Tek VLAN için TAP köprüsü: alt arayüzü bağlayın

VLAN'lardan önce LAN'a ulaşıp sonra duran bir TAP istemcisinde genellikle hâlâ yanlış arayüzü içeren bir köprü bulunur. Çerçeve iletimi bir VLAN etiketi eklemez, bu yüzden fiziksel uplink'e gönderilen etiketsiz istemci çerçevesi bir trunk portuna etiketsiz varır ve ya atılır ya da yerel VLAN'a düşer. Alt arayüzün ana makinede bir yerde bulunması köprünün üye listesinde hiçbir şeyi değiştirmez. İlk öldürülmesi gereken efsane budur: etiketi, ona sahip olan arayüz uygular, ana makinenin yalnızca bir tane bulundurması değil.

Bir VLAN genişletmesi bir katman 2 alanı demektir ve köprü, hepsini taşıyan trunk'a değil, o alana katılmalıdır.

Etiket görünmüyor çünkü trunk'ı köprülediniz

VLAN 120 taşıyan bir Linux uplink eno1 alın ve yönetilen bir anahtara bağlayın. Tek bir VLAN için çalışan tasarım, tap_vpn öğesinin br_vpn öğesine köprülenmesi ve br_vpn öğesinin eno1 yerine eno1.120 içermesidir. VLAN alt arayüzü etiketi çıkışta uygular ve girişte kaldırır, bu yüzden köprü o tek VLAN için yalnızca etiketsiz çerçeveler görür. Bunun yerine fiziksel arayüzü köprüye koyun, aynı çerçeveler bir trunk portundan etiketsiz çıkar, bu da planladığınız şey değildi.

VLAN filtrelemesi kapalıyken trunk'ı köprülemek aynı sonuca giden bir kısayol değildir. Köprüye o kablodaki her VLAN'ı verir, istemcilerin görmemesi gerekenler dahil.

İki meşru tasarım, tek etiket sahibi

VLAN farkındalıklı bir köprü diğer geçerli düzenlemedir: trunk bir köprü portuna girer ve port başına üyelik, PVID ile etiketli çıkış ayarları hangi VLAN'ların geçeceğine karar verir. Orada etiketlemeyi köprü sahiplenir ve altına bir VLAN alt arayüzü eklemek tek bir iş için ikinci bir sahip kurardı. İki tasarım da çalışır; ikisinin parçaları çalışmaz. Herhangi bir üye listesini düzenlemeden önce etiketi hangi nesnenin uyguladığına karar verin.

Anahtar portu seçtiğiniz tasarımla uyuşmalıdır. VLAN'ı etiketsiz taşıyan bir access portu, fiziksel arayüzle bağlantı olarak eşleşirken bir trunk portu etiketli bir alt arayüzle eşleşir. Uyumsuz bir access portuna alt arayüz eklemek hiçbir şeyi onarmaz.

Adresi üyelikle birlikte taşıyın

Alt arayüz tasarımında köprülenen alt ağ için ana makine adresi br_vpn üzerinde olmalıdır, daha önce yaşamış olabileceği köle VLAN portunda değil. Portta bırakmak çalışıyor gibi görünüp sonra tuhaf davranabilir, çünkü köprü katman 2'de iletirken adres bir üyenin üzerinde oturur. Bunu ayrı bir deney olarak değil, üyelik değişikliğinin parçası olarak taşıyın.

Bir adresi taşımak yönetim yolunu kesebilir. Bağımsız bir kurtarma yolu kurun, mevcut yapılandırmayı dağıtımın kendi ağ yöneticisi aracılığıyla kaydedin ve bir sonraki yükseltmeden sonra onunla çatışacak rakip bir başlangıç betiğinden kaçının.

İstemci adreslemesi de aynı özeni gerektirir. Köprülenmiş bir VPN istemcileri genişletilmiş alt ağa yerleştirir, bu yüzden havuz diğer kiralamalarla veya statik atamalarla çakışmamalı ve DHCP tarafından sunulan düzen LAN'ın gerçekten beklediği düzen olmalıdır. Çalışan bir katman 2 yolu yinelenen adresler hakkında hiçbir şey söylemez.

Rotaları suçlamadan önce üyeliği doğrulayın

İstenen durumu değil mevcut durumu okuyun: ip -d link show dev eno1.120 VLAN id'sini ve üst öğesini yazdırır, ip link show master br_vpn köprü üyelerini listeler ve bridge vlan show port başına üyeliği ve çıkış işlemeyi raporlar. Alt arayüz tasarımında TAP aygıtının ve VLAN aygıtının üyeler olduğunu doğrulayın. VLAN farkındalıklı bir köprüde port ilkesini kendisini denetleyin, çünkü var olan bir köprü neye izin verdiğini kanıtlamaz.

Ardından izin verilen bir istemciyi o VLAN'daki bir hizmete karşı test edin, ARP, güvenlik duvarı ilkesi ve yanıt yolunun üyelikten ayrı konular olduğunu unutmayın. Paket yakalıyorsanız, donanım offload'unun bir izde VLAN etiketlerinin nerede göründüğünü değiştirebileceğini not edin. Kapsamı da dürüst tutun: yönlendirilmiş bir TUN istemcisi hiçbir köprü değişikliğiyle VLAN üyesi olmaz ve istemciden istemciye trafik ana makinenin VLAN bağlantısının yerini tutmaz.