Разделение через VLAN: один кабель, несколько сетей и место, где ставится метка

Если всё лежит в одной плоской сети, каждая машина видит каждую. В день, когда одну из них захватят, она увидит ровно тот же список. В этом и смысл разделения: заранее решить, куда может дотянуться плохой день.

Что такое VLAN

Это способ нести по одному физическому кабелю несколько сетей, ничего не знающих друг о друге. На каждый пакет ставится небольшая метка, и коммутатор, который эти метки узнаёт, несёт эти сети, не смешивая их. Кабель один, сетей больше одной.

Где ставится метка

Это самое путаное место. Метку можно поставить в двух местах: на сетевом интерфейсе виртуальной машины, то есть пакет метит сервер, или внутри машины, то есть метит сама операционная система. Работают оба. Никогда оба сразу, потому что двойная метка превращается в нечто неожиданное, и где именно сломалось, остаётся неясным днями.

Как правило, метить на стороне сервера чище: внутренность машины остаётся простой, и при переносе машины настройка едет вместе с ней.

Разрешено ли мосту нести метки

Мосту надо отдельно сказать, что он будет нести помеченный трафик. Если не сказано, метки либо отбрасываются, либо игнорируются, и происходит это беззвучно. Снова тот же рисунок: сообщения об ошибке нет, просто нет трафика.

Пропускает ли их порт выше

Порт физического коммутатора, к которому подключён сервер, должен быть настроен так, чтобы пропускать проходящие метки. Если порт разрешает только одну сеть, эта одна работает, остальные исчезают. Даже безупречная сторона сервера даёт тот же результат, потому что это звено цепочки лежит не на вашей машине.

Разделить, это не запретить

Две VLAN разделены до тех пор, пока между ними не окажется маршрутизатор, а он обычно оказывается. Разложить всё по разным сетям само по себе не означает «они друг друга не видят»; если вы хотите, чтобы действительно не могли, нужно правило там, где происходит маршрутизация. Когда это различие пропускают, люди думают, что разделили, хотя всего лишь пронумеровали.

Сначала нарисуйте, потом присваивайте номера

Нарисуйте один раз, какая машина никогда не должна говорить с какой. Номера VLAN, розданные без такого рисунка, через полгода превращаются в лабиринт, которого никто не помнит. Разделение, это не работа по нумерации, а работа по принятию решений.

Что делает Atlas

Atlas показывает раскладку сети вместе с физическими портами, мостами и адресами в одном месте, так что вы взглядом прослеживаете, где в цепочке стоит метка. Продвинутую часть сетевых определений, то есть определения зон и виртуальных сетей, он показывает намеренно только для чтения: ошибочное определение здесь затрагивает не одну машину, а весь кластер, поэтому Atlas показывает его, но не меняет. Изменения, которые вы вносите в сетевую настройку, защищены обратным отсчётом отката, так что опыт с меткой не оставит вас запертым снаружи.