Ikki sayt sayt VPN uchun bir xil VLAN ID kerakmi?

Ikki ofisda bir xil VLAN raqamlari saytlararo tunnelga yordam berishi kerakdek tuyuladi va tunnel tashiydigan narsaga hech narsani o'zgartirmaydi. VLAN ID bitta binoning ichidagi Ethernet translyatsiya domenini belgilaydi; tunnel IP paketlarini shlyuzlar orasida uzatadi. Ikki sayt butunlay boshqa VLAN raqamlashdan foydalanib ham bir-biriga marshrutlashi mumkin, ikki sayt bir xil VLAN raqamlashdan foydalanib ham bir-biriga yetib bormasligi mumkin. Yetib borishni belgilaydigan o'zgaruvchi manzil rejasi.

Afsona: ikkala uchida bir xil VLAN ID

Bu ishonch oqilona joydan keladi. Bitta binoning ichida bir VLANdagi ikki port gaplasha oladi, turli VLANlardagi ikki port esa gaplasha olmaydi, shuning uchun VLAN raqami aloqa beradigan narsadek ko'rinadi. Marshrutlangan tunnel bo'ylab teg tasvirlay oladigan umumiy Ethernet segmenti yo'q va shlyuzlar hech qachon VLAN belgilarini almashmaydi.

Tunnelga bir-birini qoplamaydigan ikki manzil diapazoni va ular orasidagi trafikka ruxsat beradigan siyosat kerak. Istalgan ofisda VLANni o'zgartiring, tunnel ishlashda davom etadi, chunki tunnel konfiguratsiyasida hech narsa unga havola qilmagan. Bu bahsni hal qiladigan sinov: VLANni qayta raqamlang, manzillarni tegmasdan qoldiring va tunnel turishini kuzating.

Teskari sinov ham shunchalik ibratli. Ikki ofisga bir xil quyi tarmoq bering, va bir xil VLAN raqamlarining qancha bo'lishi manzilni bir ma'noli qilmaydi.

Tunnel aslida nimani tashiydi

IPsec IP paketlarini manzillar, protokollar va portlarda ifodalangan siyosatga muvofiq himoya qiladi. IPsec arxitekturasi o'sha selektorlarni IP qatlamida tasvirlaydi, bu kommutator tegi tasvirlaydigan hamma narsadan bir necha qatlam yuqori. Paket tunnelga kirganda u allaqachon VLANni tark etgan; tegni mahalliy kommutator ishlatib bo'lgan.

Siyosatga asoslangan va marshrutga asoslangan dizaynlar tunnni qanday tanlashida farqlanadi, nima tashiy olishida emas. Siyosatga asoslangan hamkor trafik selektorlarini moslashtiradi va mos paketlarni tunnelga yuboradi. Marshrutga asoslangan hamkor trafikni tunnel interfeysida marshrutlaydi va qarorni marshrutlash jadvaliga qoldiradi. Ikkalasi ham hanuz himoya doirasi bo'yicha muzokara olib boradi, shuning uchun tunnelga ishora qiluvchi marshrut hamkorlar himoya qilishga kelishgan narsani kengaytirmaydi.

Bu farq tez-tez uchraydigan yarim muvaffaqiyatsizlikni tushuntiradi: marshrut bor, paketlar tunnelga kiradi, uzoq tomon esa ularni tashlab yuboradi, chunki muzokara qilingan selektorlar o'sha prefiksni hech qachon o'z ichiga olmagan. O'rnatilgan siyosatlarni o'qish qaysi doira haqiqatan kuchga kirganini ko'rsatadi.

ip xfrm policy
ip route show
swanctl --list-sas

Haqiqatan buzadigan qoplama

Turli quyi tarmoqlarga ega ikki ofis tunnel orqali toza marshrutlanadi va ularning VLAN raqamlari ahamiyatsiz. Bir xil quyi tarmoqqa ega ikki ofis bunday emas, chunki berilgan manzilga so'rov ikki xil ma'noga ega bo'lishi mumkin va marshrutlash jadvali faqat bittasini tanlay oladi. Bitta saytni qayta raqamlash toza yechim va DNS hamda xavfsizlik devori o'zgarishlarini hisobga olganda odatda alternativaardan arzon.

