Ura TAP për një VLAN: lidh nënndërfaqen

Një klient TAP që arrinte LAN-in para VLAN-ve dhe ndaloi më pas, zakonisht ka ende një urë që përmban ndërfaqen e gabuar. Përcjellja e kornizave nuk shton një tag VLAN, kështu që një kornizë klienti pa tag e dërguar në uplink-un fizik mbërrin pa tag në një port trunk dhe ose hidhet ose përfundon në VLAN-in amtar. Fakti që nënndërfaqja ekziston diku në host nuk ndryshon asgjë në listën e anëtarëve të urës. Ky është miti që duhet vrarë së pari: tag-un e vendos ndërfaqja që e zotëron, jo fakti që hosti thjesht ka një.

Një zgjerim VLAN do të thotë një domen i shtresës 2, dhe ura duhet t'i bashkohet atij domeni, jo trunk-ut që i mban të gjithë.

Tagu nuk shfaqet sepse e bëre trunk-un urë

Merr një uplink Linux eno1 që mban VLAN 120 drejt një switch-i të menaxhuar. Dizajni që funksionon për një VLAN është tap_vpn i urëzuar me br_vpn, ku br_vpn përmban eno1.120 në vend të eno1. Nënndërfaqja VLAN e vendos tag-un në dalje dhe e heq në hyrje, kështu që ura sheh vetëm korniza pa tag për atë VLAN. Vendos në vend të kësaj ndërfaqen fizike në urë, dhe të njëjtat korniza dalin pa tag në një port trunk, gjë që nuk e kishe planifikuar.

Të bësh urë trunk-un me filtrimin VLAN të fikur nuk është shkurtore drejt të njëjtit rezultat. I jep urës çdo VLAN në atë kabllo, përfshirë ato që klientët nuk duhet t'i shohin.

Dy dizajne legjitime, një pronar i tagut

Një urë që e njeh VLAN-in është rregullimi tjetër i vlefshëm: trunk-u hyn në një port të urës, dhe anëtarësimi për port, PVID dhe cilësimet e daljes me tag vendosin cilat VLAN kalojnë. Atje tag-imi zotërohet nga ura, dhe shtimi i një nënndërfaqe VLAN nën të do të instalohej një pronar i dytë për një detyrë. Të dy dizajnet funksionojnë; fragmentet e të dyve jo. Vendos cili objekt vendos tag-un para se të redaktosh çdo listë anëtarësh.

Porti i switch-it duhet të pajtohet me çdo dizajn që zgjedh. Një port access që mban VLAN-in pa tag përputhet me ndërfaqen fizike si lidhje, ndërsa një port trunk përputhet me një nënndërfaqe me tag. Shtimi i një nënndërfaqeje në një port access të papërshtatshëm nuk rregullon asgjë.

Zhvendos adresën bashkë me anëtarësimin

Në dizajnin me nënndërfaqe, adresa e hostit për nënrrjetin e urëzuar i përket br_vpn, jo portit VLAN të nënshtruar ku mund të ketë banuar më parë. Ta lësh në port mund të duket se funksionon dhe pastaj të sillet çuditshëm, sepse ura përcjell në shtresën 2 ndërsa adresa rri mbi një anëtar. Zhvendose si pjesë e ndryshimit të anëtarësimit, jo si eksperiment të veçantë.

Zhvendosja e një adrese mund të presë rrugën e administrimit. Krijo një rrugë rikuperimi të pavarur, ruaj konfigurimin ekzistues përmes menaxherit të rrjetit të vetë shpërndarjes dhe shmang një skript nisjeje konkurrues që do të luftojë me të pas përditësimit të ardhshëm.

Adresimi i klientëve kërkon të njëjtën kujdes. Një VPN i urëzuar i vendos klientët në nënrrjetin e zgjeruar, prandaj një pool nuk duhet të mbivendoset me qira të tjera ose caktime statike, dhe rregullimi i shërbyer nga DHCP duhet të jetë ai që LAN-i me të vërtetë pret. Një rrugë e shtresës 2 që funksionon nuk thotë asgjë për adresa të dyfishta.

Verifiko anëtarësimin para se të fajësosh rrugët

Lexo gjendjen aktuale, jo atë të synuar: ip -d link show dev eno1.120 shtyp id-në e VLAN dhe prindin e tij, ip link show master br_vpn liston anëtarët e urës, dhe bridge vlan show raporton anëtarësimin për port dhe trajtimin e daljes. Në dizajnin me nënndërfaqe, konfirmo që pajisja TAP dhe pajisja VLAN janë anëtarët. Në një urë që e njeh VLAN-in, kontrollo vetë politikën e portit, sepse një urë që ekziston nuk provon çfarë lejon.

Pastaj provo një klient të lejuar kundrejt një shërbimi në atë VLAN, duke mbajtur mend se ARP, politika e firewall-it dhe rruga e përgjigjes janë çështje të ndara nga anëtarësimi. Nëse kap paketa, vër re se offload-i i harduerit mund të ndryshojë ku shfaqen tag-et VLAN në një gjurmë. Mbaje edhe shtrirjen të sinqertë: një klient TUN i rrugëzuar nuk bëhet anëtar VLAN nga asnjë ndryshim ure, dhe trafiku klient-për-klient nuk zëvendëson lidhjen e hostit me VLAN-in.