Клијентски VLAN-ови или означен trunk: изаберите исправан OpenVPN режим

Два захтева стижу готово истим текстом: сместите сваког VPN клијента у изабрани VLAN или пренесите постојећи VLAN trunk кроз VPN. То су различити производи. Уграђени OpenVPN режим свестан VLAN-а је модел прекидача за први захтев и није синоним за транспарентан пренос ознака. Погрешан избор даје дизајн који изгледа конфигурисано, а тихо одбацује оквире који су вам били важни.

Шта режим свестан VLAN-а заправо гради

Када је vlan-tagging укључен у TAP поставци само за сервер, демон моделује свој TAP уређај и сваког повезаног клијента као портове унутрашњег прекидача. Клијентски портови нису означени, а њихова VLAN веза се поставља на серверу кроз контекст vlan-pvid по клијенту, а не кроз било шта што клијент шаље. У томе је цела поента модела: чланство је одлука на страни сервера о аутентификованом партнеру. Ништа у профилу клијента не мора да зна којем VLAN-у припада.

Страна TAP сервера добија сопствену политику прихватања означених или неозначених оквира кроз vlan-accept. Прослеђивање унутар тог прекидача дешава се само између подударних VID-ова, укључујући када је постављен client-to-client, па два клијента у различитим VLAN-овима не могу доћи један до другог кроз сервер иако су оба повезана на њега.

Тај модел је модел приступног порта. Оквири који напуштају клијента нису означени, а везу намеће сервер на основу идентитета. Тражити од преносног рачунара да сам означи свој саобраћај значи тражити други дизајн.

Доделе морају да следе аутентификовани идентитет клијента, а не вредност коју клијент нуди о себи. Изостављена додела такође није стање карантина: клијент пада на подразумевани PVID, па недостајући ccd унос је тиха одлука политике, а не неутрална.

Шта транспарентни trunk уместо тога тражи

Пренос већ означених оквира од краја до краја почиње искључивањем обраде свесне VLAN-а. Модел прекидача и очување ознака су алтернативе, а укључивање оба тражи да једна функција обавља посао друге.

Искључивање је само почетак. Мост на сваком крају и физички портови прекидача морају да се сложе који су VLAN-ови дозвољени, која је ознака изворна и како се поступа са неозначеним оквирима. Проширење неограниченог trunk-а излаже много више broadcast домена него она два која сте хтели да повежете.

Величина оквира тражи сопствени буџет. Означени Ethernet оквир плус инкапсулација већи је од броја корисног терета који људи преписују из приручника, а MTU који је био добар за рутирани тунел није доказ да trunk путања ради.

Три услова која одлучују одговор

Прво, да ли клијентска платформа уопште подржава TAP? Android и iOS не, а подршка за macOS је ограничена, па флота мобилних корисника искључује оба TAP дизајна, без обзира на то како су VLAN-ови распоређени. Рутирана TUN сесија преноси IP пакете, а не Ethernet оквире, и никаква конфигурација VLAN-а на серверу то не мења. Проверите флоту пре пројектовања топологије, јер је тај услов једини који се не може заобићи. То је и услов који се најчешће открије након завршетка радова на прекидачу.

Друго, ко додељује VLAN? Ако је одговор «сервер, према томе ко се аутентификовао», модел прекидача одговара. Ако је одговор «постојећа прекидачка инфраструктура, са ознакама које већ постоје», потребан вам је trunk дизајн.

Треће, колики део мреже треба да буде доступан? Модел прекидача по конструкцији држи сваког клијента у једном VLAN-у. Trunk дизајн је мост, а погрешно конфигурисан мост спаја broadcast домене који су требали да остану одвојени.

Провера вашег избора

Повежите једног клијента који треба да буде у дозвољеном VLAN-у и једног који не треба, па тестирајте са правог краја, а не са самог сервера. Доступност са серверске стране доказује да мост или прекидач постоји; не доказује у који је VLAN клијент слетео.

ip -d link show tap0
bridge vlan show

На серверу друга наредба показује VLAN чланство сваког порта моста, укључујући и то да ли је порт означен. Упоредите то са намераваном доделом пре него што почнете да отклањате грешке изнад другог слоја.

Забележите који од два дизајна поставка користи. Напомена «свестан VLAN-а» је двосмислена, а следећи инжењер ће претпоставити ону варијанту коју је прво научио. OpenVPN VLAN референцадефинише понашање прекидача и контекст по клијенту, и то је најкраћи пут да потврдите који модел покрећете.