Qayta raqamlash imkonsiz bo'lganda, qasddan qilingan tarjima dizayni har bir tomonga turli manzil ko'rinishlarini taqdim etishi mumkin. Bu birga-bir xaritalash, mos selektorlar, tarjima qilingan ko'rinishni aks ettiruvchi DNS yozuvlari va qayta yozishdan omon qoladigan qaytish marshrutlashini anglatadi. Bu real operatsion xarajatga ega qo'llab-quvvatlanadigan dizayn va VLAN IDni o'zgartirish qiladigan narsa bu emas.

Ikkala uchida bir xil VLAN raqamlari ba'zan umumiy shablonning tasodifi, va bu tasodifni ishlaydigan tunnel sababi deb bilish keyinchalik biror narsa buzilganda noto'g'ri o'zgarishga olib keladi.

Har bir qatlam uchun bitta ish, yozma ravishda

Mahalliy kommutator qaysi portlar translyatsiya domenini bo'lishishini hal qiladi va uning VLAN raqamlashi boshqa hech qanday sayt bilishi shart bo'lmagan mahalliy hisob. Shlyuz hamkorni autentifikatsiya qiladi va kelishilgan himoya doirasini qo'llaydi. Marshrutlash jadvali shifri ochilgan paket keyin qayerga ketishini, kirish siyosati esa o'sha paketga umuman ruxsat berilishi kerakmidi-yo'qmidi hal qiladi.

Bu ishlarni alohida saqlash o'zgarishlarni xavfsiz qiladi. Bitta ofisda VLANni qayta raqamlash mahalliy kommutatorga, DHCP doirasiga va ehtimol xavfsizlik devori zonasiga tegadi, tunnelga tegmaydi. Prefiks o'zgarishi tunnel selektorlariga, ikki tomondagi marshrutlarga va kirish siyosatiga tegadi, kommutator teglariga tegmaydi.

Qaytish marshrutlari, xususiy DNS va ilova identifikatsiyasi talablari yana alohida ishlar va ularning hech biri boshqa saytdan VLAN raqamini ko'chirish bilan kelmaydi. Yetib borish mumkin bo'lgan prefikslar va ruxsat etilgan xizmatlarni sanab o'tuvchi dizayn hujjati kommutator almashtirilishidan omon qoladi; VLAN raqamlarini sanab o'tuvchisi qolmaydi.

Teg tunnelga yetib boradi deb taxmin qilishdan oldin ko'prik vositalari bilan mahalliy manzarani tasdiqlang.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

layer-2 kengaytmasi haqiqiy talab bo'lganda

Ba'zi dizaynlar saytlar orasida haqiqatan Ethernet xatti-harakatiga muhtoj: translyatsiya orqali topishga tayanadigan eski ilova, mashina ko'chganda manzilni saqlashi kerak bo'lgan migratsiya yoki layer-2 taxminlarini o'z ichiga olgan protokol. Bunday holatlar kadrlarni tashiydigan overlay yoki ko'prik xizmatini talab qiladi, shundan keyin VLAN a'zoligi, halqalarning oldini olish va nosozliklarni boshqarish uchdan-uchgacha masalalarga aylanadi.

Bu ancha katta nosozlik domeni va bu fayl almashishni ishga tushirish urinishining tasodifiy natijasi emas, qasddan qilingan tanlov bo'lishi kerak. Oddiy fayl serveri, ma'lumotlar bazasi yoki veb-ilova avtorizatsiyalangan IP yo'lni talab qiladi va ostida cho'zilgan translyatsiya domenisiz baxtliroq bo'ladi.

VPN shartnomasini yetib borish mumkin bo'lgan prefikslar va ruxsat etilgan xizmatlar sifatida yozing va VLAN tegini faqat mahalliy operatsiyalarga kerak bo'lgan joyda qayd eting. Shunda har bir ofis har bir o'zgarishni tunnelni qayta loyihalashga aylantirmasdan o'z kommutatsiyasini qayta raqamlashi mumkin.