సైట్ VPN కోసం రెండు సైట్లకు ఒకే VLAN ID అవసరమా?
ఒకే VLAN ID రూటెడ్ సైట్ VPNని సరిచేయలేవు: టన్నెల్ IP ప్రిఫిక్స్లను తీసుకువెళ్తుంది, కాబట్టి చేరుకోగలగడాన్ని చిరునామా ప్రణాళిక మరియు ఎంపికకారులు నిర్ణయిస్తారు, స్విచ్ ట్యాగ్లు కాదు.
రెండు కార్యాలయాల్లో ఒకే VLAN నంబర్లు ఉంటే అది సైట్-టు-సైట్ టన్నెల్కు సహాయపడాలనిపిస్తుంది, మరియు అది టన్నెల్ తీసుకువెళ్లే విషయంలో ఏమీ మార్చదు. ఒక VLAN ID ఒక భవనం లోపల Ethernet ప్రసార డొమైన్ను గుర్తిస్తుంది; టన్నెల్ గేట్వేల మధ్య IP ప్యాకెట్లను పంపుతుంది. రెండు సైట్లు పూర్తిగా భిన్నమైన VLAN నంబరింగ్ ఉపయోగించినా ఒకదానికొకటి రూట్ చేయగలవు, రెండు సైట్లు ఒకే VLAN నంబరింగ్ ఉపయోగించినా ఒకదానినొకటి చేరుకోలేవు. చేరుకోగలగడాన్ని నిర్ణయించే చరం చిరునామా ప్రణాళిక.
అపోహ: రెండు చివరల్లో ఒకే VLAN ID
ఈ నమ్మకం సమంజసమైన ప్రదేశం నుండి వస్తుంది. ఒక భవనం లోపల, ఒకే VLANలోని రెండు పోర్ట్లు మాట్లాడగలవు, వేర్వేరు VLANలలోని రెండు పోర్ట్లు మాట్లాడలేవు, కాబట్టి VLAN నంబర్ కనెక్టివిటీ ఇచ్చే వస్తువుగా కనిపిస్తుంది. రూటెడ్ టన్నెల్ అంతటా ట్యాగ్ వివరించగల ఉమ్మడి Ethernet విభాగం లేదు, గేట్వేలు ఎప్పుడూ VLAN లేబుళ్లను మార్పిడి చేసుకోవు.
టన్నెల్కు అవసరమైనది ఒకదానిపై మరొకటి అతివ్యాప్తి చెందని రెండు చిరునామా పరిధులు మరియు వాటి మధ్య ట్రాఫిక్ను అనుమతించే విధానం. ఏ కార్యాలయంలోనైనా VLAN మార్చండి, టన్నెల్ పనిచేస్తూనే ఉంటుంది, ఎందుకంటే టన్నెల్ కాన్ఫిగరేషన్లో ఏదీ దానిని సూచించలేదు. ఇదే వివాదాన్ని తీర్చే పరీక్ష: VLANను తిరిగి నంబర్ చేయండి, చిరునామాలను యథాతథంగా వదిలి టన్నెల్ నిలిచి ఉంటుందో చూడండి.
వ్యతిరేక పరీక్ష కూడా అంతే సమాచారప్రదం. రెండు కార్యాలయాలకు ఒకే సబ్నెట్ ఇవ్వండి, ఎన్ని ఒకే VLAN నంబర్లు ఉన్నా చిరునామా అస్పష్టంగా ఉండదు.
టన్నెల్ నిజంగా ఏమి తీసుకువెళ్తుంది
IPsec చిరునామాలు, ప్రోటోకాల్లు, పోర్ట్లలో వ్యక్తీకరించిన విధానం ప్రకారం IP ప్యాకెట్లను రక్షిస్తుంది. IPsec నిర్మాణం స్విచ్ ట్యాగ్ వివరించే దానికంటే అనేక పొరల పైన ఉన్న IP పొరలో ఆ ఎంపికకారులను వివరిస్తుంది. ప్యాకెట్ టన్నెల్లోకి ప్రవేశించే సమయానికి అది ఇప్పటికే VLANను విడిచిపెట్టి ఉంటుంది; ట్యాగ్ను స్థానిక స్విచ్ వినియోగించుకుంది.
