Separare con le VLAN: un cavo, più reti, e dove sta l’etichetta

Se tutto sta su un’unica rete piatta, ogni macchina vede ogni macchina. Il giorno in cui una di esse viene compromessa, quello che vede è la stessa identica lista. È proprio questo il punto della separazione: decidere in anticipo fin dove può arrivare una giornata storta.

Che cos’è una VLAN

È un modo per portare su un solo cavo fisico più reti che non sanno l’una dell’altra. Su ogni pacchetto viene messa una piccola etichetta, e lo switch che riconosce le etichette porta queste reti senza mescolarle. Il cavo è uno, le reti più di una.

Dove viene messa l’etichetta

È il punto che confonde di più. L’etichetta può essere messa in due posti: sull’interfaccia di rete della macchina virtuale, cioè è il server a etichettare il pacchetto, oppure dentro la macchina, cioè è il sistema operativo a etichettare da sé. Funzionano entrambi. Mai entrambi insieme, perché una doppia etichetta diventa qualcosa di inatteso e dov’è che si è rotto resta poco chiaro per giorni.

Come regola, etichettare dal lato server è più pulito: l’interno della macchina resta semplice, e quando sposti la macchina l’impostazione viaggia con lei.

Il bridge può portare etichette

A un bridge va detto a parte che porterà traffico etichettato. Se non gliel’hai detto, le etichette vengono scartate o ignorate, e questo avviene in silenzio. Di nuovo lo stesso schema: nessun messaggio d’errore, solo niente traffico.

La porta sopra le lascia passare

La porta dello switch fisico a cui è collegato il server deve essere impostata per consentire le etichette che passeranno. Se la porta consente una sola rete, quella funziona e le altre spariscono. Anche un lato server impeccabile dà lo stesso risultato, perché quell’anello della catena non sta sulla tua macchina.

Separare non è bloccare

Due VLAN sono separate finché non c’è un router in mezzo, e di solito c’è. Mettere le cose su reti distinte non significa di per sé "non si vedono"; se vuoi che davvero non possano, serve una regola dove avviene l’instradamento. Quando questa distinzione viene saltata, le persone credono di aver separato mentre hanno solo numerato.

Prima disegna, poi assegna i numeri

Disegna una volta quale macchina non deve mai parlare con quale. Numeri di VLAN distribuiti senza quel disegno diventano un labirinto che a sei mesi di distanza nessuno ricorda. La separazione non è un lavoro di numerazione, è un lavoro di decisione.

Che cosa fa Atlas

Atlas mostra la disposizione della rete insieme alle porte fisiche, ai bridge e agli indirizzi in un unico posto, così segui con lo sguardo dove sta l’etichetta nella catena. Il lato avanzato delle definizioni di rete, cioè zone e reti virtuali, lo mostra in sola lettura di proposito: una definizione sbagliata lì non tocca una macchina ma l’intero cluster, quindi Atlas la mostra senza modificarla. Le modifiche che fai alla configurazione di rete sono protette da un conto alla rovescia di ripristino, quindi una prova con un’etichetta non ti lascia chiuso fuori.