Hai site có cần cùng VLAN ID cho một VPN site không?

Cùng số VLAN ở hai văn phòng có vẻ như phải giúp ích cho một đường hầm giữa các site, và nó không thay đổi gì về những gì đường hầm mang. Một VLAN ID đánh dấu một miền quảng bá Ethernet trong một tòa nhà; đường hầm chuyển tiếp các gói IP giữa các cổng. Hai site có thể dùng cách đánh số VLAN hoàn toàn khác nhau mà vẫn định tuyến tới nhau, và hai site có thể dùng cùng cách đánh số VLAN mà vẫn không tiếp cận được nhau. Biến quyết định khả năng tiếp cận là kế hoạch địa chỉ.

Huyền thoại: cùng VLAN ID ở hai đầu

Niềm tin này đến từ một chỗ hợp lý. Trong một tòa nhà, hai cổng trong cùng VLAN có thể nói chuyện với nhau và hai cổng ở VLAN khác thì không, nên số VLAN trông như thứ mang lại kết nối. Qua một đường hầm định tuyến không có phân đoạn Ethernet dùng chung nào để thẻ mô tả, và các cổng không bao giờ trao đổi nhãn VLAN.

Điều đường hầm cần là một cặp phạm vi địa chỉ không chồng lấn và một chính sách cho phép lưu lượng giữa chúng. Hãy đổi VLAN ở bất kỳ văn phòng nào và đường hầm vẫn hoạt động, vì không có gì trong cấu hình đường hầm tham chiếu tới nó. Đây là phép thử phân xử cuộc tranh luận: đánh số lại một VLAN, để nguyên địa chỉ và xem đường hầm có trụ vững không.

Phép thử ngược lại cũng có giá trị tương đương. Cho cả hai văn phòng cùng một mạng con và không lượng số VLAN giống nhau nào làm cho một địa chỉ trở nên rõ ràng.

Đường hầm thực sự mang gì

IPsec bảo vệ các gói IP theo một chính sách được diễn đạt bằng địa chỉ, giao thức và cổng. Kiến trúc IPsec mô tả những bộ chọn đó ở lớp IP, nằm trên mọi thứ mà một thẻ switch mô tả vài lớp. Khi một gói vào đường hầm, nó đã rời VLAN; thẻ đã bị switch cục bộ tiêu thụ.

Thiết kế dựa trên chính sách và dựa trên tuyến khác nhau ở cách chọn đường hầm, không phải ở thứ chúng có thể mang. Một peer dựa trên chính sách khớp các bộ chọn lưu lượng và gửi các gói khớp vào đường hầm. Một peer dựa trên tuyến định tuyến lưu lượng trên một giao diện đường hầm và để bảng định tuyến quyết định. Cả hai vẫn thương lượng một phạm vi bảo vệ, nên một tuyến trỏ tới đường hầm không mở rộng thứ mà các peer đã đồng ý bảo vệ.

Sự khác biệt đó giải thích một nửa thất bại phổ biến: tuyến tồn tại, gói vào đường hầm, và phía xa loại bỏ chúng vì các bộ chọn đã thương lượng chưa bao giờ bao gồm tiền tố đó. Đọc các chính sách đã cài đặt cho thấy phạm vi nào thực sự có hiệu lực.

ip xfrm policy
ip route show
swanctl --list-sas

Sự chồng lấn thực sự phá vỡ

Hai văn phòng với mạng con khác nhau định tuyến sạch qua một đường hầm, và số VLAN của chúng không liên quan. Hai văn phòng với cùng mạng con thì không, vì một yêu cầu cho một địa chỉ nhất định có hai nghĩa khả dĩ và bảng định tuyến chỉ có thể chọn một. Đánh số lại một site là cách sửa sạch sẽ, và thường rẻ hơn các lựa chọn thay thế sau khi tính các thay đổi DNS và tường lửa.

Khi không thể đánh số lại, một thiết kế dịch có chủ đích có thể trình bày các góc nhìn địa chỉ khác nhau cho mỗi bên. Điều đó có nghĩa là ánh xạ một-một, các bộ chọn khớp, bản ghi DNS phản ánh góc nhìn đã dịch và định tuyến trả về sống sót qua việc ghi lại. Đó là một thiết kế được hỗ trợ với chi phí vận hành thực tế, và không phải là thứ mà việc thay đổi VLAN ID làm.

Cùng số VLAN ở hai đầu đôi khi là sự trùng hợp của một mẫu dùng chung, và coi sự trùng hợp đó là nguyên nhân của một đường hầm hoạt động sẽ dẫn tới thay đổi sai khi có thứ gì đó hỏng sau này.

Mỗi lớp một việc, viết ra

Switch cục bộ quyết định những cổng nào chia sẻ một miền quảng bá, và cách đánh số VLAN của nó là sổ sách cục bộ mà không site nào khác cần biết. Cổng xác thực peer và thực thi phạm vi bảo vệ đã thương lượng. Bảng định tuyến quyết định một gói đã giải mã đi đâu tiếp theo, và chính sách truy cập quyết định liệu gói đó có nên được cho phép ngay từ đầu hay không.

Giữ các việc đó tách biệt là điều làm cho các thay đổi an toàn. Đánh số lại VLAN ở một văn phòng chạm tới switch cục bộ, phạm vi DHCP và có thể một vùng tường lửa, và không chạm tới đường hầm. Thay đổi tiền tố chạm tới các bộ chọn của đường hầm, các tuyến ở cả hai bên và chính sách truy cập, và không chạm tới thẻ của switch.

Các tuyến trả về, DNS riêng và yêu cầu danh tính ứng dụng lại là những việc riêng, và không việc nào đến từ việc sao chép số VLAN từ site kia. Một tài liệu thiết kế liệt kê các tiền tố có thể tiếp cận và dịch vụ được phép sẽ sống sót qua một lần thay switch; tài liệu liệt kê số VLAN thì không.

Xác nhận bức tranh cục bộ bằng các công cụ bridge trước khi giả định một thẻ tới được đường hầm.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

Khi mở rộng layer-2 là yêu cầu thực sự

Một số thiết kế thực sự cần hành vi Ethernet giữa các site: một ứng dụng cũ dựa vào khám phá quảng bá, một lần di chuyển phải giữ một địa chỉ trong khi máy di chuyển, hoặc một giao thức nhúng các giả định layer-2. Những trường hợp đó cần một overlay hoặc một dịch vụ bắc cầu mang các khung, và khi đó tư cách thành viên VLAN, ngăn vòng lặp và xử lý sự cố trở thành vấn đề từ đầu đến cuối.

Đó là một miền sự cố lớn hơn nhiều, và nó nên là một lựa chọn có chủ đích chứ không phải kết quả tình cờ của một nỗ lực làm cho chia sẻ tệp hoạt động. Một máy chủ tệp, cơ sở dữ liệu hay ứng dụng web thông thường cần một đường IP được ủy quyền, và sẽ hạnh phúc hơn khi không có một miền quảng bá kéo dài bên dưới.

Viết hợp đồng VPN thành các tiền tố có thể tiếp cận cộng với dịch vụ được phép, và ghi nhãn VLAN chỉ ở nơi các hoạt động cục bộ cần đến nó. Khi đó mỗi văn phòng có thể đánh số lại việc chuyển mạch của riêng mình mà không biến mọi thay đổi thành một lần thiết kế lại đường hầm.