విధాన ఆధారిత మరియు మార్గ ఆధారిత నిర్మాణాలు టన్నెల్ను ఎంచుకునే విధానంలో భిన్నం, అది ఏమి తీసుకువెళ్లగలదనే విషయంలో కాదు. విధాన ఆధారిత సహచరుడు ట్రాఫిక్ ఎంపికకారులను సరిపోల్చి సరిపోలే ప్యాకెట్లను టన్నెల్లోకి పంపుతాడు. మార్గ ఆధారిత సహచరుడు టన్నెల్ ఇంటర్ఫేస్పై ట్రాఫిక్ను రూట్ చేసి నిర్ణయాన్ని రూటింగ్ పట్టికకు వదిలేస్తాడు. రెండూ ఇంకా రక్షణ పరిధిపై చర్చలు జరుపుతాయి, కాబట్టి టన్నెల్ వైపు చూపే మార్గం సహచరులు రక్షించడానికి అంగీకరించిన దాన్ని విస్తరించదు.
ఈ భేదం సాధారణ సగం-వైఫల్యాన్ని వివరిస్తుంది: మార్గం ఉంది, ప్యాకెట్లు టన్నెల్లోకి ప్రవేశిస్తాయి, మరియు దూరపు వైపు వాటిని పడేస్తుంది, ఎందుకంటే చర్చించిన ఎంపికకారులు ఆ ప్రిఫిక్స్ను ఎప్పుడూ చేర్చలేదు. ఇన్స్టాల్ చేసిన విధానాలను చదవడం ఏ పరిధి నిజంగా అమల్లోకి వచ్చిందో చూపిస్తుంది.
ip xfrm policy
ip route show
swanctl --list-sasనిజంగా విరిచే అతివ్యాప్తి
వేర్వేరు సబ్నెట్లు ఉన్న రెండు కార్యాలయాలు టన్నెల్ ద్వారా శుభ్రంగా రూట్ అవుతాయి, వాటి VLAN నంబర్లు అప్రస్తుతం. ఒకే సబ్నెట్ ఉన్న రెండు కార్యాలయాలు అలా కావు, ఎందుకంటే ఇచ్చిన చిరునామా కోసం అభ్యర్థనకు రెండు సాధ్యమైన అర్థాలు ఉంటాయి మరియు రూటింగ్ పట్టిక ఒకటి మాత్రమే ఎంచుకోగలదు. ఒక సైట్ను తిరిగి నంబర్ చేయడం శుభ్రమైన పరిష్కారం, మరియు DNS మరియు ఫైర్వాల్ మార్పులను లెక్కించిన తర్వాత ఇది సాధారణంగా ప్రత్యామ్నాయాల కంటే చవక.
| Office | Local VLAN | Subnet | Result |
|---|---|---|---|
| A | 40 | 10.31.0.0/24 | Routes normally |
| B | 55 | 10.62.0.0/24 | Routes normally |
| B after renumber | 40 | 10.31.0.0/24 | Ambiguous, tunnel cannot help |
తిరిగి నంబర్ చేయడం అసాధ్యమైనప్పుడు, ఉద్దేశపూర్వక అనువాద నిర్మాణం ప్రతి వైపుకు వేర్వేరు చిరునామా దృశ్యాలను అందించగలదు. అంటే ఒకటి-నుండి-ఒకటి మ్యాపింగ్, సరిపోలే ఎంపికకారులు, అనువదించిన దృశ్యాన్ని ప్రతిబింబించే DNS నమోదులు మరియు పునర్లేఖనాన్ని తట్టుకునే తిరిగి రాక రూటింగ్. ఇది నిజమైన కార్యాచరణ ఖర్చుతో మద్దతు ఉన్న నిర్మాణం, మరియు VLAN ID మార్చడం చేసేది ఇది కాదు.
రెండు చివరల్లో ఒకే VLAN నంబర్లు కొన్నిసార్లు పంచుకున్న టెంప్లేట్ యాదృచ్ఛికం, మరియు ఆ యాదృచ్ఛికాన్ని పనిచేసే టన్నెల్ కారణంగా భావించడం తర్వాత ఏదైనా విరిగినప్పుడు తప్పు మార్పుకు దారి తీస్తుంది.
