Trennen mit VLANs: ein Kabel, mehrere Netze, und wo die Markierung sitzt

Sitzt alles in einem flachen Netz, sieht jede Maschine jede Maschine. An dem Tag, an dem eine davon übernommen wird, sieht sie genau dieselbe Liste. Genau darum geht es bei der Trennung: vorab zu entscheiden, wie weit ein schlechter Tag reichen kann.

Was ein VLAN ist

Es ist eine Art, über ein physisches Kabel mehrere Netze zu tragen, die nichts voneinander wissen. Auf jedes Paket kommt eine kleine Markierung, und der Switch, der die Markierungen kennt, trägt diese Netze, ohne sie zu vermischen. Es gibt ein Kabel und mehr als ein Netz.

Wo die Markierung gesetzt wird

Das ist die verwirrendste Stelle. Die Markierung kann an zwei Orten gesetzt werden: an der Netzwerkschnittstelle der virtuellen Maschine, das heißt der Server markiert das Paket, oder in der Maschine, das heißt das Betriebssystem markiert selbst. Beides funktioniert. Beides zugleich niemals, denn eine doppelte Markierung wird zu etwas Unerwartetem, und wo es kaputtgegangen ist, bleibt tagelang unklar.

Als Faustregel ist das Markieren auf Serverseite sauberer: das Innere der Maschine bleibt schlicht, und beim Verschieben der Maschine wandert die Einstellung mit.

Darf die Bridge Markierungen tragen

Einer Bridge muss gesondert gesagt werden, dass sie markierten Verkehr trägt. Wurde es ihr nicht gesagt, werden die Markierungen entweder verworfen oder ignoriert, und das geschieht lautlos. Wieder dasselbe Muster: keine Fehlermeldung, nur kein Verkehr.

Lässt der Port darüber sie durch

Der physische Switch-Port, an dem der Server hängt, muss so eingestellt sein, dass er die durchlaufenden Markierungen zulässt. Erlaubt der Port nur ein Netz, funktioniert dieses eine und die anderen verschwinden. Auch eine makellose Serverseite ergibt dasselbe Ergebnis, denn dieses Glied der Kette liegt nicht auf deiner Maschine.

Trennen ist nicht Sperren

Zwei VLANs sind getrennt, bis ein Router dazwischensteht, und meistens steht einer da. Dinge in getrennte Netze zu legen heißt für sich genommen nicht "sie sehen einander nicht"; sollen sie es wirklich nicht können, braucht es eine Regel dort, wo geroutet wird. Wird dieser Unterschied übersprungen, glauben Leute, sie hätten getrennt, während sie nur nummeriert haben.

Erst zeichnen, dann Nummern vergeben

Zeichne einmal auf, welche Maschine mit welcher niemals sprechen soll. Ohne diese Zeichnung vergebene VLAN-Nummern werden zu einem Labyrinth, an das sich sechs Monate später niemand erinnert. Trennung ist keine Nummerierungsaufgabe, sie ist eine Entscheidungsaufgabe.

Was Atlas tut

Atlas zeigt das Netzlayout zusammen mit den physischen Ports, Bridges und Adressen an einem Ort, sodass du durch Hinsehen verfolgst, wo in der Kette die Markierung sitzt. Die fortgeschrittene Seite der Netzdefinitionen, die Zonen- und virtuellen Netzdefinitionen, zeigt es absichtlich schreibgeschützt: eine falsche Definition dort betrifft nicht eine Maschine, sondern den ganzen Cluster, deshalb zeigt Atlas sie, ohne sie zu ändern. Änderungen, die du an der Netzwerkkonfiguration vornimmst, sind durch einen Rücknahme-Countdown geschützt, sodass ein Versuch mit einer Markierung dich nicht aussperrt.