Bir TAP serveri, yoxsa bir neçə? Körpüdə OpenVPN klientləri

Çoxsaylı TAP klientləri hər biri üçün bir server prosesi, bir UDP portu və hostda bir TAP cihazı tələb etmir. Ethernet rejimində bir OpenVPN serveri çoxlu autentifikasiya olunmuş klienti qəbul edib onları tək körpüyə qoşa bilər və bu, 2-ci qat seqmentini genişləndirməyin sənədləşdirilmiş yoludur. Təkprosesli dizayn təlimatın sənədləşdirdiyi dizayndır və adətən düzgün standart seçimdir.

Bu klientlərin həmin seqmenti paylaşmalı olub-olmadığı əsas sualdır. Proses sayı buna cavab vermir, çünki izolyasiya xassələri neçə demonun işləməsindən deyil, topologiyadan gəlir. Bu müqayisənin qalan hissəsi iki topologiya və hər birinin nəyi asanlaşdırdığı barədədir.

İki arxitektura, iki parametr deyil

Marşrutlaşdırılmış TUN yerləşdirməsi hər klientə serverin marşrutlaşdırma domeninə nöqtədən-nöqtəyə keçid verir. Yayımlar serverdə dayanır, klientlər bir-birinin kadrlarını görə bilmir və klientlər arasındakı trafik, əgər varsa, açıq şəkildə marşrutlaşdırılmalı və filtrlənməlidir.

Körpülənmiş TAP yerləşdirməsi klientləri bir Ethernet seqmentinin üzvləri edir. Onlar yayımları görür, bir-birini ARP ilə həll edə bilir və ayrı saxlanmaları üçün marşrutlaşdırmaya deyil, körpü və firewall siyasətinə güvənirlər. Bu, klientlər sanki eyni kommutatora qoşulmuş kimi görünməli olduqda faydalıdır.

Deməli, müqayisə klientlərin nəyə çatmalı olduğu barədədir, performans barədə deyil. Əvvəlcə qatı seçin, sonra ona neçə prosesin xidmət edəcəyini qərarlaşdırın.

server-bridge köməkçisi nə edir

server-bridge köməkçisi çoxklientli Ethernet rejimini konfiqurasiya edir. Onun ünvan hovuzu forması şlüzü, netmaskı və körpülənmiş alt şəbəkə daxilində ayrılmış diapazonu götürür, məsələn 192.168.50.1 ünvanlı şlüz və 192.168.50.160-dan 192.168.50.199-a qədər hovuz.

Həmin diapazonu digər istənilən DHCP və ya statik təyinatdan kənarda saxlayın. Köməkçi ünvanları oradan ayırır, lakin eyni seqmentdəki başqa paylayıcı ilə koordinasiya etmir və üst-üstə düşən iki hovuz təsadüfi qoşulma nasazlıqları kimi görünən dublikat ünvanlar yaradır. Ayrılmış diapazonu saytın ünvan planına yazın ki, növbəti şəxs onu təkrar istifadə etməsin. Server konfiqurasiyasındakı şərh həmin qeydin zəif əvəzidir.

Ünvanları xarici serverin payladığı yerləşdirmələr üçün DHCP-proxy forması mövcuddur. Onun öz ilkin şərtləri var və iki formanı qarışdırmaq sənədlərin xəbərdarlıq etdiyi toqquşmanı məhz yaradır. Körpülənmiş alt şəbəkə üçün bir paylayıcı seçin.

İzolyasiya proses sayından gəlmir

Eyni məhdudiyyətsiz körpüyə qoşulmuş səkkiz OpenVPN prosesi yenə də bir yayım domenini paylaşır. Klientlər körpü üzərindən bir-biri üçün ARP göndərə bilir və dinləyicilərin sayı buna heç nə dəyişmədi.

Əgər tələb klient qruplarının 2-ci qatda bir-birini görməməsidirsə, dizayn ayrı körpülər və ya VLAN qoşmaları və onlarla birlikdə gələn giriş qaydalarını tələb edir. Bu, şəbəkə dizaynı qərarıdır və bir server prosesi və ya səkkiz prosesin iştirakından asılı olmayaraq eyni qərardır. Körpü filtrləməsi bəzi trafiki məhdudlaşdıra bilər, lakin ayrı yayım domenləri yaratmır. Ona seqmentasiyaya əlavə kimi baxın, onun əvəzi kimi deyil.

Əgər tələb yalnız klientlərin müəyyən IP xidmətlərinə çatmasıdırsa, marşrutlaşdırılmış TUN dizaynı adətən körpüləmə üstəgəl filtrləmədən sadədir. Hər klient öz keçidini alır və siyasət körpünün daxili işləri yerinə marşrutlaşdırma və firewall qaydalarında yaşayır.

Bir neçə prosesin hələ də düzgün olduğu hallar

Ayrı proseslər əməliyyat ehtiyacları ilə əsaslandırıla bilər: fərqli autentifikasiya arxa hissələri, fərqli sertifikat orqanları, ayrı yeniləmə dövrləri və ya uyğunsuz seçim dəstləri. Bunlar real səbəblərdir və klient sayından asılı deyil.

Bir neçəsini istifadə edirsinizsə, hər birinə öz dinləyicisini və cihaz sahibliyini verin və ünvan diapazonlarını koordinasiya edin. Eyni körpüdə eyni hovuza sahib olduqlarına inanan iki server sonda eyni ünvanı paylayacaq.

Sonra dizaynı eyni vaxtda bir neçə klientlə yoxlayın. Ünvanların unikal olduğunu, nəzərdə tutulan klientlərarası trafikin işlədiyini və əlaqə saxlamamalı olan cütün bacarmadığını yoxlayın. Tək klientin uğurlu pingi çoxklientli dizaynın heç bir hissəsini sınaqdan keçirmir.

Diaqrama güvənməzdən əvvəl körpünü və server rejimini işləyən hostdan oxuyun. Əhəmiyyətli konfiqurasiya nüvənin və demonun həqiqətən yüklədiyidir və həmçinin rəyçinin yoxlaya biləcəyi konfiqurasiyadır.