Separar com VLANs: um cabo, várias redes, e onde a etiqueta fica

Se tudo está em uma única rede plana, cada máquina enxerga cada máquina. No dia em que uma delas for comprometida, o que ela enxerga é exatamente essa lista. É disso que trata a separação: decidir de antemão até onde um dia ruim consegue chegar.

O que é uma VLAN

É um jeito de carregar, em um único cabo físico, várias redes que não sabem umas das outras. Uma etiqueta pequena é colocada em cada pacote, e o comutador que reconhece essas etiquetas carrega essas redes sem misturá-las. O cabo é um, as redes são mais de uma.

Onde a etiqueta é colocada

É o ponto que mais confunde. A etiqueta pode ser colocada em dois lugares: na interface de rede da máquina virtual, ou seja, o servidor etiqueta o pacote, ou dentro da máquina, ou seja, o sistema operacional etiqueta por conta própria. Os dois funcionam. Nunca os dois ao mesmo tempo, porque uma etiqueta dupla vira algo inesperado e onde quebrou fica sem resposta por dias.

Como regra, etiquetar do lado do servidor é mais limpo: o interior da máquina fica simples, e quando você move a máquina a configuração viaja junto.

A ponte pode carregar etiquetas

A uma ponte é preciso dizer separadamente que ela vai carregar tráfego etiquetado. Se não foi dito, as etiquetas são descartadas ou ignoradas, e isso acontece em silêncio. De novo o mesmo padrão: nenhuma mensagem de erro, apenas nenhum tráfego.

A porta acima deixa passar

A porta do comutador físico onde o servidor está ligado precisa estar configurada para permitir as etiquetas que vão circular. Se a porta permite só uma rede, essa funciona e as outras somem. Mesmo um lado servidor impecável dá o mesmo resultado, porque esse elo da corrente não está na sua máquina.

Separar não é bloquear

Duas VLANs estão separadas até existir um roteador entre elas, e normalmente existe. Colocar coisas em redes distintas não significa por si só "não se enxergam"; se você quer que realmente não consigam, é preciso uma regra onde o roteamento acontece. Quando essa distinção é pulada, as pessoas acham que separaram, quando tudo o que fizeram foi numerar.

Desenhe primeiro, numere depois

Desenhe uma vez qual máquina nunca deve falar com qual. Números de VLAN distribuídos sem esse desenho viram um labirinto de que ninguém se lembra seis meses depois. Separação não é trabalho de numeração, é trabalho de decisão.

O que o Atlas faz

O Atlas mostra o arranjo da rede junto com as portas físicas, as pontes e os endereços em um lugar só, então você acompanha com o olhar onde a etiqueta está na corrente. O lado avançado das definições de rede, as definições de zonas e redes virtuais, ele mostra somente leitura de propósito: uma definição errada ali não afeta uma máquina, afeta o cluster inteiro, então o Atlas mostra sem alterar. As mudanças que você faz na configuração de rede são protegidas por uma contagem regressiva de reversão, então um teste com etiqueta não te deixa trancado do lado de fora.