Most TAP za en VLAN: priklopite podvmesnik

TAP odjemalec, ki je pred VLAN dosegel LAN in nato prenehal, ima običajno most, ki še vedno vsebuje napačen vmesnik. Posredovanje okvirov ne doda oznake VLAN, zato neoznačen odjemalski okvir, poslan na fizični uplink, prispe brez oznake na trunk vrata in je bodisi zavržen bodisi pristane v izvornem VLAN. To, da podvmesnik nekje na gostitelju obstaja, ne spremeni ničesar na seznamu članov mosta. To je mit, ki ga je treba ubiti najprej: oznako doda vmesnik, ki jo ima v lasti, ne pa gostitelj, ki jo preprosto ima.

Ena razširitev VLAN pomeni eno domeno plasti 2, most pa se mora pridružiti tej domeni, ne trunku, ki jih nosi vse.

Oznaka se ne pojavi, ker ste premostili trunk

Vzemite Linux uplink eno1, ki nosi VLAN 120, do upravljanega stikala. Zasnova, ki deluje za en VLAN, je tap_vpn premosten na br_vpn, pri čemer br_vpn vsebuje eno1.120 namesto eno1. Podvmesnik VLAN doda oznako na izhodu in jo odstrani na vhodu, zato most vidi samo neoznačene okvire za tisti VLAN. Namesto tega v most vstavite fizični vmesnik in isti okviri odidejo brez oznake na trunk vratih, česar niste načrtovali.

Premostitev trunka z izklopljenim filtriranjem VLAN ni bližnjica do istega rezultata. Mostu izroči vsak VLAN na tej žici, vključno s tistimi, ki jih odjemalci ne bi smeli videti.

Dve zakoniti zasnovi, en lastnik oznake

Most, ki pozna VLAN, je druga veljavna ureditev: trunk vstopi v vrata mosta, članstvo po vratih, PVID in nastavitve označenega izhoda pa odločajo, kateri VLAN preidejo. Tam označevanje poseduje most in dodajanje podvmesnika VLAN pod njim bi namestilo drugega lastnika za eno opravilo. Obe zasnovi delujeta; drobci obeh ne. Pred urejanjem katerega koli seznama članov odločite, kateri objekt doda oznako.

Vrata stikala se morajo ujemati s katero koli izbrano zasnovo. Access vrata, ki nosijo VLAN brez oznake, se ujemajo s fizičnim vmesnikom kot priključek, medtem ko se trunk vrata ujemajo z označenim podvmesnikom. Dodajanje podvmesnika neustreznim access vratom ne popravi ničesar.

Premaknite naslov skupaj s članstvom

V zasnovi s podvmesnikom naslov gostitelja za premosteno podomrežje spada na br_vpn, ne na podrejena VLAN vrata, kjer je morda prej živel. Če ga pustite na vratih, lahko deluje, nato pa se obnaša čudno, ker most posreduje na plasti 2, medtem ko naslov sedi na članu. Premaknite ga kot del spremembe članstva, ne kot ločen poskus.

Premik naslova lahko prekine upravljalno pot. Vzpostavite neodvisno pot za obnovitev, shranite obstoječo konfiguracijo prek lastnega omrežnega upravitelja distribucije in se izognite konkurenčni zagonski skripti, ki se bo z njo borila po naslednji nadgradnji.

Naslavljanje odjemalcev zahteva enako skrbnost. Premosten VPN postavi odjemalce v razširjeno podomrežje, zato se nabor ne sme prekrivati z drugimi najemi ali statičnimi dodelitvami, ureditev, ki jo streže DHCP, pa mora biti tista, ki jo LAN resnično pričakuje. Delujoča pot plasti 2 ne pove ničesar o podvojenih naslovih.

Preverite članstvo, preden krivite poti

Berite trenutno stanje, ne predvidenega: ip -d link show dev eno1.120 izpiše id VLAN in njegovega starša, ip link show master br_vpn našteje člane mosta, bridge vlan show pa poroča o članstvu po vratih in obdelavi izhoda. V zasnovi s podvmesnikom potrdite, da sta naprava TAP in naprava VLAN člana. V mostu, ki pozna VLAN, preverite samo politiko vrat, ker obstoječi most ne dokazuje, kaj dovoljuje.

Nato preizkusite enega dovoljenega odjemalca proti storitvi v tem VLAN, pri čemer upoštevajte, da so ARP, politika požarnega zidu in povratna pot ločene zadeve od članstva. Če zajemate pakete, upoštevajte, da lahko strojna oprema offload spremeni, kje se oznake VLAN pojavijo v sledi. Tudi obseg naj bo pošten: usmerjeni odjemalec TUN ne postane član VLAN z nobeno spremembo mosta, promet odjemalec-odjemalec pa ne nadomesti priključka gostitelja na VLAN.