Je, tovuti mbili zinahitaji VLAN ID sawa kwa VPN ya tovuti?

Nambari za VLAN sawa katika ofisi mbili zinaonekana kana kwamba zinapaswa kusaidia handaki kati ya tovuti, na hazibadili chochote kuhusu kile handaki hubeba. VLAN ID huweka alama kwenye kikoa cha matangazo cha Ethernet ndani ya jengo moja; handaki husambaza pakiti za IP kati ya lango. Tovuti mbili zinaweza kutumia uandikishaji tofauti kabisa wa VLAN na bado zielekeze kwa kila mmoja, na tovuti mbili zinaweza kutumia uandikishaji sawa wa VLAN na bado zishindwe kufikiana. Kigezo kinachoamua ufikivu ni mpango wa anwani.

Hadithi: VLAN ID sawa kwenye ncha zote mbili

Imani hiyo inatoka mahali panapofaa. Ndani ya jengo moja, lango mbili katika VLAN moja zinaweza kuzungumza na lango mbili katika VLAN tofauti haziwezi, kwa hiyo nambari ya VLAN inaonekana kama kitu kinachotoa muunganisho. Kupitia handaki iliyoelekezwa hakuna sehemu ya Ethernet inayoshirikiwa ambayo lebo inaweza kuieleza, na lango hazibadilishani lebo za VLAN kamwe.

Kile handaki inahitaji ni jozi ya maeneo ya anwani yasiyopishana na sera inayoruhusu trafiki kati yao. Badilisha VLAN katika ofisi yoyote na handaki inaendelea kufanya kazi, kwa sababu hakuna kitu katika usanidi wa handaki kilichorejelea. Huu ndio mtihani unaomaliza mjadala: andikisha upya VLAN, acha anwani zisiguzwe na uangalie kama handaki inabaki.

Mtihani wa kinyume ni wa kuelimisha vile vile. Wape ofisi zote mbili subnet moja na hakuna kiasi cha nambari za VLAN sawa kitafanya anwani isiwe na utata.

Kile handaki hubeba kwa kweli

IPsec hulinda pakiti za IP kulingana na sera inayoonyeshwa kwa anwani, itifaki na bandari. Usanifu wa IPsec unaeleza vichaguzi hivyo katika tabaka la IP, ambalo liko tabaka kadhaa juu ya kila kitu ambacho lebo ya swichi inaeleza. Pakiti inapoingia handakini, tayari imeondoka VLAN; lebo imetumiwa na swichi ya ndani.

Miundo inayotegemea sera na inayotegemea njia hutofautiana katika jinsi inavyochagua handaki, sio katika kile inachoweza kubeba. Mwenza anayetegemea sera hulinganisha vichaguzi vya trafiki na kutuma pakiti zinazolingana handakini. Mwenza anayetegemea njia huelekeza trafiki kwenye kiolesura cha handaki na kuacha uamuzi kwa jedwali la uelekezaji. Wote wawili bado wanajadiliana kuhusu wigo wa ulinzi, kwa hiyo njia inayoelekea handaki haipanui kile wenza walikubaliana kulinda.

Tofauti hiyo inaeleza kushindwa kwa nusu kunakotokea mara nyingi: njia ipo, pakiti zinaingia handakini, na upande wa mbali unazitupa kwa sababu vichaguzi vilivyojadiliwa havikuwahi kujumuisha kiambishi hicho. Kusoma sera zilizosakinishwa kunaonyesha ni wigo gani uliingia kwa nguvu.

ip xfrm policy
ip route show
swanctl --list-sas

Mwingiliano unaovunja kwa kweli

Ofisi mbili zenye subnet tofauti huelekezwa kwa usafi kupitia handaki, na nambari zao za VLAN hazina umuhimu. Ofisi mbili zenye subnet moja hazifanyi hivyo, kwa sababu ombi la anwani fulani lina maana mbili zinazowezekana na jedwali la uelekezaji linaweza kuchagua moja tu. Kuandikisha upya tovuti moja ni suluhisho safi, na kwa kawaida ni nafuu kuliko njia mbadala baada ya kubainisha mabadiliko ya DNS na firewall.

