OpenVPN TUN və TAP: seçimi həll edən üç şərt

İki tunel eyni fayl ötürməsini daşıya bilər, lakin xəttə qoyduqları ilə tamamilə fərqlənir. Biri IP paketlərini iki ünvan arasında hərəkət etdirir; digəri Ethernet freymlerini hərəkət etdirir və seqmentə körpülənə bilər. Bu fərq hansı tətbiqlərin işlədiyini, hansı müştərilərin qoşula bildiyini və nə qədər şəbəkə dizaynı öhdəliyi götürdüyünüzü müəyyən edir.

Təcrübədə bunu üç şərt həll edir. Onları sıra ilə işləyin, çünki birincisi adətən müzakirəni bitirir.

Hər interfeys əslində nə daşıyır

TUN cihazı 3-cü qatın nöqtədən nöqtəyə interfeysidir: kernel ona IP paketləri verir və tunel onları qarşı tərəfin ünvanına daşıyır. TAP cihazı Ethernet freymlerini daşıyan 2-ci qat interfeysidir və körpüləməni ümumiyyətlə mümkün edən də budur, kernel sənədləşməsi bunu təsvir edir. Heç biri yükün necə şifrələndiyini dəyişmir və heç biri güc parametri deyil. Seçim uç nöqtələrin nə mübadilə etməli olduğuna aiddir, trafikin nə qədər yaxşı qorunduğuna deyil.

Bir nəticə dərhal çıxır: hər iki tərəf razılaşmalıdır. Bir cihaz tipi üçün konfiqurasiya edilmiş müştəri digəri üçün konfiqurasiya edilmiş serverə qoşula bilməz, başqa nə uyğun gəlsə də.

Birinci şərt: hər hansı bir şey ikinci qata ehtiyac duyurmu?

Körpüləmə öz mürəkkəbliyini o zaman haqq edir ki, protokol həqiqətən eyni yayım domeninə ehtiyac duysun: qeyri-IP trafik, routerdən keçə bilməyən kəşfiyyat və ya bir seqmentdə olmaqda israr edən tətbiq. Qalan hər şey marşrutlaşdırma məsələsidir və marşrutlaşdırma bunu daha az mexanizmlə həll edir. Seqmenti geniş əraziyə uzatmaq onun yayımlarını da uzadır, buna görə döngünün qarşısının alınması, ünvan planlaması və nasazlıq domenləri dizaynın hissəsinə çevrilir. Tək bir marşrutun ödəyəcəyi tələb üçün bu, qəbul etmək üçün çox şeydir.

Test konkretdir: marşrutlaşdırılmış tuneldə uğursuz olan tətbiqi adlandırın və səbəbini deyin. Cavab yayıma ehtiyac olduğudursa, ikinci qat dürüst cavabdır. Cavab kiminsə bir serverə çata bilmədiyidirsə, tələb marşrut və ya firewall qaydasıdır.

İkinci şərt: müştərilər bunu bacarırlarmı?

Dəstək vahid deyil. Masaüstü müştərilər adətən hər iki cihaz tipini təqdim edir, mobil və quraşdırılmış müştərilər isə çox vaxt yalnız marşrutlaşdırılmış rejimi tətbiq edir, və şikayətsiz idxal olunan profil interfeysi yaratmağa çalışanda yenə də uğursuz ola bilər. Xüsusiyyətləri platformanın adından çıxarmaq əvəzinə konkret müştərini və versiyanı yoxlayın.

Dəstəklənməyən seçim xətası, idxal uğurlu olana qədər tanımadığınız sətirləri silmək üçün dəvət deyil. Bu, profil ilə müştərinin nəyin mümkün olduğu barədə razılaşmadığını bildirir və düzəliş profili verən operatorun işidir. Validatoru susdurmaq üçün seçimi silmək, işlədiyi görünən, amma mövcud olma səbəbini sakitcə buraxan bir bağlantı yarada bilər.

Üçüncü şərt: bu həqiqətən interfeys məsələsidirmi?

İnterfeys problemlərində iki qonşu seçim günahlandırılır. Virtual cihaz tunelə nəyin girdiyini müəyyən edir, UDP və ya TCP isə xarici nəqliyyatın necə davrandığını müəyyən edir, və heç biri dayanan ötürmələri sağaltmır. Böyük ötürmələr asılı qalıb kiçiklər uğur qazananda, diqqəti paket ölçüsü və MTU haqq edir.

Qoşulan və sonra bir daxili hosta çata bilməyən müştəri adətən marşrutlaşdırmaya, firewall qaydasına və ya çatışmayan geri yola baxır.

İdarə olunan xidmətdə operatorun profilinin təyin etdiyi interfeys quruluşundan istifadə edin, çünki server tərəfi artıq ona uyğun qurulub. Şəxsi yerləşdirmədə tətbiqin real tələbindən seçin və səbəbi seçimin yanına yazın.

Sual hansı seçimin daha güclü olduğu deyil. Sual trafikin həqiqətən hansına ehtiyac duyduğudur.