VLAN za wateja au trunk yenye lebo: chagua hali sahihi ya OpenVPN

Maombi mawili yanafika kwa maneno karibu sawa: weka kila mteja wa VPN katika VLAN iliyochaguliwa, au beba trunk ya VLAN iliyopo kupitia VPN. Ni bidhaa mbili tofauti. Hali ya ndani ya OpenVPN inayofahamu VLAN ni modeli ya swichi kwa ombi la kwanza, na si kisawe cha usafirishaji wazi wa lebo. Uchaguzi mbaya huzalisha muundo unaoonekana umesanidiwa na kimya hutupa fremu zilizokujali.

Hali inayofahamu VLAN hujenga nini hasa

Wakati vlan-tagging imewezeshwa katika usambazaji wa TAP wa seva pekee, daemon huiga kifaa chake cha TAP na kila mteja aliyeunganishwa kama bandari kwenye swichi ya ndani. Bandari za wateja hazina lebo, na uhusiano wao wa VLAN huwekwa kwenye seva kupitia muktadha wa vlan-pvid kwa kila mteja, si kwa kitu chochote anachotuma mteja. Hiyo ndiyo maana yote ya modeli: uanachama ni uamuzi wa upande wa seva kuhusu mwenza aliyethibitishwa. Hakuna kitu katika wasifu wa mteja kinachohitaji kujua yuko katika VLAN gani.

Upande wa TAP wa seva hupata sera yake ya kukubali yenye lebo au isiyo na lebo kupitia vlan-accept. Usambazaji ndani ya swichi hiyo hufanyika tu kati ya VID zinazolingana, ikiwemo wakati client-to-client imewekwa, kwa hivyo wateja wawili katika VLAN tofauti hawawezi kufikiana kupitia seva ingawa wote wameunganishwa nayo.

Modeli hiyo ni modeli ya bandari ya ufikiaji. Fremu zinazoondoka kwa mteja hazina lebo, na uhusiano huo huwekwa na seva kwa msingi wa utambulisho. Kumwomba kompyuta mpakato kuweka lebo kwenye trafiki yake mwenyewe ni kuomba muundo mwingine.

Ugawaji lazima ufuate utambulisho wa mteja aliyethibitishwa, si thamani ambayo mteja anatoa kuhusu yeye mwenyewe. Ugawaji ulioachwa pia si hali ya karantini: mteja huangukia kwenye PVID chaguo-msingi, kwa hivyo ingizo la ccd lililokosekana ni uamuzi wa sera wa kimya, si usioegemea upande.

Trunk wazi inahitaji nini badala yake

Kubeba fremu zilizo na lebo tayari kutoka mwanzo hadi mwisho huanza kwa kuzima uchakataji unaofahamu VLAN. Modeli ya swichi na uhifadhi wa lebo ni mbadala, na kuwasha zote mbili ni kumwomba kipengele kimoja kufanya kazi ya kingine.

Kuzima ni mwanzo tu. Daraja katika kila ncha na bandari halisi za swichi lazima zikubaliane ni VLAN gani zinaruhusiwa, lebo ipi ni ya asili na jinsi fremu zisizo na lebo zinavyoshughulikiwa. Kupanua trunk isiyo na kikomo huweka wazi vikoa vingi vya matangazo kuliko vile viwili ulivyokusudia kuunganisha.

Ukubwa wa fremu unahitaji bajeti yake. Fremu ya Ethernet yenye lebo pamoja na ufungashaji ni kubwa kuliko takwimu ya mzigo muhimu ambayo watu hunakili kutoka mwongozo, na MTU iliyofaa kwa handaki lenye uelekezaji si uthibitisho kwamba njia ya trunk inafanya kazi.

Masharti matatu yanayoamua jibu

Kwanza, je, jukwaa la mteja linasaidia TAP kabisa? Android na iOS hawasaidii, na msaada wa macOS ni mdogo, kwa hivyo kundi la watumiaji wa simu huzuia miundo yote miwili ya TAP, bila kujali VLAN zimepangwa vipi. Kikao cha TUN chenye uelekezaji hubeba pakiti za IP, si fremu za Ethernet, na hakuna usanidi wowote wa VLAN upande wa seva unaobadilisha hilo. Kagua kundi kabla ya kubuni topolojia, kwa sababu sharti hili ndilo lisiloweza kuepukwa. Pia ni sharti linalogundulika mara nyingi zaidi baada ya kazi ya swichi kukamilika.

Pili, nani anagawa VLAN? Jibu likiwa «seva, kwa msingi wa nani alithibitisha», modeli ya swichi inafaa. Jibu likiwa «miundombinu iliyopo ya swichi, na lebo ambazo tayari zipo», unahitaji muundo wa trunk.

Tatu, sehemu ngapi ya mtandao inapaswa kufikiwa? Modeli ya swichi huweka kila mteja katika VLAN moja kwa muundo wake. Muundo wa trunk ni daraja, na daraja lililosanidiwa vibaya huunganisha vikoa vya matangazo ambavyo vilitakiwa kubaki tofauti.

Kujaribu uchaguzi uliofanya

Unganisha mteja mmoja anayepaswa kuwa katika VLAN inayoruhusiwa na mmoja asiyepaswa, kisha jaribu kutoka ncha halisi badala ya kutoka kwa seva yenyewe. Ufikiaji kutoka upande wa seva huthibitisha kwamba daraja au swichi ipo; haithibitishi ni VLAN gani mteja aliangukia.

ip -d link show tap0
bridge vlan show

Kwenye seva, amri ya pili inaonyesha uanachama wa VLAN wa kila bandari ya daraja, ikiwemo kama bandari ina lebo. Linganisha hilo na ugawaji uliokusudia kabla ya kutatua hitilafu yoyote juu ya tabaka la pili.

Andika ni muundo upi kati ya miwili unaotumiwa na usambazaji. Maelezo yanayosema «inayofahamu VLAN» hayana uwazi, na mhandisi anayefuata atadhani ule alioujifunza kwanza. Marejeo ya VLAN ya OpenVPNhufafanua tabia ya swichi na muktadha kwa kila mteja, na ndiyo njia fupi zaidi ya kuthibitisha modeli gani unayoendesha.