VLAN поверх OpenVPN: нужна помощь!

Question

Я пишу, потому что испытываю трудности с настройкой инфраструктуры с использованием pfSense и OpenVPN, и уже несколько дней безуспешно пытаюсь понять, что делаю не так.

Сценарий использования, который я хочу реализовать, заключается в подключении облачных серверов к существующей инфраструктуре, которая имеет периферийные фаерволы pfSense и предоставляет сервер OpenVPN.

Однако я не хочу использовать маршрутизацию; вместо этого я хочу создать туннель tap для передачи тегированных VLAN через него.

На сервере я включил тегирование VLAN в соответствии с документацией OpenVPN (https://build.openvpn.net/man/openvpn-2.5/openvpn.8.html), создав туннель tap и включив –vlan-tagging. Мне не нужны нетегированные пакеты.

На pfSense я создал две VLAN на интерфейсе OpenVPN:

Затем я создал два моста между VLAN и физическими интерфейсами на фаерволе (которые отмечены на гипервизоре Proxmox, где работает pfSense):

Статус интерфейса на pfSense следующий:

На клиенте (другой сервер Proxmox) я создал следующие мосты на интерфейсе tap0, открытом клиентом OpenVPN:

root@node1:~# ip link
[...]
3: vmbr0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 10:7c:61:4c:4e:64 brd ff:ff:ff:ff:ff:ff
12: tap99101i0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000
    link/ether 56:d9:73:5e:9d:fb brd ff:ff:ff:ff:ff:ff
29: tap0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000
    link/ether 6a:6b:26:c3:ea:c5 brd ff:ff:ff:ff:ff:ff
30: tap0.150@tap0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master vmbr150 state UP mode DEFAULT group default qlen 1000
    link/ether 6a:6b:26:c3:ea:c5 brd ff:ff:ff:ff:ff:ff
31: vmbr150: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 6a:6b:26:c3:ea:c5 brd ff:ff:ff:ff:ff:ff
32: tap0.151@tap0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master vmbr151 state UP mode DEFAULT group default qlen 1000
    link/ether 6a:6b:26:c3:ea:c5 brd ff:ff:ff:ff:ff:ff
33: vmbr151: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 6a:6b:26:c3:ea:c5 brd ff:ff:ff:ff:ff:ff

root@node1:~# brctl show
bridge name bridge id       STP enabled interfaces
vmbr0       8000.107c614c4e64   no      enp5s0
vmbr150     8000.6a6b26c3eac5   no      tap0.150
vmbr151     8000.6a6b26c3eac5   no      tap0.151

Мост vmbr150 правильно имеет IP-адрес, который относится к той же сети, что и физические интерфейсы pfSense (а vmbr151 не имеет IP-адреса, так как он предназначен для виртуальных машин, работающих на удаленном Proxmox):

root@node1:~# ip addr
[...]
30: tap0.150@tap0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master vmbr150 state UP group default qlen 1000
    link/ether 6a:6b:26:c3:ea:c5 brd ff:ff:ff:ff:ff:ff
31: vmbr150: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 6a:6b:26:c3:ea:c5 brd ff:ff:ff:ff:ff:ff
    inet 192.168.150.1/24 scope global vmbr150
       valid_lft forever preferred_lft forever
    inet6 fe80::686b:26ff:fec3:eac5/64 scope link
       valid_lft forever preferred_lft forever
32: tap0.151@tap0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master vmbr151 state UP group default qlen 1000
    link/ether 6a:6b:26:c3:ea:c5 brd ff:ff:ff:ff:ff:ff
33: vmbr151: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 6a:6b:26:c3:ea:c5 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::686b:26ff:fec3:eac5/64 scope link
       valid_lft forever preferred_lft forever

Ссылка установлена, и я не вижу никаких ошибок конфигурации, но несмотря на это, простой ping не достигает другой стороны (на pfSense пока нет правил фаервола, разрешающих трафик, но я даже не вижу пакетов, покидающих удаленный Proxmox):

root@node1:~# ping 192.168.150.251
PING 192.168.150.251 (192.168.150.251) 56(84) байт данных.
From 192.168.150.1 icmp_seq=1 Destination Host Unreachable
From 192.168.150.1 icmp_seq=2 Destination Host Unreachable
From 192.168.150.1 icmp_seq=3 Destination Host Unreachable
From 192.168.150.1 icmp_seq=4 Destination Host Unreachable

`tcpdump` показывает только ARP-запросы, что наводит меня на мысль, что пакеты даже не покидают соединение OpenVPN:

root@node1:~# tcpdump -i tap0.150
tcpdump: подробный вывод подавлен, используйте -v[v]... для полного декодирования протокола
прослушивание на tap0.150, тип канала EN10MB (Ethernet), длина снимка 262144 байт
14:10:39.220037 ARP, Request who-has 192.168.150.251 tell 192.168.150.1, длина 28
14:10:40.244045 ARP, Request who-has 192.168.150.251 tell 192.168.150.1, длина 28
14:10:41.268019 ARP, Request who-has 192.168.150.251 tell 192.168.150.1, длина 28
14:10:42.292068 ARP, Request who-has 192.168.150.251 tell 192.168.150.1, длина 28
14:10:43.315991 ARP, Request who-has 192.168.150.251 tell 192.168.150.1, длина 28

Кто-нибудь может помочь мне понять, что я делаю не так?

Большое спасибо!

VLAN поверх OpenVPN: нужна помощь!

Вопрос или проблема

Ответ или решение

Теория

Примеры

Применение