ஒரு தள VPN-க்கு இரு தளங்களுக்கு ஒரே VLAN ID தேவையா?

இரு அலுவலகங்களில் ஒரே VLAN எண்கள் இருந்தால் தள-க்கு-தள சுரங்கப்பாதைக்கு உதவ வேண்டும் எனத் தோன்றுகிறது, அது சுரங்கப்பாதை கொண்டு செல்வதில் எதையும் மாற்றாது. ஒரு VLAN ID ஒரு கட்டிடத்திற்குள் உள்ள Ethernet ஒளிபரப்பு களத்தைக் குறிக்கிறது; சுரங்கப்பாதை நுழைவாயில்களுக்கு இடையே IP பொதிகளை அனுப்புகிறது. இரு தளங்கள் முற்றிலும் வேறுபட்ட VLAN எண்ணிடலைப் பயன்படுத்தியும் ஒன்றையொன்று நோக்கி ரூட் செய்யலாம், இரு தளங்கள் ஒரே VLAN எண்ணிடலைப் பயன்படுத்தியும் ஒன்றையொன்று அடைய முடியாது. அணுகலைத் தீர்மானிக்கும் மாறி முகவரி திட்டம்.

கட்டுக்கதை: இரு முனைகளிலும் ஒரே VLAN ID

இந்த நம்பிக்கை நியாயமான இடத்திலிருந்து வருகிறது. ஒரு கட்டிடத்திற்குள், ஒரே VLAN-இல் உள்ள இரு துறைகள் பேச முடியும், வெவ்வேறு VLAN-களில் உள்ள இரு துறைகள் பேச முடியாது, எனவே VLAN எண் இணைப்பைத் தரும் பொருளாகத் தோன்றுகிறது. ரூட்டட் சுரங்கப்பாதை வழியாக குறிச்சொல் விவரிக்கக்கூடிய பகிரப்பட்ட Ethernet பகுதி இல்லை, நுழைவாயில்கள் ஒருபோதும் VLAN லேபிள்களைப் பரிமாறிக்கொள்ளாது.

சுரங்கப்பாதைக்குத் தேவையானது ஒன்றையொன்று மேற்பொருந்தாத இரு முகவரி வரம்புகளும் அவற்றுக்கிடையே போக்குவரத்தை அனுமதிக்கும் கொள்கையும். எந்த அலுவலகத்திலும் VLAN-ஐ மாற்றுங்கள், சுரங்கப்பாதை தொடர்ந்து செயல்படும், ஏனெனில் சுரங்கப்பாதை உள்ளமைவில் எதுவும் அதைக் குறிப்பிடவில்லை. இதுவே விவாதத்தைத் தீர்க்கும் சோதனை: VLAN-ஐ மீண்டும் எண்ணிடுங்கள், முகவரிகளை அப்படியே விட்டுவிட்டு சுரங்கப்பாதை நீடிக்கிறதா பாருங்கள்.

எதிர் சோதனையும் அதே அளவு தகவலளிக்கிறது. இரு அலுவலகங்களுக்கும் ஒரே துணை வலையம் கொடுங்கள், எத்தனை ஒரே VLAN எண்கள் இருந்தாலும் முகவரி தெளிவற்றதாகாது.

சுரங்கப்பாதை உண்மையில் எதைக் கொண்டு செல்கிறது

IPsec முகவரிகள், நெறிமுறைகள், துறைகளில் வெளிப்படுத்தப்படும் கொள்கையின்படி IP பொதிகளைப் பாதுகாக்கிறது. IPsec கட்டமைப்பு சுவிட்ச் குறிச்சொல் விவரிப்பதை விட பல அடுக்குகள் மேலே உள்ள IP அடுக்கில் அந்தத் தேர்விகளை விவரிக்கிறது. ஒரு பொதி சுரங்கப்பாதையில் நுழையும்போது அது ஏற்கனவே VLAN-ஐ விட்டுவிட்டது; குறிச்சொல்லை உள்ளூர் சுவிட்ச் பயன்படுத்திவிட்டது.

