A kanë nevojë dy lokalitete për të njëjtat VLAN ID për një VPN lokaliteti?

Të njëjtat numra VLAN në dy zyra duken sikur duhet të ndihmonin një tunel mes lokaliteteve, dhe nuk ndryshojnë asgjë nga ajo që transporton tuneli. Një VLAN ID shënon një domen transmetimi Ethernet brenda një ndërtese; tuneli përçon paketa IP mes portave. Dy lokalitete mund të përdorin një numërim VLAN krejt të ndryshëm dhe prapë të rrugëzojnë drejt njëri-tjetrit, dhe dy lokalitete mund të përdorin të njëjtin numërim VLAN dhe prapë të mos arrijnë njëri-tjetrin. Variabli që përcakton arritshmërinë është plani i adresave.

Miti: të njëjtat VLAN ID në të dy skajet

Bindja vjen nga një vend i arsyeshëm. Brenda një ndërtese, dy porta në të njëjtin VLAN mund të flasin dhe dy porta në VLAN të ndryshëm nuk mundet, prandaj numri VLAN duket si gjëja që jep lidhshmëri. Përmes një tuneli të rrugëzuar nuk ka segment Ethernet të përbashkët që etiketa mund të përshkruajë, dhe portat nuk shkëmbejnë kurrë etiketa VLAN.

Ajo që i nevojitet tunelit është një çift zonash adresash që nuk mbivendosen dhe një politikë që lejon trafikun mes tyre. Ndryshoni VLAN në çdo zyrë dhe tuneli vazhdon të funksionojë, sepse asgjë në konfigurimin e tunelit nuk i referohej atij. Ky është testi që e zgjidh mosmarrëveshjen: rinumëroni një VLAN, lini adresat të paprekura dhe shikoni nëse tuneli qëndron.

Testi i kundërt është po aq informativ. Jepini dy zyrave të njëjtën nënrrjetë dhe asnjë sasi numrash VLAN të njëjtë nuk do ta bëjë një adresë të paqartë.

Çfarë transporton në të vërtetë tuneli

IPsec mbron paketat IP sipas një politike të shprehur në adresa, protokolle dhe porta. Arkitektura IPsec përshkruan ata selektorë në shtresën IP, e cila është disa shtresa mbi çdo gjë që përshkruan një etiketë komutatori. Kur një paketë hyn në tunel, ajo e ka lënë tashmë VLAN-in; etiketën e ka konsumuar komutatori lokal.

Dizajnet e bazuar në politikë dhe në rrugë ndryshojnë në mënyrën se si zgjedhin tunelin, jo në atë që mund të transportojnë. Një palë e bazuar në politikë përputh selektorët e trafikut dhe i dërgon paketat përputhëse në tunel. Një palë e bazuar në rrugë rrugëzon trafikun në një ndërfaqe tuneli dhe lë vendimin tabelës së rrugëzimit. Të dyja ende negociojnë një shtrirje mbrojtjeje, prandaj një rrugë që tregon drejt tunelit nuk zgjeron atë për të cilën palët ranë dakord të mbrojnë.

Ky dallim shpjegon një dështim të pjesshëm të zakonshëm: rruga ekziston, paketat hyjnë në tunel dhe ana e largët i hedh poshtë sepse selektorët e negociuar nuk e kishin përfshirë kurrë atë prefiks. Leximi i politikave të instaluara tregon cila shtrirje hyri në fuqi në të vërtetë.

ip xfrm policy
ip route show
swanctl --list-sas

Mbivendosja që me të vërtetë thyen

Dy zyra me nënrrjeta të ndryshme rrugëzohen pastër përmes një tuneli, dhe numrat e tyre VLAN janë të parëndësishëm. Dy zyra me të njëjtën nënrrjetë jo, sepse një kërkesë për një adresë të caktuar ka dy kuptime të mundshme dhe tabela e rrugëzimit mund të zgjedhë vetëm një. Rinumërimi i një lokaliteti është zgjidhja e pastër dhe zakonisht është më e lirë se alternativat kur numërohen ndryshimet e DNS-së dhe të murit të zjarrit.

