Elválasztás VLAN-okkal: egy kábel, több hálózat, és hol ül a címke

Ha minden egyetlen lapos hálózaton ül, minden gép lát minden gépet. Azon a napon, amikor az egyikük illetéktelen kézbe kerül, pontosan ugyanezt a listát látja. Az elválasztásnak ez a lényege: előre eldönteni, hogy egy rossz nap hatása meddig érhet el.

Mi az a VLAN

Olyan megoldás, amely egyetlen fizikai kábelen visz több, egymásról mit sem tudó hálózatot. Minden csomagra egy kis címke kerül, és a címkéket felismerő switch keveredés nélkül viszi ezeket a hálózatokat. Egy kábel van, hálózatból pedig több.

Hol kerül fel a címke

Ez a leginkább zavarba ejtő rész. A címke két helyen kerülhet fel: a virtuális gép hálózati csatolóján, vagyis a szerver címkézi a csomagot, vagy a gépen belül, vagyis az operációs rendszer címkézi a sajátját. Mindkettő működik. A kettő egyszerre soha, mert a dupla címkéből valami váratlan lesz, és napokig homályban marad, hol romlott el.

Ökölszabályként a szerver oldalán történő címkézés a tisztább: a gép belseje egyszerű marad, és a gép áthelyezésekor a beállítás vele együtt költözik.

Vihet-e a híd címkéket

A hídnak külön meg kell mondani, hogy címkézett forgalmat fog vinni. Ha ez elmarad, a címkék vagy eldobódnak, vagy figyelmen kívül maradnak, méghozzá csendben. Ugyanaz a minta még egyszer: hibaüzenet nincs, forgalom sincs.

Átengedi-e őket a fölöttes port

A fizikai switch azon portját, amelyre a szerver csatlakozik, be kell állítani az áthaladó címkék engedélyezésére. Ha a port csak egyetlen hálózatot enged, az az egy működik, a többi eltűnik. Hibátlan szerveroldal mellett is ugyanez az eredmény, mert a láncnak ez a szeme nem a saját gépen van.

Az elválasztás nem tiltás

Két VLAN addig elkülönült, amíg nincs közöttük útválasztó, márpedig általában van. Az, hogy valami külön hálózatra kerül, önmagában nem azt jelenti, hogy "nem látják egymást"; a valódi elzáráshoz szabály kell ott, ahol az útválasztás történik. Ha ez a különbségtétel kimarad, megmarad az elválasztás érzete, holott csak számozás történt.

Előbb rajz, aztán számok

Érdemes egyszer lerajzolni, melyik gép melyikkel soha ne beszéljen. Az ilyen rajz nélkül kiosztott VLAN-számokból labirintus lesz, amelyre fél év múlva senki nem emlékszik. Az elválasztás nem számozási, hanem döntési munka.

Mit csinál az Atlas

Az Atlas a hálózat elrendezését a fizikai portokkal, hidakkal és címekkel együtt, egy helyen mutatja, így ránézésre követhető, hol ül a címke a láncban. A hálózati definíciók haladó oldalát, vagyis a zóna és a virtuális hálózat definícióit szándékosan csak olvashatóan mutatja: egy rossz definíció ott nem egyetlen gépet érint, hanem az egész fürtöt, ezért az Atlas megmutatja, de nem szerkeszti. A hálózati konfiguráción végzett változtatásokat visszaállítási visszaszámlálás védi, így egy címkével végzett kísérlet nem jár kizárással.