Å skille med VLAN: én kabel, flere nett, og hvor merkingen sitter

Ligger alt på ett flatt nett, ser hver maskin hver maskin. Den dagen en av dem blir tatt over, er det nøyaktig den listen den ser. Det er nettopp dette det å skille handler om: å bestemme på forhånd hvor langt en dårlig dag kan nå.

Hva et VLAN er

Det er en måte å bære flere nett som ikke vet om hverandre over én fysisk kabel. En liten merking settes på hver pakke, og svitsjen som kjenner igjen merkingene bærer disse nettene uten å blande dem. Kabelen er én, nettene er flere.

Hvor merkingen settes

Dette er det som forvirrer mest. Merkingen kan settes to steder: på den virtuelle maskinens nettverksgrensesnitt, altså serveren merker pakken, eller inne i maskinen, altså operativsystemet merker selv. Begge virker. Aldri begge samtidig, for en dobbel merking blir til noe uventet, og hvor det gikk galt forblir uklart i dagevis.

Som tommelfingerregel er merking på serversiden renere: innsiden av maskinen forblir enkel, og flytter du maskinen, følger innstillingen med.

Får broen bære merkinger

En bro må få beskjed særskilt om at den skal bære merket trafikk. Har den ikke fått det, blir merkingene enten kastet eller oversett, og det skjer i stillhet. Samme mønster igjen: ingen feilmelding, bare ingen trafikk.

Slipper porten over dem gjennom

Den fysiske svitsjporten serveren henger på må være satt opp slik at den tillater merkingene som skal passere. Tillater porten bare ett nett, virker det ene, og de andre forsvinner. Selv en feilfri serverside gir samme resultat, for det leddet i kjeden ligger ikke på din maskin.

Å skille er ikke å blokkere

To VLAN er atskilt inntil det står en ruter mellom dem, og som regel gjør det det. Å legge ting på atskilte nett betyr ikke i seg selv "de ser ikke hverandre"; vil du at de virkelig ikke skal kunne, trengs en regel der rutingen skjer. Hoppes denne forskjellen over, tror folk at de har skilt, mens alt de har gjort er å nummerere.

Tegn først, gi tall etterpå

Tegn én gang hvilken maskin som aldri skal snakke med hvilken. VLAN-numre delt ut uten den tegningen blir en labyrint ingen husker et halvt år senere. Å skille er ikke en nummereringsjobb, det er en beslutningsjobb.

Hva Atlas gjør

Atlas viser nettoppsettet sammen med de fysiske portene, broene og adressene på ett sted, slik at du med blikket følger hvor i kjeden merkingen sitter. Den avanserte siden av nettdefinisjonene, altså sone- og virtuelle nettdefinisjoner, viser det bevisst skrivebeskyttet: en feil definisjon der rører ikke én maskin, men hele klyngen, så Atlas viser den uten å endre den. Endringer du gjør i nettverksoppsettet er beskyttet av en tilbakerullingsnedtelling, så et forsøk med en merking låser deg ikke ute.