TAP دون جسر: مقطع افتراضي مع وصلة صاعدة موجّهة

يسلّم TAP إطارات إيثرنت إلى نظام التشغيل، وهي قدرة أكبر مما تحتاجه معظم تصاميم الوصول عن بعد وأقل من جسر. تستطيع نواة النظام أن تعنونها وأن توجّه عبرها وأن تضع جدارًا ناريًا حولها دون ضمّها إلى أي مقطع فعلي. يستحق هذا الترتيب الفهم أولًا: مقطع إيثرنت افتراضي معزول يعمل خادمه كموجّه نحو شبكة محلية حقيقية. يمنح سلوك الطبقة الثانية داخل النفق وتوجيه IP العادي خارجه، وهما وعدان مختلفان. والباقي هنا هو البناء والمسار ومسار العودة والتراجع.

ابنِ المقطع المعزول

على لينكس يأخذ الواجهة ثلاثة أوامر: أنشئها، وارفعها، وامنحها عنوانًا داخل المقطع الذي تقصده. اختر بادئة لا تتصادم مع شبكة المكتب المحلية واكتبها، لأن التصادم غير مرئي حتى يجيب مضيف لا ينبغي أن يوجد.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

لا شيء هنا يتطلب جسرًا، ولا شيء يمنع إضافة واحد لاحقًا. تصف وثائق TUN/TAP في النواة الواجهة نفسها؛ وعضوية الجسر وسياسة التمرير قراران منفصلان تتخذهما بعد ذلك.

وجّه الحركة عبر الحدود

فعّل التمرير، واسمح بالبادئتين في سلسلة التمرير، وأضف مسارًا نحو بادئة المكتب مع موجّه الشبكة المحلية كقفزة تالية. يرسل جانب VPN حينها الحركة المتجهة إلى المكتب إلى الخادم كبوابته، ويمرّر الخادم تلك الحزم بنفسه لا كجسر. واجهة TAP مع تعطيل التمرير هي مقطع يجيب محليًا ولا يصل إلى شيء بعده، وهي الحالة نصف المكتملة المعتادة. افحص عدادات الواجهة على الجانبين بعد ذلك، لأن عدّ استقبال صاعدًا مع عدّ إرسال ثابت على جانب الشبكة المحلية يعني إسقاطًا في سلسلة التمرير لا مسارًا سيئًا.

اكتب المسار وقاعدة الجدار الناري كتغيير واحد، لأن أيًّا منهما وحده ينتج حالة تبدو من جهة العميل كفشل في التوجيه.

قرّر مسار العودة

إما أن يتعلم موجّه الشبكة المحلية مسارًا راجعًا إلى بادئة VPN، وإما أن يترجم الخادم عناوين المصدر في طريق الخروج. الترجمة تجعل مسار العودة تافهًا وتدمّر هوية المصدر، لذا ستُظهر سجلات الوجهة عنوان الخادم لكل عميل خلفه. البادئة الموجّهة تحفظ الهوية وتتطلب تغييرًا على معدات قد لا تديرها.

اختر بوعي لا بحسب الأسرع في الكتابة. البادئة الموجّهة الواحدة أنظف عادة من الترجمة، والترجمة عادة أفضل من تعليم موجّه غير مُدار بادئة جديدة من أجل مختبر واحد.

أبقِ نطاق البثّ مقصودًا

داخل المقطع الافتراضي، يتصرف DHCP والاكتشاف وإعلان الجوار كما تتصرّف على مبدّل، لأنه رابط واحد. عبر الحدود الموجّهة لا تفعل ذلك، لذا يحتاج DHCP المكتبي واكتشاف الخدمات إلى تصميم صريح لا إلى افتراض أن TAP يستلزمهما. نوع الواجهة ليس مرحّلًا لخدمات تقيم في مكان آخر.

هذا هو السبب الصادق لاختيار TAP أصلًا: شيء على المقطع الافتراضي يحتاج سلوكًا محليًا للرابط. إن لم يحتج شيء ذلك، فجهاز TUN ببادئة موجّهة أصغر، وهناك أقل لشرحه عندما يتعطل.

تحقّق ثم اكتب التراجع

من عميل VPN، ابعث ping إلى موجّه الشبكة المحلية، ثم إلى مضيف، وافتح خدمة واحدة مهمة عبر TCP. ثم افحص العدادات وسلسلة التمرير، لأن إسقاط سياسة يبدو من بعيد تمامًا كمسار مفقود. التراجع هو عكس البناء وينتمي إلى سجل التغيير قبل أن تبدأ: أزل المسار، وأزل العنوان، واحذف الواجهة.

إذا كان المطلب حقًا مقطع إيثرنت واحدًا يمتد بين موقعين، فإن الجسر هو الجواب الصادق وتصميم مختلف بنطاق تأثير مختلف. إذا كان المطلب هو الوصول، فإن المقطع المعزول مع وصلة صاعدة موجّهة يفي بالغرض مع أقل لشرحه لاحقًا.