සඳහා රාමු ගෙනයන overlay හෝ පාලම් සේවාවක් අවශ්‍ය වන අතර, එවිට VLAN සාමාජිකත්වය, ලූප වැළැක්වීම සහ අසාර්ථකත්ව හැසිරවීම කෙළවරේ සිට කෙළවර දක්වා කාරණා බවට පත්වේ.

එය වඩාත් විශාල අසාර්ථකත්ව වසමක් වන අතර ගොනු බෙදාගැනීම ක්‍රියාත්මක කිරීමේ උත්සාහයේ අහම්බෙන් ලැබෙන ප්‍රතිඵලයක් නොව, හිතාමතා කළ තේරීමක් විය යුතුය. සාමාන්‍ය ගොනු සේවාදායකයකට, දත්ත සමුදායකට හෝ වෙබ් යෙදුමකට අවසර ලත් IP මාර්ගයක් අවශ්‍ය වන අතර, ඊට යටින් දිගු කළ විකාශන වසමක් නොමැතිව එය වඩාත් සතුටින් සිටී.

VPN ගිවිසුම ප්‍රවේශ විය හැකි උපසර්ග සහ අවසර ලත් සේවා ලෙස ලියන්න, සහ VLAN ටැගය දේශීය මෙහෙයුම්වලට අවශ්‍ය තැන පමණක් සටහන් කරන්න. එවිට සෑම කාර්යාලයකටම සෑම වෙනසක්ම ටනල නැවත නිර්මාණයක් බවට පත් නොකර තමන්ගේම ස්විචින් නැවත අංකනය කළ හැක.