TAP sonder ’n brug: ’n virtuele segment met ’n geroeteerde opvoerskakel

TAP gee Ethernet-rame aan die bedryfstelsel oor, wat meer vermoë is as wat die meeste afstandtoegangontwerpe nodig het en minder as ’n brug. Die kernel kan dit adresseer, daardeur roeteer en dit met ’n firewall beskerm sonder om dit by enige fisiese segment in te skakel. Daardie reëling is die moeite werd om eerste te verstaan: ’n geïsoleerde virtuele Ethernet-segment wie se bediener as ’n roeteerder na ’n werklike LAN optree. Dit gee laag-twee-gedrag binne die tonnel en gewone IP-aanstuur buite dit, wat twee verskillende beloftes is. Die res hiervan is die bou, die roete, die terugpad en die terugrol.

Bou die geïsoleerde segment

Op Linux neem die koppelvlak drie opdragte: skep dit, bring dit op, gee dit ’n adres binne die segment wat jy beoog. Kies ’n prefiks wat nie met die kantoor-LAN bots nie en skryf dit neer, want die botsing is onsigbaar totdat ’n gasheer antwoord wat nie sou moes bestaan nie.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Niksheer vereis ’n brug nie, en niks verhoed om later een by te voeg nie. Die kern-TUN/TAP-dokumentasie beskryf die koppelvlak self; brugglidmaatskap en aanstuurbeleid is aparte besluite wat jy daarna neem.

Roeteer oor die grens

Aktiveer aanstuur, laat die twee prefikse in die aanstuurketting toe, en voeg ’n roete na die kantoorprefiks by met die LAN-roeteerder as die volgende hop. Die VPN-kant stuur dan kantoorgerigte verkeer na die bediener as sy poort, en die bediener stuur daardie pakkette self aan, nie as ’n brug nie. ’n TAP-koppelvlak met aanstuur gedeaktiveer is ’n segment wat plaaslik antwoord en niks anderkant dit bereik nie, wat die gewone halfvoltooide toestand is. Kontroleer die koppelvlak-tellers aan beide kante daarna, want ’n stygende ontvangstelling met ’n plat stuurtelling aan die LAN-kant beteken ’n aanstuurketting-val, nie ’n slegte roete nie.

Skryf die roete en die firewall-reël as een verandering, want elkeen alleen skep ’n toestand wat van die kliënt se kant soos ’n roeteerfout lyk.

Besluit die terugpad

Óf die LAN-roeteerder leer ’n roete terug na die VPN-prefiks, óf die bediener vertaal bronadresse op pad uit. Vertaling maak die terugpad trivial en vernietig bronidentiteit, so bestemmingslogboeke sal die bediener se adres wys vir elke kliënt agter dit. ’n Geroeteerde prefiks behou identiteit en vereis ’n verandering op toerusting wat jy dalk nie bestuur nie.

Kies doelbewus eerder as volgens wat vinniger is om te tik. ’n Enkele geroeteerde prefiks is gewoonlik skoner as vertaling, en vertaling is gewoonlik beter as om ’n onbestuurde roeteerder ’n nuwe prefiks vir een laboratorium te leer.

Hou die uitsaaibestek doelbewus

Binne die virtuele segment gedra DHCP, ontdekking en buurmanadvertensie hulle soos op ’n skakelaar, want dit is een skakel. Oor die geroeteerde grens doen hulle dit nie, so kantoor-DHCP en diensontdekking benodig ’n eksplisiete ontwerp eerder as ’n aanname dat TAP dit impliseer. Die koppelvlaktipe is nie ’n aflos vir dienste wat elders woon nie.

Dit is die eerlike rede om hoegenaamd TAP te kies: iets op die virtuele segment benodig skakelplaaslike gedrag. As niks dit doen nie, is ’n TUN-toestel met ’n geroeteerde prefiks kleiner, en is daar minder om te verduidelik wanneer dit breek.

Verifieer, skryf dan die terugrol

Van ’n VPN-kliënt, ping die LAN-roeteerder, ping ’n gasheer, en maak een diens oop wat saak maak oor TCP. Kontroleer dan die tellers en die aanstuurketting, want ’n beleidsval lyk van ver presies soos ’n ontbrekende roete. Terugrol is die omgekeerde van die bou en hoort in die veranderingsrekord voordat jy begin: verwyder die roete, verwyder die adres, skrap die koppelvlak.

As die vereiste werklik een Ethernet-segment is wat twee terreine oorspan, is ’n brug die eerlike antwoord en ’n ander ontwerp met ’n ander skaderadius. As die vereiste bereikbaarheid is, doen die geïsoleerde segment met ’n geroeteerde opvoerskakel die werk met minder om later te verduidelik.