Kur rinumërimi është i pamundur, një dizajn përkthimi i qëllimshëm mund t'i paraqesë secilës anë pamje të ndryshme adresash. Kjo do të thotë hartëzim një-për-një, selektorë përputhës, hyrje DNS që pasqyrojnë pamjen e përkthyer dhe rrugëzim kthimi që i mbijeton rishkrimit. Është një dizajn i mbështetur me kosto reale operacionale, dhe nuk është ajo që bën ndryshimi i VLAN ID.

Të njëjtat numra VLAN në të dy skajet janë ndonjëherë një rastësi e një shablloni të përbashkët, dhe trajtimi i asaj rastësie si shkaku i një tuneli funksional çon në ndryshimin e gabuar kur diçka prishet më vonë.

Një punë për çdo shtresë, e shkruar

Komutatori lokal vendos cilat porta ndajnë një domen transmetimi, dhe numërimi i tij VLAN është kontabilitet lokal që asnjë lokalitet tjetër nuk ka nevojë ta dijë. Porta vërteton palën dhe zbaton shtrirjen e negociuar të mbrojtjes. Tabela e rrugëzimit vendos ku shkon më tej një paketë e dekriptuar, dhe politika e aksesit vendos nëse asaj pakete duhej t'i lejohej fare.

Ndaria e këtyre punëve është ajo që i bën ndryshimet të sigurta. Rinumërimi VLAN në një zyrë prek komutatorin lokal, shtrirjen DHCP dhe ndoshta një zonë të murit të zjarrit, dhe nuk prek tunelin. Një ndryshim prefiksi prek selektorët e tunelit, rrugët në të dy anët dhe politikën e aksesit, dhe nuk prek etiketat e komutatorit.

Rrugët e kthimit, DNS privat dhe kërkesat e identitetit të aplikacionit janë përsëri punë të ndara dhe asnjëra prej tyre nuk vjen duke kopjuar një numër VLAN nga lokaliteti tjetër. Një dokument dizajni që liston prefikset e arritshme dhe shërbimet e lejuara i mbijeton një zëvendësimi komutatori; ai që liston numra VLAN nuk i mbijeton.

Konfirmoni pamjen lokale me mjetet e urës përpara se të supozoni se një etiketë arrin tunelin.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Kur zgjerimi layer-2 është kërkesa e vërtetë

Disa dizajne kanë vërtet nevojë për sjellje Ethernet mes lokaliteteve: një aplikacion i vjetër që mbështetet te zbulimi me transmetim, një migrim që duhet të ruajë një adresë ndërsa një makinë lëviz, ose një protokoll që përfshin supozime layer-2. Raste të tilla kërkojnë një overlay ose një shërbim të urëzuar që transporton kornizat, dhe atëherë anëtarësimi në VLAN, parandalimi i sytheve dhe trajtimi i dështimeve bëhen çështje skaj-më-skaj.

Ai është një domen shumë më i madh dështimesh, dhe duhet të jetë një zgjedhje e qëllimshme dhe jo rezultati aksidental i një përpjekjeje për të vënë në punë ndarjen e skedarëve. Një server skedarësh, bazë të dhënash ose aplikacion web i zakonshëm ka nevojë për një rrugë IP të autorizuar, dhe do të jetë më i lumtur pa një domen transmetimi të shtrirë nën të.

Shkruani kontratën e VPN si prefikse të arritshme plus shërbime të lejuara, dhe regjistroni etiketën VLAN vetëm aty ku operacionet lokale kanë nevojë për të. Atëherë çdo zyrë mund të rinumërojë komutimin e vet pa e kthyer çdo ndryshim në një ridizajnim të tunelit.