Bitta VLAN uchun TAP ko'prigi: subinterfeysni ulang

VLAN'lardan oldin LAN'ga yetib, keyin to'xtab qolgan TAP mijozi odatda hali ham noto'g'ri interfeysni o'z ichiga olgan ko'prikka ega. Freymlarni uzatish VLAN tegini qo'shmaydi, shuning uchun jismoniy uplinkka yuborilgan tegsiz mijoz freymi trunk portida tegsiz keladi va yo tashlanadi, yo mahalliy VLAN'ga tushadi. Subinterfeysning xostda biron joyda mavjudligi ko'prikning a'zolar ro'yxatida hech narsani o'zgartirmaydi. Avval yo'q qilinishi kerak bo'lgan afsona shu: tegni unga ega bo'lgan interfeys qo'yadi, xost shunchaki bittasi borligi uchun emas.

Bitta VLAN kengaytmasi bitta 2-qatlam domenini bildiradi va ko'prik ularning barchasini ko'taruvchi trunkka emas, o'sha domenga qo'shilishi kerak.

Teg ko'rinmaydi, chunki siz trunkni ko'priglagansiz

VLAN 120 ko'taruvchi Linux uplinkini eno1 boshqariladigan switchga olib boring. Bitta VLAN uchun ishlaydigan dizayn — tap_vpn ni br_vpn ga ko'priglab, br_vpn ichida eno1 emas, eno1.120 bo'lishi. VLAN subinterfeysi tegni chiqishda qo'yadi va kirishda olib tashlaydi, shuning uchun ko'prik faqat o'sha bitta VLAN uchun tegsiz freymlarni ko'radi. Buning o'rniga jismoniy interfeysni ko'prikka qo'ying, o'sha freymlar trunk portidan tegsiz chiqadi, bu siz rejalashtirgan narsa emas.

VLAN filtrlashni o'chirib trunkni ko'priglash bir xil natijaga olib boradigan qisqa yo'l emas. U ko'prikka o'sha simdagi har bir VLAN'ni beradi, mijozlar ko'rmasligi kerak bo'lganlarini ham.

Ikki qonuniy dizayn, bitta teg egasi

VLAN'ni biladigan ko'prik boshqa to'g'ri tartib: trunk ko'prik portiga kiradi va port bo'yicha a'zolik, PVID hamda tegli chiqish sozlamalari qaysi VLAN'lar o'tishini hal qiladi. U yerda teg qo'yish ko'prikning o'zida, uning ostiga VLAN subinterfeysini qo'shish bitta ish uchun ikkinchi egasini o'rnatadi. Ikki dizayn ham ishlaydi; ikkalasining bo'laklari ishlamaydi. Har qanday a'zolar ro'yxatini tahrirlashdan oldin qaysi obyekt teg qo'yishini hal qiling.

Switch porti siz tanlagan qaysi dizaynga bo'lsa ham mos bo'lishi kerak. VLAN'ni tegsiz ko'taruvchi access port jismoniy interfeys bilan ulanish sifatida mos keladi, trunk port esa tegli subinterfeys bilan mos keladi. Mos kelmaydigan access portga subinterfeys qo'shish hech narsani tuzatmaydi.

Manzilni a'zolik bilan birga ko'chiring

Subinterfeys dizaynida ko'priglangan subnet uchun xost manzili br_vpn da bo'lishi kerak, avval yashagan bo'lishi mumkin bo'lgan qul VLAN portida emas. Uni portda qoldirish ishlayotganday ko'rinib, keyin g'alati xatti-harakat qilishi mumkin, chunki ko'prik 2-qatlamda uzatadi, manzil esa a'zo ustida turadi. Uni alohida tajriba sifatida emas, a'zolik o'zgarishining bir qismi sifatida ko'chiring.

Manzilni ko'chirish boshqaruv yo'lini kesishi mumkin. Mustaqil tiklanish yo'lini o'rnating, mavjud konfiguratsiyani distributivning o'z tarmoq menejeri orqali saqlang va keyingi yangilanishdan keyin u bilan kurashadigan raqobatdosh ishga tushirish skriptidan qoching.

Mijozlarni manzillash ham xuddi shunday e'tiborni talab qiladi. Ko'priglangan VPN mijozlarni kengaytirilgan subnetga joylashtiradi, shuning uchun hovuz boshqa lizinglar yoki statik tayinlashlar bilan ustma-ust tushmasligi kerak, DHCP xizmat ko'rsatadigan tuzilma esa LAN haqiqatan kutgan tuzilma bo'lishi kerak. Ishlaydigan 2-qatlam yo'li takrorlanuvchi manzillar haqida hech narsa demaydi.

Yo'llarni ayblashdan oldin a'zolikni tekshiring

Mo'ljallangan holatni emas, joriy holatni o'qing: ip -d link show dev eno1.120 VLAN id va uning ota-onasini chop etadi, ip link show master br_vpn ko'prik a'zolarini sanaydi, bridge vlan show esa port bo'yicha a'zolik va chiqish ishlovini xabar qiladi. Subinterfeys dizaynida TAP qurilmasi va VLAN qurilmasi a'zo ekaniga ishonch hosil qiling. VLAN'ni biladigan ko'prikda port siyosatini o'zini tekshiring, chunki ko'prikning mavjudligi uning nimaga ruxsat berishini isbotlamaydi.

Keyin ruxsat etilgan bitta mijozni o'sha VLAN'dagi xizmatga qarshi sinab ko'ring, ARP, xavfsizlik devori siyosati va javob yo'li a'zolikdan alohida masalalar ekanini yodda tuting. Agar paketlarni tutsangiz, apparat offload VLAN teglari izda qayerda ko'rinishini o'zgartirishi mumkinligini unutmang. Qamrovni ham halol saqlang: marshrutlangan TUN mijozi hech qanday ko'prik o'zgarishi bilan VLAN a'zosi bo'lmaydi va mijozdan-mijozga trafik xostning VLAN bilan ulanishini almashtirmaydi.