Wakati kuandikisha upya hakuwezekani, muundo wa tafsiri uliokusudiwa unaweza kuwasilisha mitazamo tofauti ya anwani kwa kila upande. Hiyo inamaanisha ramani moja-kwa-moja, vichaguzi vinavyolingana, maingizo ya DNS yanayoakisi mtazamo uliotafsiriwa na uelekezaji wa kurudi unaostahimili uandikaji upya. Ni muundo unaotumika wenye gharama halisi za uendeshaji, na haziwi hivyo kwa kubadilisha VLAN ID.

Nambari za VLAN sawa kwenye ncha zote mbili wakati mwingine ni bahati nasibu ya kiolezo kinachoshirikiwa, na kuchukulia bahati hiyo kama sababu ya handaki inayofanya kazi hupelekea mabadiliko yasiyo sahihi wakati kitu kinapovunjika baadaye.

Kazi moja kwa kila tabaka, iliyoandikwa

Swichi ya ndani huamua ni bandari gani zinashiriki kikoa cha matangazo, na uandikishaji wake wa VLAN ni hesabu ya ndani ambayo hakuna tovuti nyingine inayohitaji kuijua. Lango huthibitisha mwenza na kutekeleza wigo wa ulinzi uliojadiliwa. Jedwali la uelekezaji huamua pakiti iliyofunuliwa inaenda wapi baadaye, na sera ya ufikiaji huamua kama pakiti hiyo ilipaswa kuruhusiwa kabisa.

Kutenganisha kazi hizo ndiko kunafanya mabadiliko kuwa salama. Kuandikisha upya VLAN katika ofisi moja kunagusa swichi ya ndani, wigo wa DHCP na labda eneo la firewall, na hakunagusi handaki. Mabadiliko ya kiambishi hunagusa vichaguzi vya handaki, njia za pande zote mbili na sera ya ufikiaji, na hayanagusi lebo za swichi.

Njia za kurudi, DNS ya faragha na mahitaji ya utambulisho wa programu ni kazi tofauti tena, na hakuna hata moja inayokuja kwa kunakili nambari ya VLAN kutoka tovuti nyingine. Hati ya muundo inayoorodhesha viambishi vinavyofikika na huduma zinazoruhusiwa hustahimili uingizwaji wa swichi; ile inayoorodhesha nambari za VLAN haistahimili.

Thibitisha picha ya ndani kwa zana za daraja kabla ya kudhani lebo inafikia handaki.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Wakati upanuzi wa layer-2 ndio hitaji la kweli

Miundo mingine inahitaji kwa kweli tabia ya Ethernet kati ya tovuti: programu ya zamani inayotegemea ugunduzi wa matangazo, uhamishaji ambao lazima uhifadhi anwani wakati mashine inasogea, au itifaki inayojumuisha dhana za layer-2. Kesi kama hizo zinahitaji overlay au huduma ya daraja inayobeba fremu, na hapo uanachama wa VLAN, kuzuia vitanzi na utunzaji wa hitilafu huwa masuala ya mwanzo hadi mwisho.

Hilo ni eneo kubwa zaidi la hitilafu, na inapaswa kuwa chaguo la kukusudia badala ya matokeo ya bahati nasibu ya jaribio la kufanya ushirikiano wa faili ufanye kazi. Seva ya faili ya kawaida, hifadhidata au programu ya wavuti inahitaji njia ya IP iliyoidhinishwa, na itafurahi zaidi bila kikoa cha matangazo kilichonyoshwa chini yake.

Andika mkataba wa VPN kama viambishi vinavyofikika pamoja na huduma zinazoruhusiwa, na rekodi lebo ya VLAN mahali tu ambapo shughuli za ndani zinaihitaji. Kisha ofisi kila moja inaweza kuandikisha upya swichi yake yenyewe bila kugeuza kila mabadiliko kuwa muundo mpya wa handaki.