Ali dve lokaciji potrebujeta enake VLAN ID za VPN med lokacijama?

Enake številke VLAN v dveh pisarnah dajejo vtis, da bi morale pomagati tunelu med lokacijama, in ne spremenijo ničesar od tega, kar tunel prenaša. VLAN ID označuje Ethernet broadcast domeno znotraj ene stavbe; tunel posreduje IP pakete med prehodi. Dve lokaciji lahko uporabljata popolnoma različno oštevilčenje VLAN in se še vedno usmerjata druga k drugi, dve lokaciji pa lahko uporabljata enako oštevilčenje VLAN in se še vedno ne dosežeta. Spremenljivka, ki določa dostopnost, je načrt naslovov.

Mit: enaki VLAN ID na obeh koncih

Prepričanje izhaja iz razumnega mesta. Znotraj ene stavbe se lahko dve vrati v istem VLAN pogovarjata, dve vrati v različnih VLAN pa ne, zato se številka VLAN zdi tisto, kar daje povezljivost. Skozi usmerjen tunel ni skupnega segmenta Ethernet, ki bi ga oznaka lahko opisala, in prehodi nikoli ne izmenjujejo oznak VLAN.

Tunel potrebuje par neprekrivajočih se naslovnih obsegov in politiko, ki dovoljuje promet med njima. Spremenite VLAN v kateri koli pisarni in tunel deluje naprej, ker se nič v konfiguraciji tunela nanj ni sklicevalo. To je preizkus, ki razreši spor: preštevilčite VLAN, pustite naslove pri miru in opazujte, ali tunel ostane.

Obratni preizkus je prav tako poučen. Dajte obema pisarnama isto podomrežje in nobena količina enakih številk VLAN ne bo naredila naslova nedvoumnega.

Kaj tunel v resnici prenaša

IPsec ščiti IP pakete po politiki, izraženi v naslovih, protokolih in vratih. Arhitektura IPsec opisuje te selektorje na plasti IP, ki je nekaj plasti nad vsem, kar opisuje oznaka stikala. Ko paket vstopi v tunel, je VLAN že zapustil; oznako je porabilo lokalno stikalo.

Zasnove na podlagi politike in na podlagi usmeritev se razlikujejo v tem, kako izberejo tunel, ne v tem, kaj lahko prenašajo. Partner na podlagi politike uskladi selektorje prometa in pošlje ustrezne pakete v tunel. Partner na podlagi usmeritev usmerja promet na vmesniku tunela in prepusti odločitev usmerjevalni tabeli. Oba se še vedno pogajata o obsegu zaščite, zato pot, ki kaže na tunel, ne razširi tega, o čemer so se partnerji dogovorili, da bodo zaščitili.

Ta razlika pojasni pogosto polovično odpoved: pot obstaja, paketi vstopijo v tunel, oddaljena stran pa jih zavrže, ker dogovorjeni selektorji nikoli niso vključevali te predpone. Branje nameščenih politik pokaže, kateri obseg je dejansko stopil v veljavo.

ip xfrm policy
ip route show
swanctl --list-sas

Prekrivanje, ki v resnici zlomi

Dve pisarni z različnima podomrežjema se čisto usmerjata skozi tunel in njuni številki VLAN nista pomembni. Dve pisarni z istim podomrežjem ne, ker ima zahteva za dani naslov dva možna pomena in usmerjevalna tabela lahko izbere samo enega. Preštevilčenje ene lokacije je čista rešitev in je običajno cenejše od alternativ, ko se upoštevajo spremembe DNS in požarnega zidu.

Ko preštevilčenje ni mogoče, lahko načrtno zasnovan prevod vsaki strani predstavi različne poglede na naslove. To pomeni preslikavo ena proti ena, ustrezne selektorje, zapise DNS, ki odražajo prevedeni pogled, in povratno usmerjanje, ki preživi prepis. To je podprta zasnova z resničnimi obratovalnimi stroški in ni tisto, kar naredi sprememba VLAN ID.

Enake številke VLAN na obeh koncih so včasih naključje skupne predloge, in obravnavanje tega naključja kot vzroka delujočega tunela vodi do napačne spremembe, ko se kasneje kaj pokvari.

Ena naloga na plast, zapisano

Lokalno stikalo odloči, katera vrata si delijo broadcast domeno, in njegovo oštevilčenje VLAN je lokalno knjigovodstvo, ki ga nobena druga lokacija ne potrebuje poznati. Prehod overi partnerja in uveljavi dogovorjeni obseg zaščite. Usmerjevalna tabela odloči, kam gre dekriptiran paket naprej, in politika dostopa odloči, ali bi temu paketu sploh smelo biti dovoljeno.

Prav ločevanje teh nalog naredi spremembe varne. Preštevilčenje VLAN v eni pisarni se dotakne lokalnega stikala, obsega DHCP in morda območja požarnega zidu, tunela pa se ne dotakne. Sprememba predpone se dotakne selektorjev tunela, usmeritev na obeh straneh in politike dostopa, oznak stikala pa se ne dotakne.

Povratne usmeritve, zasebni DNS in zahteve po identiteti aplikacije so spet ločene naloge in nobena od njih ne pride s kopiranjem številke VLAN z druge lokacije. Projektni dokument, ki našteva dosegljive predpone in dovoljene storitve, preživi zamenjavo stikala; tisti, ki našteva številke VLAN, ne.

Potrdite lokalno sliko z orodji bridge, preden domnevate, da oznaka doseže tunel.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Ko je razširitev layer-2 resnična zahteva

Nekatere zasnove resnično potrebujejo vedenje Ethernet med lokacijami: stara aplikacija, ki se opira na odkrivanje z broadcastom, selitev, ki mora ohraniti naslov, medtem ko se stroj premika, ali protokol, ki vgrajuje predpostavke layer-2. Takšni primeri zahtevajo overlay ali mostno storitev, ki prenaša okvire, in takrat članstvo v VLAN, preprečevanje zank in obvladovanje napak postanejo stvari od konca do konca.

To je veliko večja domena odpovedi in bi morala biti zavestna izbira, ne naključni rezultat poskusa, da bi zagnali souporabo datotek. Običajni strežnik datotek, zbirka podatkov ali spletna aplikacija potrebujejo pooblaščeno pot IP in bodo srečnejši brez raztegnjene broadcast domene pod seboj.

Zapišite pogodbo VPN kot dosegljive predpone plus dovoljene storitve in oznako VLAN zabeležite le tam, kjer jo lokalno poslovanje potrebuje. Vsaka pisarna lahko nato preštevilči svoje lastno preklapljanje, ne da bi vsako spremembo spremenila v prenovo tunela.