Een TAP-bediener of verskeie? OpenVPN-kliënte op ’n brug

Verskeie TAP-kliënte vereis nie een bedienerproses, een UDP-poort en een gasheer-TAP-toestel elk nie. Een OpenVPN-bediener in Ethernet-modus kan baie geauthentiseerde kliënte toelaat en hulle aan ’n enkele brug koppel, en dit is die gedokumenteerde manier om ’n laag-2-segment uit te brei. Die enkelprosesontwerp is die een wat die handleiding dokumenteer, en dit is gewoonlik die regte verstek.

Of daardie kliënte daardie segment moet deel, is die werklike vraag. Prosesgetal antwoord dit nie, want die isolasie-eienskappe kom uit die topologie eerder as uit hoeveel daemons loop. Die res van hierdie vergelyking gaan oor die twee topologieë en wat elkeen maklik maak.

Twee argitekture, nie twee instellings nie

’n Gerouteerde TUN-ontplooiing gee elke kliënt ’n punt-tot-punt-skakel na die bediener se routeringsdomein. Uitsendings stop by die bediener, kliënte kan nie mekaar se rame sien nie, en verkeer tussen kliënte, indien enige, moet eksplisiet gerouteer en gefiltreer word.

’n Gebrugde TAP-ontplooiing maak kliënte lede van een Ethernet-segment. Hulle sien uitsendings, kan mekaar met ARP oplos, en maak staat op brug- en brandmuurbeleid eerder as routering om hulle apart te hou. Dit is nuttig wanneer die kliënte moet lyk asof hulle in dieselfde skakelaar ingeprop is.

Die vergelyking gaan dus oor wat die kliënte moet bereik, nie oor werkverrigting nie. Kies eers die laag en besluit dan hoeveel prosesse dit bedien.

Wat die server-bridge-helper doen

Die server-bridge-helper stel die multi-kliënt-Ethernet-modus op. Sy adrespoelvorm neem die poort, die netmasker en ’n toegewyde reeks binne die gebrugde subnet, byvoorbeeld ’n poort by 192.168.50.1 met ’n poel van 192.168.50.160 tot 192.168.50.199.

Reserveer daardie reeks buite enige ander DHCP- of statiese toekenning. Die helper ken adresse daaruit toe, maar dit koördineer nie met ’n ander toekenner op dieselfde segment nie, en twee poele wat oorvleuel lewer duplikaatadresse wat soos toevallige verbindingsfoute lyk. Skryf die gereserveerde reeks in die terrein se adresplan sodat die volgende persoon dit nie hergebruik nie. ’n Opmerking in die bedienerkonfigurasie is ’n swak plaasvervanger vir daardie rekord.

’n DHCP-proxyvorm bestaan vir ontplooiings waar ’n eksterne bediener adresse uitdeel. Dit het sy eie voorvereistes, en die vermenging van die twee vorms lewer presies die konflik waaroor die dokumentasie waarsku. Kies een toekenner vir die gebrugde subnet.

Isolasie kom nie uit prosesgetal nie

Agt OpenVPN-prosesse wat aan dieselfde onbeperkte brug gekoppel is, deel steeds een uitsaaidomein. Kliënte kan oor die brug vir mekaar ARP, en die aantal luisteraars het niks daaraan verander nie.

As die vereiste is dat groepe kliënte mekaar nie op laag 2 moet sien nie, het die ontwerp aparte brûe of VLAN-aanhegsels nodig, saam met die toegangsreëls wat daarmee gepaard gaan. Dit is ’n netwerkontwerpbesluit, en dit is dieselfde besluit of een bedienerproses of agt betrokke is. Brugfiltering kan sommige verkeer beperk, maar dit skep nie aparte uitsaaidomeine nie. Beskou dit as ’n aanvulling tot segmentering, nie ’n plaasvervanger daarvoor nie.

As die vereiste net is dat kliënte sekere IP-dienste bereik, is ’n gerouteerde TUN-ontwerp gewoonlik eenvoudiger as brugging plus filtering. Elke kliënt kry sy eie skakel, en die beleid woon in routerings- en brandmuurreëls eerder as in bruginternasie.

Wanneer verskeie prosesse steeds reg is

Aparte prosesse kan deur operasionele behoeftes geregverdig word: verskillende verifikasie-agterkante, verskillende sertifikaatowerhede, aparte opgraderingsiklusse of onversoenbare opsiestelle. Dit is werklike redes en hulle is onafhanklik van die kliëntgetal.

As jy verskeie gebruik, gee elkeen sy eie luisteraar en toestelbesit en koördineer die adresreekse. Twee bedieners wat albei glo hulle besit dieselfde poel op dieselfde brug, sal uiteindelik dieselfde adres uitdeel.

Verifieer dan die ontwerp met verskeie kliënte gelyktydig. Kontroleer dat adresse uniek is, dat die beoogde verkeer tussen kliënte werk, en dat ’n paar wat nie moet kommunikeer nie, dit nie kan nie. ’n Suksesvolle ping van ’n enkele kliënt toets niks van die multi-kliënt-ontwerp nie.

Lees die brug en die bediener-modus uit die lopende gasheer voordat jy die diagram vertrou. Die konfigurasie wat saak maak, is die een wat die kernel en die daemon werklik gelaai het, en dit is ook die een wat ’n resensent kan kontroleer.