Kwa nini kihisi chako cha VPN hakiioni kamwe lebo ya VLAN ya tawi

Kihisi kilicho upande wa VPN huona VLAN mbili za tawi kama trafiki ya IP ya kawaida, na lebo iliyotambulisha kila tawi kwenye waya yake yenyewe imetoweka. Hiyo ndiyo kazi ya tuneli iliyopitishwa kwa uelekezaji: hurejesha pakiti, si fremu za Ethernet zilizozifikisha. Ikiwa lebo inayokosekana ina umuhimu inategemea kabisa swali unalouliza kwa kihisi. Fanya ukaguzi nne zilizo hapa chini kwa mpangilio na utajua ni sehemu gani ya uangalizi inayoweza kujibu hilo.

Kwanza: bainisha tuneli yako inarejesha nini

Kiolesura cha TUN hubeba pakiti za IP, kwa hiyo kichwa cha VLAN cha fremu ya tawi hukomea kwenye kipanga njia kilichosukuma trafiki ndani ya tuneli. Kiolesura cha TAP hubeba fremu za Ethernet, kumaanisha kwamba lebo zinaweza kuendelea kuishi wakati daraja na kanuni za kuingiza VLAN zikiwaruhusu kupita. Soma aina ya kiolesura kabla ya kufikiria ni nini nakala inapaswa kuwa nayo.

Hakuna chaguo lolote lililo kasoro. Miundo miwili hujibu maswali tofauti na huacha lebo mahali tofauti.

Thibitisha kiolesura mwenyewe badala ya kukisia kutoka jina la bidhaa. Maelezo ya kiungo hutaja aina ya kifaa na kuonyesha bendera zinazotumika, na nakala iliyochukuliwa kwenye kifaa cha TUN haitapata kichwa cha Ethernet kwa sababu tu uliomba. Ikiwa lebo zitaonekana kwenye nakala ya TUN, karibu hakika unasoma kiolesura kingine au tuneli inayobeba fremu ndani ya mzigo wake. Kumbuka uko katika hali gani kabla ya kuendelea.

Pili: weka kihisi pale kitu kilipo bado

Nafasi tatu hughairi miundo mingi iliyopitishwa kwa uelekezaji: sehemu ya Ethernet ya tawi, mtandao wa nje kati ya ncha za tuneli, na njia baada ya usindikaji wa tuneli. Kila mmoja huona kitu tofauti, na lebo ipo kwenye ya kwanza pekee. Kuchagua nafasi ya kihisi ni uamuzi kuhusu kitu gani sera inahitaji, si suala la urahisi.

Uliza swali la sera kwa maneno ambayo jedwali linaweza kujibu, na mara nyingi hujitatulia. Ikiwa kanuni inahitaji kujua pakiti ilitoka tawi gani, ramani ya kiambishi awali chini inaweza kutosha, lakini tu kwa muda ambao ramani hiyo ni sahihi na haina utata. Ikiwa kanuni inahitaji kujua fremu ilifika kwenye lango gani, unahitaji nafasi ya kwanza, kwa sababu hakuna kitu chini kinachoweza kuijenga upya. Vihisi vilivyowekwa kwa mazoea badala ya swali ndivyo vinavyofanya timu kuishia kudai sehemu ambayo muundo haukuibeba kamwe.

Tuneli inayobeba Ethernet ni muundo tofauti na inahitaji ukaguzi wake wa kile ncha zinahifadhi au kuandika upya. Kuchagua TAP peke yake bado hakufafanui daraja, kanuni za kuingiza VLAN au sera ya ukaguzi.

Tatu: pata muktadha wa chanzo badala ya kuutegemea

Kiwango kimoja cha anwani kwa tawi ni badala ya kawaida ya utambulisho wa VLAN, na hudumu tu wakati ramani inabaki moja kwa moja. Viambishi awali vinavyopishana, tafsiri na lango linaloshirikiwa kila kimoja huvunja dhana hiyo kwa namna inayoonekana kama tatizo la ubora wa data na si la muundo. Andika ramani pamoja na mipaka yake na useme nini kinatokea kwa pakiti inayolingana na safu mbili. Kiambishi awali kinachoonekana katika matawi mawili kinapaswa kuwa hitilafu unayoigundua, si kurusha sarafu unakokubali.

Muktadha unaotolewa na mteja si uthibitisho wa uanachama. Ni dai, na mahali pake ni kwenye safu nyingine.

Mahali ambapo tofauti ni muhimu, tumia data ya uhusiano unayodhibiti: ni kielelezo kipi cha tuneli kilikubali muunganisho, ni kiolesura gani pakiti zilifika, jedwali la njia la ndani linasema nini kuhusu mwenza huyo. Lebo inayotolewa na mteja ni kidokezo cha manufaa na ingizo la idhini lisilo na maana. Ikiwa kihisi hakiwezi kuthibitisha uhusiano kutoka upande wake, sera inahitaji kanuni pana badala ya dhana yenye kujiamini.

Nne: thibitisha njia ya jibu na kile usimbuaji unachokosa

Kihisi kinachoona mwelekeo mmoja tu kinaweza kuonekana kizima bado, kwa sababu maombi yanaendelea kufika kwa wakati. Kagua njia ya jibu kwa uwazi, na uikague kwa mtiririko huo badala ya upatikanaji wa jumla. Uonekano wa nusu-mwelekeo-miwili unakuwa pengo tulivu katika kila hitimisho la hali unalotoa kutokana na hilo.

Kurejesha trafiki ya ndani ya IP pia si sawa na kuona programu iliyo ndani yake, kwa sababu TLS inayobebwa juu ya tuneli hubaki TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Amri hizo mbili hujibu swali la kiolesura na kuonyesha nakala ina nini kweli, jambo ambalo ni haraka kuliko kubishana kuhusu usanifu. Badilisha jina la kiolesura ambalo muundo wako unatumia na endesha nakala wakati mtiririko unaokujali ukiwa hai. Wakati hakuna lebo inayoonekana kwenye kifaa cha TUN, matokeo ni kwamba muundo ulipitisha kwa uelekezaji badala ya kujenga daraja, si kwamba kihisi kilipoteza data. Kisha ama hamishia kihisi mahali panapoweza kuona lebo, au andika upya kanuni kwa maneno ambayo nafasi ya sasa inaweza kuunga mkono.