Да ли су две локације потребне исте VLAN ID за VPN између локација?

Исти VLAN бројеви у две канцеларије изгледају као да би требало да помогну тунелу између локација, а не мењају ништа од онога што тунел преноси. VLAN ID означава Ethernet broadcast домен унутар једне зграде; тунел прослеђује IP пакете између мрежних пролаза. Две локације могу да користе потпуно различито VLAN нумерисање и ипак рутирају једна према другој, а две локације могу да користе исто VLAN нумерисање и ипак не могу да се достигну. Променљива која одређује доступност је план адреса.

Мит: исти VLAN ID на оба краја

Уверење долази са разумног места. Унутар једне зграде два порта у истом VLAN-у могу да разговарају, а два порта у различитим VLAN-овима не могу, па VLAN број изгледа као оно што даје повезаност. Кроз рутирани тунел нема заједничког Ethernet сегмента који би ознака описала, а пролази никада не размењују VLAN ознаке.

Тунелу је потребан пар адресних опсега који се не преклапају и политика која дозвољава саобраћај између њих. Промените VLAN у било којој канцеларији и тунел наставља да ради, јер ништа у конфигурацији тунела није упућивало на њега. То је тест који решава расправу: пренумеришите VLAN, оставите адресе на миру и гледајте да ли тунел остаје.

Обрнути тест је подједнако поучан. Дајте обема канцеларијама исту подмрежу и никаква количина истих VLAN бројева неће учинити адресу недвосмисленом.

Шта тунел заправо преноси

IPsec штити IP пакете према политици израженој у адресама, протоколима и портовима. Архитектура IPsec описује те селекторе на IP слоју, који је неколико слојева изнад свега што описује ознака прекидача. Када пакет уђе у тунел, већ је напустио VLAN; ознаку је потрошио локални прекидач.

Дизајни засновани на политици и на рутама разликују се по томе како бирају тунел, а не по томе шта могу да пренесу. Партнер заснован на политици упарује селекторе саобраћаја и шаље одговарајуће пакете у тунел. Партнер заснован на рутама рутира саобраћај на интерфејсу тунела и препушта одлуку табели рутирања. Оба и даље преговарају о обиму заштите, па рута која показује на тунел не проширује оно око чега су се партнери сагласили да штите.

Та разлика објашњава чест половичан неуспех: рута постоји, пакети улазе у тунел, а супротна страна их одбацује јер преговарани селектори никада нису укључивали тај префикс. Читање инсталираних политика показује који је опсег заиста ступио на снагу.

ip xfrm policy
ip route show
swanctl --list-sas

Преклапање које заиста ломи

Две канцеларије са различитим подмрежама чисто се рутирају кроз тунел, а њихови VLAN бројеви су неважни. Две канцеларије са истом подмрежом не, јер захтев за дату адресу има два могућа значења а табела рутирања може да изабере само једно. Пренумерисање једне локације је чисто решење и обично је јефтиније од алтернатива када се урачунају промене DNS-а и заштитног зида.

Када пренумерисање није могуће, намерни дизајн превода може свакој страни да представи различите погледе на адресе. То значи пресликавање један-на-један, одговарајуће селекторе, DNS записе који одражавају преведени поглед и повратно рутирање које преживљава преписивање. То је подржан дизајн са стварним оперативним трошком и није оно што чини промена VLAN ID-а.

Исти VLAN бројеви на оба краја су понекад случајност заједничког шаблона, а третирање те случајности као узрока функционалног тунела води ка погрешној промени када се нешто касније поквари.

Један посао по слоју, записан

Локални прекидач одлучује који портови деле broadcast домен, а његово VLAN нумерисање је локално књиговодство које ниједна друга локација не треба да зна. Пролаз аутентификује партнера и спроводи преговарани обим заштите. Табела рутирања одлучује куда дешифровани пакет иде даље, а политика приступа одлучује да ли је том пакету уопште требало дозволити.

Одвајање тих послова је оно што промене чини безбедним. Пренумерисање VLAN-а у једној канцеларији дотиче локални прекидач, DHCP опсег и можда зону заштитног зида, а не дотиче тунел. Промена префикса дотиче селекторе тунела, руте на обе стране и политику приступа, а не дотиче ознаке прекидача.

Повратне руте, приватни DNS и захтеви за идентитет апликације поново су одвојени послови и ниједан од њих не долази копирањем VLAN броја са друге локације. Пројектни документ који наводи доступне префиксе и дозвољене услуге преживљава замену прекидача; онај који наводи VLAN бројеве не.

Потврдите локалну слику алатима за мост пре него што претпоставите да ознака стиже до тунела.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Када је проширење layer-2 прави захтев

Неки дизајни заиста захтевају Ethernet понашање између локација: наследна апликација која се ослања на откривање broadcast-ом, миграција која мора да задржи адресу док се машина премешта, или протокол који уграђује претпоставке layer-2. Такви случајеви захтевају overlay или мостовну услугу која преноси оквире, и тада чланство у VLAN-у, спречавање петљи и руковање отказима постају питања од краја до краја.

То је много већи домен отказа и требало би да буде намерни избор, а не случајни резултат покушаја да се омогући дељење датотека. Обичан сервер датотека, база података или веб апликација захтевају овлашћену IP путању и биће срећнији без растегнутог broadcast домена испод себе.

Запишите VPN уговор као доступне префиксе плус дозвољене услуге и забележите VLAN ознаку само тамо где је потребна локалним операцијама. Тада свака канцеларија може да пренумерише своје преклапање без претварања сваке промене у редизајн тунела.