VLAN-t e klientëve apo një trunk i etiketuar: zgjidhni modalitetin e duhur të OpenVPN

Vijnë dy kërkesa pothuajse me të njëjtat fjalë: vendos çdo klient VPN në një VLAN të zgjedhur, ose transporto një trunk VLAN ekzistues përmes VPN-së. Janë dy produkte të ndryshme. Modaliteti i integruar i OpenVPN që njeh VLAN-in është një model switch-i për kërkesën e parë, dhe nuk është sinonim i transportit transparent të etiketave. Zgjedhja e gabuar prodhon një model që duket i konfiguruar dhe i hedh në heshtje ato kuadro që ju interesonin.

Çfarë ndërton në të vërtetë modaliteti që njeh VLAN-in

Kur vlan-tagging është aktiv në një vendosje TAP vetëm për server, daemoni modelon pajisjen e tij TAP dhe çdo klient të lidhur si porta të një switch-i të brendshëm. Portat e klientëve janë pa etiketë, dhe lidhja e tyre me VLAN-in vendoset në server përmes kontekstit vlan-pvid për çdo klient, jo nga diçka që dërgon klienti. Ky është i gjithë qëllimi i modelit: anëtarësimi është një vendim nga ana e serverit për një palë të autentikuar. Asgjë në profilin e klientit nuk duhet të dijë se cilës VLAN i përket.

Ana TAP e serverit merr politikën e vet të pranimit me etiketë ose pa etiketë përmes vlan-accept. Përcjellja brenda atij switch-i ndodh vetëm midis VID-ve që përputhen, përfshirë kur client-to-client është vendosur, kështu që dy klientë në VLAN të ndryshme nuk mund të arrijnë njëri-tjetrin përmes serverit, edhe pse të dy janë të lidhur me të.

Ky model është një model porte aksesi. Kuadrot që largohen nga klienti janë pa etiketë, dhe lidhjen e imponon serveri bazuar në identitetin. Të kërkosh nga laptopi të etiketojë vetë trafikun e tij do të thotë të kërkosh një model tjetër.

Caktimet duhet të ndjekin identitetin e autentikuar të klientit, jo një vlerë që klienti ofron për veten. Një caktim i lënë jashtë nuk është as gjendje karantine: klienti zbret në PVID-në e paracaktuar, pra një zë ccd që mungon është një vendim i heshtur politike, jo neutral.

Çfarë kërkon në vend të kësaj një trunk transparent

Të transportosh kuadro tashmë të etiketuara nga njëri skaj në tjetrin fillon duke çaktivizuar përpunimin që njeh VLAN-in. Modeli i switch-it dhe ruajtja e etiketave janë alternativa, dhe aktivizimi i të dyjave kërkon që një veçori të bëjë punën e tjetrës.

Çaktivizimi është vetëm fillimi. Ura në çdo skaj dhe portat fizike të switch-it duhet të bien dakord se cilat VLAN lejohen, cila etiketë është amtare dhe si trajtohen kuadrot pa etiketë. Zgjatja e një trunk-u pa kufizime ekspozon shumë më tepër domene transmetimi sesa ata dy që donit të lidhnit.

Madhësia e kuadrit kërkon buxhetin e vet. Një kuadër Ethernet i etiketuar plus inkapsulimi është më i madh se numri i ngarkesës së dobishme që njerëzit kopjojnë nga një udhëzues, dhe një MTU që bënte punë për një tunel të rrugëtuar nuk është provë se një shteg trunk-u funksionon.

Tre kushte që vendosin përgjigjen

Së pari, a e mbështet platforma e klientit fare TAP? Android dhe iOS nuk e mbështesin, dhe mbështetja për macOS është e kufizuar, pra një flotë përdoruesish celularë përjashton të dyja modelet TAP, pavarësisht se si janë renditur VLAN-të. Një sesion TUN i rrugëtuar transporton paketa IP, jo kuadro Ethernet, dhe asnjë konfigurim VLAN nga ana e serverit nuk e ndryshon këtë. Kontrolloni flotën përpara se të projektoni topologjinë, sepse ky është kushti që nuk mund të anashkalohet. Është gjithashtu kushti që zbulohet më shpesh pasi përfundon puna në switch.

Së dyti, kush e cakton VLAN-in? Nëse përgjigjja është «serveri, bazuar në atë se kush u autentikua», modeli i switch-it përshtatet. Nëse përgjigjja është «infrastruktura ekzistuese e switch-eve, me etiketa që ekzistojnë tashmë», ju nevojitet modeli i trunk-ut.

Së treti, sa e rrjetit duhet të jetë e arritshme? Modeli i switch-it e mban çdo klient në një VLAN sipas ndërtimit. Modeli i trunk-ut është një urë, dhe një urë e konfiguruar gabimisht bashkon domene transmetimi që duhej të kishin mbetur të ndara.

Testimi i zgjedhjes që bëtë

Lidhni një klient që duhet të jetë në VLAN-in e lejuar dhe një që nuk duhet, pastaj provoni nga skaji i vërtetë dhe jo nga vetë serveri. Arritshmëria nga ana e serverit provon që ura ose switch-i ekziston; nuk provon në cilën VLAN zbriti klienti.

ip -d link show tap0
bridge vlan show

Në server, komanda e dytë tregon anëtarësimin në VLAN të çdo porte ure, përfshirë nëse porta është e etiketuar. Krahasoni atë me caktimin që kishit ndërmend përpara se të korrigjoni çdo gjë mbi shtresën e dytë.

Shënoni cilën nga dy modelet përdor vendosja. Një shënim që thotë «njeh VLAN-in» është i paqartë, dhe inxhinieri tjetër do të supozojë atë që mësoi i pari. Referenca e VLAN-eve të OpenVPNpërcakton sjelljen e switch-it dhe kontekstin për çdo klient, dhe është rruga më e shkurtër për të konfirmuar cilin model po ekzekutoni.