Rozdzielanie sieciami VLAN: jeden kabel, kilka sieci i to, gdzie siedzi znacznik

Jeśli wszystko siedzi w jednej płaskiej sieci, każda maszyna widzi każdą maszynę. W dniu, w którym jedna z nich zostanie przejęta, to, co ona widzi, jest tą samą listą. Na tym polega sens rozdzielania: zdecydować z góry, jak daleko może sięgnąć zły dzień.

Czym jest VLAN

To sposób na przeniesienie po jednym kablu fizycznym kilku sieci, które nic o sobie nie wiedzą. Na każdy pakiet nakładany jest mały znacznik, a przełącznik rozpoznający znaczniki niesie te sieci, nie mieszając ich. Kabel jest jeden, a sieci więcej niż jedna.

Gdzie nakładany jest znacznik

To najbardziej mylący fragment. Znacznik można nałożyć w dwóch miejscach: na karcie sieciowej maszyny wirtualnej, czyli pakiet znakuje serwer, albo wewnątrz maszyny, czyli system operacyjny znakuje własne pakiety. Oba sposoby działają. Nigdy nie rób obu naraz, bo podwójny znacznik zamienia się w coś nieoczekiwanego, a to, gdzie się zepsuło, pozostaje niejasne przez wiele dni.

Z zasady znakowanie po stronie serwera jest czystsze: wnętrze maszyny zostaje zwykłe, a gdy przenosisz maszynę, ustawienie jedzie razem z nią.

Czy mostek ma prawo nieść znaczniki

Mostkowi trzeba osobno powiedzieć, że będzie niósł ruch znakowany. Jeśli mu tego nie powiedziano, znaczniki są albo odrzucane, albo ignorowane, i dzieje się to po cichu. Ten sam wzór jeszcze raz: żadnego komunikatu o błędzie, tylko brak ruchu.

Czy port powyżej je przepuszcza

Fizyczny port przełącznika, do którego wpięty jest serwer, musi być skonfigurowany tak, by dopuszczać znaczniki, które będą przechodzić. Jeśli port pozwala tylko na jedną sieć, ta jedna działa, a pozostałe znikają. Nawet bezbłędna strona serwera daje ten sam wynik, bo tamto ogniwo łańcucha nie jest na twojej maszynie.

Rozdzielanie to nie blokowanie

Dwie sieci VLAN są rozdzielone dopóty, dopóki nie ma między nimi routera, a zwykle jest. Umieszczenie rzeczy w osobnych sieciach samo w sobie nie znaczy, że nie mogą się widzieć; jeśli chcesz, żeby naprawdę nie mogły, potrzebujesz reguły tam, gdzie odbywa się routing. Gdy pomija się to rozróżnienie, ludzie wierzą, że coś rozdzielili, choć jedynie ponumerowali.

Najpierw narysuj, potem przydzielaj numery

Narysuj raz, która maszyna nigdy nie powinna rozmawiać z którą. Numery VLAN rozdane bez tego rysunku zamieniają się w labirynt, którego pół roku później nikt nie pamięta. Rozdzielanie nie jest pracą numerowania, tylko pracą decydowania.

Co robi Atlas

Atlas pokazuje układ sieci razem z portami fizycznymi, mostkami i adresami w jednym miejscu, więc patrząc, śledzisz, gdzie w łańcuchu siedzi znacznik. Zaawansowaną stronę definicji sieciowych, czyli definicje stref i sieci wirtualnych, pokazuje celowo tylko do odczytu: błędna definicja w tym miejscu dotyka nie jednej maszyny, tylko całego klastra, więc Atlas ją pokazuje, ale jej nie edytuje. Zmiany, które wprowadzasz w konfiguracji sieci, chroni odliczanie do wycofania, więc eksperyment ze znacznikiem nie zostawia cię odciętym.