கொள்கை அடிப்படையிலான மற்றும் பாதை அடிப்படையிலான வடிவமைப்புகள் சுரங்கப்பாதையைத் தேர்ந்தெடுக்கும் விதத்தில் வேறுபடுகின்றன, அது எதைக் கொண்டு செல்ல முடியும் என்பதில் அல்ல. கொள்கை அடிப்படையிலான இணை போக்குவரத்து தேர்விகளைப் பொருத்தி பொருந்தும் பொதிகளைச் சுரங்கப்பாதைக்குள் அனுப்புகிறது. பாதை அடிப்படையிலான இணை சுரங்கப்பாதை இடைமுகத்தில் போக்குவரத்தை ரூட் செய்து முடிவை ரூட்டிங் அட்டவணைக்கு விடுகிறது. இரண்டும் இன்னும் பாதுகாப்பு வரம்பைப் பேச்சுவார்த்தை செய்கின்றன, எனவே சுரங்கப்பாதையை நோக்கும் பாதை இணைகள் பாதுகாக்க ஒப்புக்கொண்டதை விரிவுபடுத்தாது.

இந்த வேறுபாடு பொதுவான பாதி-தோல்வியை விளக்குகிறது: பாதை உள்ளது, பொதிகள் சுரங்கப்பாதையில் நுழைகின்றன, தொலைப் பக்கம் அவற்றைத் தூக்கி எறிகிறது, ஏனெனில் பேச்சுவார்த்தை செய்த தேர்விகள் அந்த முன்னொட்டை ஒருபோதும் கொண்டிருக்கவில்லை. நிறுவப்பட்ட கொள்கைகளைப் படிப்பது எந்த வரம்பு உண்மையில் நடைமுறைக்கு வந்தது என்பதைக் காட்டுகிறது.

ip xfrm policy
ip route show
swanctl --list-sas

உண்மையில் உடைக்கும் மேற்பொருந்தல்

வெவ்வேறு துணை வலையங்களைக் கொண்ட இரு அலுவலகங்கள் சுரங்கப்பாதை வழியாகத் தூய்மையாக ரூட் ஆகின்றன, அவற்றின் VLAN எண்கள் பொருத்தமற்றவை. ஒரே துணை வலையம் கொண்ட இரு அலுவலகங்கள் அவ்வாறு ஆகா, ஏனெனில் கொடுக்கப்பட்ட முகவரிக்கான கோரிக்கைக்கு இரு சாத்தியமான பொருள்கள் உள்ளன, ரூட்டிங் அட்டவணை ஒன்றை மட்டுமே தேர்ந்தெடுக்க முடியும். ஒரு தளத்தை மீண்டும் எண்ணிடுவதே தூய தீர்வு, DNS மற்றும் ஃபயர்வால் மாற்றங்களைக் கணக்கிட்ட பிறகு இது பொதுவாக மாற்று வழிகளை விட மலிவானது.

மீண்டும் எண்ணிட முடியாதபோது, வேண்டுமென்றே செய்யப்பட்ட மொழிபெயர்ப்பு வடிவமைப்பு ஒவ்வொரு பக்கத்திற்கும் வெவ்வேறு முகவரி பார்வைகளை வழங்கலாம். அதாவது ஒன்றுக்கு-ஒன்று வரைபடமாக்கல், பொருந்தும் தேர்விகள், மொழிபெயர்க்கப்பட்ட பார்வையைப் பிரதிபலிக்கும் DNS உள்ளீடுகள் மற்றும் மீளெழுத்தலைத் தாங்கும் திரும்பு ரூட்டிங். இது உண்மையான செயல்பாட்டுச் செலவைக் கொண்ட ஆதரிக்கப்பட்ட வடிவமைப்பு, VLAN ID மாற்றுவது செய்வது இதுவல்ல.

இரு முனைகளிலும் ஒரே VLAN எண்கள் சில நேரங்களில் பகிரப்பட்ட டெம்ப்ளேட்டின் தற்செயல், அந்தத் தற்செயலைச் செயல்படும் சுரங்கப்பாதையின் காரணமாகக் கருதுவது பின்னர் ஏதாவது உடைந்தால் தவறான மாற்றத்திற்கு இட்டுச் செல்கிறது.

ஒவ்வொரு அடுக்குக்கும் ஒரு வேலை, எழுதப்பட்டது

உள்ளூர் சுவிட்ச் எந்தத் துறைகள் ஒரு ஒளிபரப்புக் களத்தைப் பகிர்கின்றன என்பதைத் தீர்மானிக்கிறது, அதன் VLAN எண்ணிடல் வேறு எந்தத் தளமும் தெரிந்துகொள்ளத் தேவையில்லாத உள்ளூர் கணக்கு. நுழைவாயில் இணையை அங்கீகரித்து பேச்சுவார்த்தை செய்த பாதுகாப்பு வரம்பை நடைமுறைப்படுத்துகிறது. ரூட்டிங் அட்டவணை மறைகுறியாக்கப்பட்ட பொதி அடுத்து எங்கே செல்லும் என்பதைத் தீர்மானிக்கிறது, அணுகல் கொள்கை அந்தப் பொதிக்கு முதலிலேயே அனுமதி இருக்க வேண்டுமா என்பதைத் தீர்மானிக்கிறது.

