Klientske VLAN-y alebo tagovaný trunk: vyberte správny režim OpenVPN

Prichádzajú dve požiadavky s takmer rovnakou formuláciou: umiestniť každého klienta VPN do zvoleného VLAN, alebo preniesť existujúci VLAN trunk cez VPN. Sú to rôzne produkty. Zabudovaný režim OpenVPN s podporou VLAN je model prepínača pre prvú požiadavku a nie je synonymom transparentného prenosu značiek. Nesprávna voľba vytvorí návrh, ktorý vyzerá nakonfigurovaný a ticho zahadzuje rámce, na ktorých vám záležalo.

Čo režim s podporou VLAN skutočne stavia

Keď je vlan-tagging zapnuté v nasadení TAP iba pre server, démon modeluje svoje zariadenie TAP a každého pripojeného klienta ako porty interného prepínača. Klientske porty sú neoznačené a ich priradenie k VLAN sa nastavuje na serveri cez kontext vlan-pvid pre každého klienta, nie tým, čo klient posiela. V tom je celý zmysel modelu: členstvo je rozhodnutie na strane servera o autentizovanom partnerovi. Nič v klientskom profile nemusí vedieť, do ktorej VLAN patrí.

Strana TAP servera dostáva vlastnú politiku prijímania označených alebo neoznačených rámcov cez vlan-accept. Preposielanie vnútri tohto prepínača prebieha len medzi zhodnými VID, a to aj keď je nastavené client-to-client, takže dvaja klienti v rôznych VLAN sa cez server nedostanú k sebe, hoci obaja sú k nemu pripojení.

Tento model je model prístupového portu. Rámce opúšťajúce klienta sú neoznačené a priradenie vynucuje server na základe identity. Žiadať notebook, aby si svoju premávku označoval sám, znamená žiadať iný návrh.

Priradenia musia sledovať autentizovanú identitu klienta, nie hodnotu, ktorú klient ponúka o sebe. Vynechané priradenie tiež nie je stav karantény: klient skončí na predvolenom PVID, takže chýbajúci záznam ccd je tiché rozhodnutie politiky, nie neutrálne.

Čo namiesto toho vyžaduje transparentný trunk

Prenos už označených rámcov od konca po koniec začína vypnutím spracovania s podporou VLAN. Model prepínača a zachovanie značiek sú alternatívy a zapnutie oboch žiada, aby jedna funkcia robila prácu druhej.

Vypnutie je len začiatok. Most v každom koncovom bode a fyzické porty prepínača sa musia zhodnúť, ktoré VLAN sú povolené, ktorá značka je natívna a ako sa zaobchádza s neoznačenými rámcami. Rozšírenie neobmedzeného trunku vystaví oveľa viac broadcastových domén, než tie dve, ktoré ste chceli prepojiť.

Veľkosť rámca potrebuje vlastný rozpočet. Označený ethernetový rámec plus zapuzdrenie je väčší než číslo užitočnej záťaže, ktoré ľudia kopírujú z návodu, a MTU, ktoré stačilo pre routovaný tunel, nie je dôkazom, že cesta trunku funguje.

Tri podmienky, ktoré rozhodujú o odpovedi

Po prvé, podporuje klientska platforma TAP vôbec? Android a iOS nie a podpora macOS je obmedzená, takže flotila mobilných používateľov vylučuje ktorýkoľvek návrh s TAP bez ohľadu na usporiadanie VLAN. Routovaná relácia TUN prenáša IP pakety, nie ethernetové rámce, a žiadna konfigurácia VLAN na serveri to nezmení. Skontrolujte flotilu pred návrhom topológie, pretože túto podmienku nemožno obísť. Je to aj podmienka, ktorá sa najčastejšie odhalí až po dokončení prác na prepínači.

Po druhé, kto prideľuje VLAN? Ak je odpoveď „server, podľa toho, kto sa autentizoval“, model prepínača sedí. Ak je odpoveď „existujúca infraštruktúra prepínačov so značkami, ktoré už existujú“, potrebujete návrh s trunkom.

Po tretie, aká veľká časť siete má byť dostupná? Model prepínača udržiava každého klienta konštrukčne v jednej VLAN. Návrh s trunkom je most a nesprávne nakonfigurovaný most spája broadcastové domény, ktoré mali zostať oddelené.

Overenie vašej voľby

Pripojte jedného klienta, ktorý má byť v povolenej VLAN, a jedného, ktorý nemá, a potom testujte z reálneho koncového bodu, nie zo servera samotného. Dostupnosť zo strany servera dokazuje, že most alebo prepínač existuje; nedokazuje, do ktorej VLAN klient pristál.

ip -d link show tap0
bridge vlan show

Na serveri druhý príkaz ukazuje členstvo v VLAN pri každom porte mosta, vrátane toho, či je port označený. Porovnajte to so zamýšľaným priradením, než začnete ladiť čokoľvek nad druhou vrstvou.

Zaznamenajte, ktorý z dvoch návrhov nasadenie používa. Poznámka „s podporou VLAN“ je nejednoznačná a ďalší inžinier bude predpokladať ten variant, ktorý sa naučil prvý. Referenčná príručka OpenVPN k VLANdefinuje správanie prepínača a kontext pre jednotlivých klientov a je najkratšou cestou k overeniu, ktorý model prevádzkujete.