ప్రతి పొరకు ఒక పని, వ్రాతపూర్వకంగా
స్థానిక స్విచ్ ఏ పోర్ట్లు ప్రసార డొమైన్ను పంచుకుంటాయో నిర్ణయిస్తుంది, దాని VLAN నంబరింగ్ మరే ఇతర సైట్ తెలుసుకోవాల్సిన అవసరం లేని స్థానిక లెక్క. గేట్వే సహచరుడిని ధృవీకరించి చర్చించిన రక్షణ పరిధిని అమలు చేస్తుంది. రూటింగ్ పట్టిక డీక్రిప్ట్ చేసిన ప్యాకెట్ తర్వాత ఎక్కడికి వెళ్తుందో నిర్ణయిస్తుంది, యాక్సెస్ విధానం ఆ ప్యాకెట్కు అసలు అనుమతి ఉండాలా అని నిర్ణయిస్తుంది.
ఈ పనులను వేరుగా ఉంచడమే మార్పులను సురక్షితం చేస్తుంది. ఒక కార్యాలయంలో VLAN పునర్నంబరింగ్ స్థానిక స్విచ్, DHCP పరిధి మరియు బహుశా ఫైర్వాల్ జోన్ను తాకుతుంది, టన్నెల్ను తాకదు. ప్రిఫిక్స్ మార్పు టన్నెల్ ఎంపికకారులు, రెండు వైపుల మార్గాలు మరియు యాక్సెస్ విధానాన్ని తాకుతుంది, స్విచ్ ట్యాగ్లను తాకదు.
తిరిగి రాక మార్గాలు, ప్రైవేట్ DNS మరియు అప్లికేషన్ గుర్తింపు అవసరాలు మళ్లీ వేర్వేరు పనులు, వాటిలో ఏదీ మరో సైట్ నుండి VLAN నంబర్ను కాపీ చేయడం ద్వారా రాదు. చేరుకోగల ప్రిఫిక్స్లు మరియు అనుమతించిన సేవలను జాబితా చేసే నిర్మాణ పత్రం స్విచ్ మార్పిడిని తట్టుకుంటుంది; VLAN నంబర్లను జాబితా చేసేది తట్టుకోదు.
ట్యాగ్ టన్నెల్ను చేరుతుందని ఊహించే ముందు వంతెన సాధనాలతో స్థానిక చిత్రాన్ని నిర్ధారించండి.
bridge vlan show
ip -br addr
ip route get 10.62.0.20layer-2 విస్తరణే నిజమైన అవసరం అయినప్పుడు
కొన్ని నిర్మాణాలకు సైట్ల మధ్య నిజంగా Ethernet ప్రవర్తన అవసరం: ప్రసార ఆవిష్కరణపై ఆధారపడే పాత అప్లికేషన్, యంత్రం కదులుతున్నప్పుడు చిరునామాను నిలుపుకోవాల్సిన స్థానభ్రంశం, లేదా layer-2 ఊహలను కలిగి ఉన్న ప్రోటోకాల్. అలాంటి సందర్భాలకు ఫ్రేమ్లను తీసుకువెళ్లే ఓవర్లే లేదా వంతెన సేవ అవసరం, అప్పుడు VLAN సభ్యత్వం, లూప్ నివారణ మరియు వైఫల్య నిర్వహణ చివరి-నుండి-చివరి విషయాలవుతాయి.
అది చాలా పెద్ద వైఫల్య డొమైన్, మరియు ఫైల్ షేరింగ్ను నడిపించే ప్రయత్నం యొక్క యాదృచ్ఛిక ఫలితం కాదు, ఉద్దేశపూర్వక ఎంపిక ఉండాలి. సాధారణ ఫైల్ సర్వర్, డేటాబేస్ లేదా వెబ్ అప్లికేషన్కు అధికారం ఉన్న IP మార్గం అవసరం, దాని కింద సాగిన ప్రసార డొమైన్ లేకపోతే అది మరింత సంతోషంగా ఉంటుంది.
VPN ఒప్పందాన్ని చేరుకోగల ప్రిఫిక్స్లు మరియు అనుమతించిన సేవలుగా వ్రాయండి, VLAN లేబుల్ను స్థానిక కార్యకలాపాలకు అవసరమైన చోట మాత్రమే నమోదు చేయండి. అప్పుడు ప్రతి కార్యాలయం ప్రతి మార్పును టన్నెల్ పునర్నిర్మాణంగా మార్చకుండా తన స్వంత స్విచింగ్ను తిరిగి నంబర్ చేయగలదు.