TAP most pre jeden VLAN: pripojte podrozhranie

TAP klient, ktorý sa pred VLAN dostal do LAN a potom prestal, má zvyčajne most, ktorý stále obsahuje nesprávne rozhranie. Preposielanie rámcov nepridáva VLAN značku, takže neoznačený klientsky rámec odoslaný na fyzický uplink dorazí bez značky na trunk port a je buď zahodený, alebo skončí v natívnom VLAN. To, že podrozhranie niekde na hostiteľovi existuje, nič nemení na zozname členov mosta. To je mýtus, ktorý treba zabiť ako prvý: značku pridáva rozhranie, ktoré ju vlastní, nie hostiteľ, ktorý ju jednoducho má.

Jedno rozšírenie VLAN znamená jednu doménu vrstvy 2 a most sa musí pripojiť k tejto doméne, nie k trunku, ktorý ich všetky prenáša.

Značka sa neobjaví, pretože ste premostili trunk

Vezmite Linux uplink eno1 prenášajúci VLAN 120 k spravovanému prepínaču. Dizajn, ktorý funguje pre jeden VLAN, je tap_vpn premostený na br_vpn, pričom br_vpn obsahuje eno1.120 namiesto eno1. Podrozhranie VLAN pridá značku na výstupe a odstráni ju na vstupe, takže most vidí len neoznačené rámce pre ten jeden VLAN. Namiesto toho vložte fyzické rozhranie do mosta a tie isté rámce odchádzajú bez značky na trunk porte, čo ste neplánovali.

Premostenie trunku s vypnutým filtrovaním VLAN nie je skratkou k rovnakému výsledku. Odovzdá mostu každý VLAN na tom kábli, vrátane tých, ktoré klienti nemajú vidieť.

Dva legitímne dizajny, jeden majiteľ značky

Most, ktorý pozná VLAN, je druhé platné usporiadanie: trunk vstúpi do portu mosta a členstvo podľa portu, PVID a nastavenia označeného výstupu rozhodujú, ktoré VLAN prejdú. Tam značenie vlastní most a pridanie podrozhrania VLAN pod ním by nainštalovalo druhého majiteľa pre jednu úlohu. Oba dizajny fungujú; fragmenty oboch nie. Pred úpravou akéhokoľvek zoznamu členov rozhodnite, ktorý objekt značku pridáva.

Port prepínača musí súhlasiť s akýmkoľvek zvoleným dizajnom. Access port prenášajúci VLAN bez značky sa zhoduje s fyzickým rozhraním ako pripojenie, kým trunk port sa zhoduje s označeným podrozhraním. Pridanie podrozhrania k nesprávnemu access portu nič neopraví.

Presuňte adresu spolu s členstvom

V dizajne s podrozhraním adresa hostiteľa pre premostenú podsieť patrí na br_vpn, nie na podriadený VLAN port, kde mohla predtým bývať. Nechať ju na porte sa môže zdať funkčné a potom sa správať zvláštne, pretože most preposiela na vrstve 2, kým adresa sedí na členovi. Presuňte ju ako súčasť zmeny členstva, nie ako samostatný experiment.

Presun adresy môže odrezať administratívnu cestu. Zaveďte nezávislú obnovovaciu trasu, uložte existujúcu konfiguráciu cez vlastného správcu siete distribúcie a vyhnite sa konkurenčnému štartovaciemu skriptu, ktorý s ňou bude bojovať po ďalšej aktualizácii.

Adresovanie klientov si vyžaduje rovnakú starostlivosť. Premostený VPN umiestňuje klientov do rozšírenej podsiete, takže pool sa nesmie prekrývať s inými nájmami alebo statickými priradeniami a usporiadanie obsluhované DHCP musí byť to, ktoré LAN skutočne očakáva. Fungujúca cesta vrstvy 2 nič nehovorí o duplicitných adresách.

Overte členstvo, kým obviníte trasy

Čítajte aktuálny stav, nie zamýšľaný: ip -d link show dev eno1.120 vypíše id VLAN a jeho rodiča, ip link show master br_vpn vymenuje členov mosta a bridge vlan show hlási členstvo podľa portu a spracovanie výstupu. V dizajne s podrozhraním potvrďte, že zariadenie TAP a zariadenie VLAN sú členmi. V moste, ktorý pozná VLAN, skontrolujte samotnú politiku portu, pretože existujúci most nedokazuje, čo povoľuje.

Potom otestujte jedného povoleného klienta voči službe v tom VLAN, pričom pamätajte, že ARP, politika brány firewall a cesta odpovede sú oddelené záležitosti od členstva. Ak zachytávate pakety, všimnite si, že hardvérový offload môže zmeniť, kde sa VLAN značky objavia v stope. Držte čestný aj rozsah: rutovaný klient TUN sa nestane členom VLAN žiadnou zmenou mosta a prevádzka klient-klient nenahrádza pripojenie hostiteľa k VLAN.