Odjemalske VLAN ali označen trunk: izberite pravi način OpenVPN

Prispeta dve zahtevi s skoraj enakim besedilom: vsakega odjemalca VPN postavite v izbrani VLAN ali prenesite obstoječi VLAN trunk čez VPN. To sta različna izdelka. Vgrajeni način OpenVPN, ki se zaveda VLAN, je model stikala za prvo zahtevo in ni sopomenka za prozoren prenos oznak. Napačna izbira ustvari načrt, ki je videti konfiguriran, a tiho zavrže okvire, ki so vam bili pomembni.

Kaj način, ki se zaveda VLAN, v resnici zgradi

Ko je vlan-tagging vklopljen v namestitvi TAP samo za strežnik, daemon modelira svojo napravo TAP in vsakega povezanega odjemalca kot vrata notranjega stikala. Odjemalska vrata niso označena, njihova povezava z VLAN pa se nastavi na strežniku prek konteksta vlan-pvid za vsakega odjemalca, ne s tem, kar pošlje odjemalec. To je ves smisel modela: članstvo je odločitev na strani strežnika o overjenem partnerju. Nič v profilu odjemalca ne potrebuje vedeti, v katero VLAN spada.

Stran TAP strežnika dobi lastno politiko sprejemanja označenih ali neoznačenih okvirov prek vlan-accept. Posredovanje v tem stikalu poteka samo med ujemajočimi se VID, tudi ko je nastavljen client-to-client, zato dva odjemalca v različnih VLAN ne moreta doseči drug drugega prek strežnika, čeprav sta oba povezana z njim.

Ta model je model dostopovnih vrat. Okviri, ki zapustijo odjemalca, niso označeni, povezavo pa vsili strežnik na podlagi identitete. Zahtevati od prenosnika, naj sam označi svoj promet, pomeni zahtevati drug načrt.

Dodelitve morajo slediti overjeni identiteti odjemalca, ne vrednosti, ki jo odjemalec ponuja o sebi. Izpuščena dodelitev tudi ni stanje karantene: odjemalec pristane na privzetem PVID, zato je manjkajoč vnos ccd tiho politično odločitev, ne nevtralna.

Kaj namesto tega zahteva prozoren trunk

Prenos že označenih okvirov od konca do konca se začne z izklopom obdelave, ki se zaveda VLAN. Model stikala in ohranjanje oznak sta alternativi, vklop obojega pa od ene funkcije zahteva, da opravi delo druge.

Izklop je šele začetek. Most na vsakem koncu in fizična vrata stikala se morajo uskladiti, katere VLAN so dovoljene, katera oznaka je izvorna in kako se obravnavajo neoznačeni okviri. Razširitev neomejenega trunka izpostavi veliko več oddajnih domen, kot sta tisti dve, ki ste ju želeli povezati.

Velikost okvira potrebuje lasten proračun. Označen okvir Ethernet z zapakiranjem je večji od števila koristne obremenitve, ki ga ljudje prepišejo iz priročnika, MTU, ki je zadostoval za usmerjen tunel, pa ni dokaz, da pot trunka deluje.

Trije pogoji, ki odločijo odgovor

Prvič, ali odjemalska platforma sploh podpira TAP? Android in iOS ne, podpora macOS pa je omejena, zato flota mobilnih uporabnikov izključi oba načrta TAP, ne glede na to, kako so razporejeni VLAN. Usmerjena seja TUN prenaša pakete IP, ne okvirov Ethernet, in nobena konfiguracija VLAN na strežniku tega ne spremeni. Preverite floto, preden oblikujete topologijo, ker tega pogoja ni mogoče obiti. To je tudi pogoj, ki se najpogosteje odkrije po končanem delu na stikalu.

Drugič, kdo dodeljuje VLAN? Če je odgovor «strežnik, glede na to, kdo se je overil», ustreza model stikala. Če je odgovor «obstoječa infrastruktura stikal z oznakami, ki že obstajajo», potrebujete načrt trunka.

Tretjič, kolikšen del omrežja naj bo dosegljiv? Model stikala po zgradbi drži vsakega odjemalca v enem VLAN. Načrt trunka je most, napačno konfiguriran most pa poveže oddajne domene, ki bi morali ostati ločeni.

Preverjanje izbire

Povežite enega odjemalca, ki bi moral biti v dovoljenem VLAN, in enega, ki ne bi smel, nato preizkusite z resničnega konca in ne s strežnika samega. Dosegljivost s strani strežnika dokazuje, da most ali stikalo obstaja; ne dokazuje, v kateri VLAN je pristal odjemalec.

ip -d link show tap0
bridge vlan show

Na strežniku drugi ukaz pokaže članstvo v VLAN za vsaka vrata mostu, vključno s tem, ali so vrata označena. Primerjajte to z načrtovano dodelitvijo, preden začnete razhroščevati karkoli nad drugim slojem.

Zabeležite, kateri od obeh načrtov uporablja namestitev. Opomba «zaveda se VLAN» je dvoumna in naslednji inženir bo predpostavil tisto različico, ki se je naučil prvo. Referenca OpenVPN za VLANopredeljuje vedenje stikala in kontekst za vsakega odjemalca, in je najkrajša pot do potrditve, kateri model poganjate.