இந்த வேலைகளைத் தனித்து வைப்பதே மாற்றங்களைப் பாதுகாப்பாக்குகிறது. ஒரு அலுவலகத்தில் VLAN மீளெண்ணிடல் உள்ளூர் சுவிட்ச், DHCP வரம்பு மற்றும் ஒருவேளை ஃபயர்வால் மண்டலத்தைத் தொடுகிறது, சுரங்கப்பாதையைத் தொடாது. முன்னொட்டு மாற்றம் சுரங்கப்பாதை தேர்விகள், இரு பக்கங்களின் பாதைகள் மற்றும் அணுகல் கொள்கையைத் தொடுகிறது, சுவிட்ச் குறிச்சொற்களைத் தொடாது.

திரும்பு பாதைகள், தனியார் DNS மற்றும் பயன்பாட்டு அடையாளத் தேவைகள் மீண்டும் தனி வேலைகள், அவற்றில் எதுவும் மற்ற தளத்திலிருந்து VLAN எண்ணை நகலெடுப்பதால் வருவதில்லை. அடையக்கூடிய முன்னொட்டுகளையும் அனுமதிக்கப்பட்ட சேவைகளையும் பட்டியலிடும் வடிவமைப்பு ஆவணம் சுவிட்ச் மாற்றீட்டைத் தாண்டி நீடிக்கும்; VLAN எண்களைப் பட்டியலிடுவது நீடிக்காது.

குறிச்சொல் சுரங்கப்பாதையை அடைகிறது எனக் கருதுவதற்கு முன் பாலச் சாதனங்களுடன் உள்ளூர் படத்தை உறுதிசெய்யுங்கள்.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

layer-2 விரிவாக்கமே உண்மையான தேவையாக இருக்கும்போது

சில வடிவமைப்புகளுக்கு தளங்களுக்கிடையே உண்மையிலேயே Ethernet நடத்தை தேவை: ஒளிபரப்புக் கண்டுபிடிப்பைச் சார்ந்த பழைய பயன்பாடு, இயந்திரம் நகரும்போது முகவரியைத் தக்கவைக்க வேண்டிய இடம்பெயர்வு, அல்லது layer-2 அனுமானங்களை உள்ளடக்கிய நெறிமுறை. அத்தகைய நிகழ்வுகளுக்கு சட்டகங்களைக் கொண்டு செல்லும் ஓவர்லே அல்லது பாலமிட்ட சேவை தேவை, பின்னர் VLAN உறுப்பினர், சுழற்சித் தடுப்பு மற்றும் தோல்வி கையாளுதல் முனையிலிருந்து முனை வரையிலான விவகாரங்களாகின்றன.

இது மிகப் பெரிய தோல்விக் களம், மேலும் கோப்புப் பகிர்வை இயக்கும் முயற்சியின் தற்செயல் முடிவாக அல்ல, வேண்டுமென்றே எடுக்கப்பட்ட தேர்வாக இருக்க வேண்டும். சாதாரண கோப்பு சேவையகம், தரவுத்தளம் அல்லது இணையப் பயன்பாட்டிற்கு அங்கீகரிக்கப்பட்ட IP பாதை தேவை, அதன் கீழே நீட்டப்பட்ட ஒளிபரப்புக் களம் இல்லாமல் அது மகிழ்ச்சியாக இருக்கும்.

VPN ஒப்பந்தத்தை அடையக்கூடிய முன்னொட்டுகள் மற்றும் அனுமதிக்கப்பட்ட சேவைகளாக எழுதுங்கள், VLAN லேபிளை உள்ளூர் செயல்பாடுகளுக்குத் தேவையான இடத்தில் மட்டும் பதிவு செய்யுங்கள். பிறகு ஒவ்வொரு அலுவலகமும் ஒவ்வொரு மாற்றத்தையும் சுரங்கப்பாதை மறுவடிவமைப்பாக மாற்றாமல் தன் சொந்த சுவிட்சிங்கை மீண்டும் எண்ணிடலாம்.