Potrebujú dve lokality rovnaké VLAN ID pre VPN medzi lokalitami?

Rovnaké čísla VLAN v dvoch pobočkách pôsobia, akoby mali pomôcť tunelu medzi lokalitami, a nemenia nič z toho, čo tunel prenáša. VLAN ID označuje Ethernet broadcast doménu v jednej budove; tunel preposiela IP pakety medzi bránami. Dve lokality môžu používať úplne odlišné číslovanie VLAN a napriek tomu sa navzájom smerovať, a dve lokality môžu používať rovnaké číslovanie VLAN a napriek tomu sa navzájom nedosiahnuť. Premenná, ktorá rozhoduje o dostupnosti, je plán adries.

Mýtus: rovnaké VLAN ID na oboch koncoch

Presvedčenie vychádza z rozumného miesta. V jednej budove môžu dva porty v rovnakej VLAN komunikovať a dva porty v rôznych VLAN nie, takže číslo VLAN vyzerá ako to, čo dáva konektivitu. Cez routovaný tunel neexistuje žiadny zdieľaný Ethernet segment, ktorý by značka opisovala, a brány si nikdy nevymieňajú VLAN značky.

Tunel potrebuje dvojicu neprekrývajúcich sa adresných rozsahov a politiku, ktorá povoľuje prevádzku medzi nimi. Zmeňte VLAN v ktorejkoľvek pobočke a tunel funguje ďalej, pretože nič v konfigurácii tunela naň neodkazovalo. To je test, ktorý spor rozhodne: prečíslujte VLAN, nechajte adresy tak a sledujte, či tunel zostane.

Opačný test je rovnako poučný. Dajte obom pobočkám rovnakú podsiet a žiadne množstvo rovnakých čísel VLAN adresu jednoznačnou neurobí.

Čo tunel skutočne prenáša

IPsec chráni IP pakety podľa politiky vyjadrenej adresami, protokolmi a portami. Architektúra IPsec opisuje tieto selektory na IP vrstve, ktorá je o niekoľko vrstiev vyššie než čokoľvek, čo opisuje značka prepínača. Keď paket vstúpi do tunela, už VLAN opustil; značku spotreboval miestny prepínač.

Návrhy založené na politike a na trasách sa líšia tým, ako vyberajú tunel, nie tým, čo môžu prenášať. Partner založený na politike porovnáva selektory prevádzky a posiela zodpovedajúce pakety do tunela. Partner založený na trasách smeruje prevádzku na rozhraní tunela a rozhodnutie necháva smerovacej tabuľke. Oba stále vyjednávajú rozsah ochrany, takže trasa ukazujúca do tunela nerozširuje to, na čom sa partneri dohodli chrániť.

Tento rozdiel vysvetľuje časté polovičné zlyhanie: trasa existuje, pakety vstupujú do tunela a druhá strana ich zahodí, pretože vyjednané selektory ten prefix nikdy nezahŕňali. Čítanie nainštalovaných politík ukáže, ktorý rozsah skutočne nadobudol účinnosť.

ip xfrm policy
ip route show
swanctl --list-sas

Prekrytie, ktoré naozaj láme

Dve pobočky s odlišnými podsietami sa tunelom čisto smerujú a ich čísla VLAN nehrajú rolu. Dve pobočky s rovnakou podsietou nie, pretože požiadavka na danú adresu má dva možné významy a smerovacia tabuľka môže vybrať len jeden. Prečíslovanie jednej lokality je čisté riešenie a zvyčajne je lacnejšie než alternatívy, keď sa započítajú zmeny DNS a firewallu.

Keď prečíslovanie nie je možné, zámerný návrh prekladu môže každej strane predložiť odlišné pohľady na adresy. To znamená mapovanie jedna k jednej, zodpovedajúce selektory, DNS záznamy odrážajúce preložený pohľad a spätné smerovanie, ktoré prežije prepis. Je to podporovaný návrh so skutočnými prevádzkovými nákladmi a nie je to to, čo robí zmena VLAN ID.

Rovnaké čísla VLAN na oboch koncoch sú niekedy náhoda zdieľanej šablóny a považovať túto náhodu za príčinu fungujúceho tunela vedie k nesprávnej zmene, keď sa neskôr niečo pokazí.

Jedna úloha na vrstvu, písomne

Miestny prepínač rozhoduje, ktoré porty zdieľajú broadcast doménu, a jeho číslovanie VLAN je miestna evidencia, ktorú žiadna iná lokalita nemusí poznať. Brána overuje partnera a presadzuje vyjednaný rozsah ochrany. Smerovacia tabuľka rozhoduje, kam dešifrovaný paket pôjde ďalej, a prístupová politika rozhoduje, či tomu paketu vôbec malo byť dovolené.

Práve oddelenie týchto úloh robí zmeny bezpečnými. Prečíslovanie VLAN v jednej pobočke sa dotkne miestneho prepínača, rozsahu DHCP a možno zóny firewallu, a tunela sa nedotkne. Zmena prefixu sa dotkne selektorov tunela, trás na oboch stranách a prístupovej politiky, a značiek prepínača sa nedotkne.

Spätné trasy, privátny DNS a požiadavky na identitu aplikácie sú zase samostatné úlohy a žiadna z nich neprichádza skopírovaním čísla VLAN z druhej lokality. Návrhový dokument, ktorý uvádza dostupné prefixy a povolené služby, prežije výmenu prepínača; ten, ktorý uvádza čísla VLAN, nie.

Potvrďte miestny obraz nástrojmi bridge, skôr než predpokladáte, že značka dosiahne do tunela.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Keď je rozšírenie layer-2 skutočnou požiadavkou

Niektoré návrhy naozaj potrebujú ethernetové správanie medzi lokalitami: staršia aplikácia spoliehajúca sa na broadcastové objavovanie, migrácia, ktorá musí zachovať adresu, kým sa stroj presúva, alebo protokol, ktorý v sebe nesie predpoklady layer-2. Také prípady vyžadujú overlay alebo premosťovanú službu, ktorá prenáša rámce, a potom sa členstvo vo VLAN, prevencia slučiek a spracovanie výpadkov stávajú záležitosťami od konca po koniec.

To je oveľa väčšia doména zlyhania a malo by to byť zámerné rozhodnutie, nie náhodný výsledok snahy rozbehať zdieľanie súborov. Bežný súborový server, databáza alebo webová aplikácia potrebujú autorizovanú IP cestu a budú spokojnejšie bez roztiahnutej broadcast domény pod sebou.

Zapíšte VPN kontrakt ako dostupné prefixy plus povolené služby a VLAN značku zaznamenajte len tam, kde ju miestna prevádzka potrebuje. Každá pobočka potom môže prečíslovať svoje vlastné prepínanie bez toho, aby sa každá zmena zmenila na redizajn tunela.