Хроники связи СВО

QinQ: несколько своих VLAN через один чужой Частый вопрос в армии, и частое непонимание что таке QinQ. Вопрос требует длительного разбора, и мне пора его начать) Допустим, у вас две площадки. На обеих нужны три отдельные сети: VLAN 10 для рабочих компьютеров, VLAN 20 для телефонии и VLAN 30 для камер. Между площадками чужая сеть. Её владелец готов выделить вам один транспортный VLAN, например 500. Согласовывать и протягивать через каждый его коммутатор все ваши внутренние VLAN было бы неудобно. Для такой задачи существует QinQ, он же «двойное тегирование». Обычный тег 802.1Q содержит номер VLAN, к которому относится Ethernet-кадр. QinQ позволяет добавить к уже помеченному кадру ещё один, внешний тег. Внутренний при этом сохраняется. В нашем примере получается: VLAN 10 → [500][10] → VLAN 10 VLAN 20 → [500][20] → VLAN 20 VLAN 30 → [500][30] → VLAN 30 Слева ваши кадры входят в транспортную сеть. Посередине идут с двумя тегами. Справа внешний тег снимается, а исходные VLAN продолжают жить на второй площадке. Внутренний тег обычно называют C-tag, клиентский. Внешний — S-tag, сервисный. В простом варианте транспортная сеть коммутирует этот трафик по внешнему VLAN 500. Ей не нужно отдельно строить ваши VLAN 10, 20 и 30 по всему пути. При этом три сети не сливаются в одну. Телефония остаётся в своём VLAN, камеры в своём. Мы добавили транспортную метку, сохранив исходное разделение. У другого клиента тоже могут быть VLAN 10, 20 и 30. Если ему выделен отдельный внешний VLAN, например 600, совпадение внутренних номеров само по себе не мешает. Каждому не приходится переделывать собственную нумерацию под соседей. Удобство для вас: несколько своих VLAN проходят между площадками через одну транспортную услугу. Удобство для оператора: он обслуживает выделенный вам внешний VLAN, не согласовывая каждое изменение внутри вашей сети. Но фраза «мне дали один VLAN» ещё не означает, что QinQ заработает. Нужен согласованный перенос кадров с вложенными тегами. Где добавляется внешний тег, где снимается и что оборудование делает с внутренним, должно быть определено на границах услуги. Обычный доступ в интернет такого переноса не обеспечивает: QinQ сам по себе не строит туннель через произвольную IP-сеть. Нужен запас по размеру кадра. Дополнительный тег занимает четыре байта. Если на пути оборудование не принимает увеличенные кадры, часть трафика может отбрасываться. На это отдельно указывает Juniper. Причём разные производители считают MTU по-разному, поэтому просто прибавить четыре к первой найденной настройке недостаточно. Полоса остаётся общей. Десять VLAN внутри канала на 100 Мбит/с не получают по 100 Мбит/с каждый. Шифрования здесь нет. Второй VLAN-тег помогает переносить и разделять трафик, но не скрывает его содержимое от владельца транспортной сети. QinQ полезен, когда нужно сохранить свою VLAN-структуру между площадками, а в чужой сети занять под неё один транспортный VLAN. Схема простая, если обе стороны одинаково понимают, какие кадры они принимают и что с ними делают. Communicatio est victoria. — Душнила t.me/zas_svo vk.com/zas_svo #СВО #связь #QinQ #VLAN