Körpüsüz TAP: marşrutlaşdırılmış yuxarı kanalla virtual seqment

TAP Ethernet çərçivələrini əməliyyat sisteminə verir; bu, əksər uzaqdan giriş layihələrinin ehtiyac duyduğundan daha çox, körpüdən isə daha az imkandır. Nüvə onu ünvanlaya, ondan marşrut keçirə və heç bir fiziki seqmentə qoşmadan firewall ilə qoruya bilər. Bu quruluşu əvvəlcə anlamağa dəyər: serveri real LAN-a doğru marşrutlaşdırıcı kimi çıxış edən təcrid olunmuş virtual Ethernet seqmenti. O, tunelin içində ikinci qat davranışı, xaricində isə adi IP yönləndirməsi verir; bunlar iki fərqli vəddir. Bunun qalanı quruluş, marşrut, qayıdış yolu və geri çəkilmədir.

Təcrid olunmuş seqmenti qurun

Linuxda interfeys üç əmr alır: onu yaradın, qaldırın və nəzərdə tutduğunuz seqmentin içində ona ünvan verin. Ofis LAN-ı ilə toqquşmayan prefiks seçin və onu yazın, çünki toqquşma mövcud olmamalı olan bir host cavab verənə qədər görünməzdir.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Burada heç nə körpü tələb etmir və heç nə sonradan onun əlavə edilməsinə mane olmur. Nüvə TUN/TAP sənədləri interfeysin özünü təsvir edir; körpü üzvlüyü və yönləndirmə siyasəti sonradan verdiyiniz ayrı qərarlardır.

Sərhəddən marşrut keçirin

Yönləndirməni aktivləşdirin, yönləndirmə zəncirində iki prefiksə icazə verin və ofis prefiksinə doğru LAN marşrutlaşdırıcısını növbəti keçid kimi qoyan marşrut əlavə edin. VPN tərəfi sonra ofisə gedən trafiki serverə öz şlüzü kimi göndərir, server isə həmin paketləri körpü kimi deyil, özü kimi yönləndirir. Yönləndirmə söndürülmüş TAP interfeysi yerli cavab verən və ondan sonra heç nəyə çatmayan seqmentdir; bu, adi yarımçıq vəziyyətdir. Sonra hər iki tərəfdə interfeys sayğaclarını yoxlayın, çünki LAN tərəfində artan qəbul sayı sabit göndərmə sayı ilə birlikdə pis marşrut deyil, yönləndirmə zəncirində düşmə deməkdir.

Marşrutu və firewall qaydasını bir dəyişiklik kimi yazın, çünki hər biri tək başına müştəri tərəfindən marşrut xətası kimi görünən vəziyyət yaradır.

Qayıdış yolu barədə qərar verin

Ya LAN marşrutlaşdırıcısı VPN prefiksinə geri marşrut öyrənir, ya da server çıxış yolunda mənbə ünvanlarını tərcümə edir. Tərcümə qayıdış yolunu asanlaşdırır və mənbə kimliyini məhv edir, ona görə təyinat jurnalları arxasındakı hər müştəri üçün serverin ünvanını göstərəcək. Marşrutlaşdırılmış prefiks kimliyi saxlayır və idarə etmədiyiniz avadanlıqda dəyişiklik tələb edir.

Yazmaq üçün daha sürətli olana görə deyil, qəsdən seçin. Tək marşrutlaşdırılmış prefiks adətən tərcümədən təmizdir, tərcümə isə adətən bir laboratoriya üçün idarə olunmayan marşrutlaşdırıcıya yeni prefiks öyrətməkdən yaxşıdır.

Yayım əhatəsini qəsdən saxlayın

Virtual seqmentin içində DHCP, kəşf və qonşu elanı kommutatorda olduğu kimi davranır, çünki bu bir keçiddir. Marşrutlaşdırılmış sərhədin o tayında belə deyil, ona görə ofis DHCP-si və xidmət kəşfi TAP-ın onları nəzərdə tutduğu fərziyyəsinə deyil, açıq dizayna ehtiyac duyur. İnterfeys növü başqa yerdə yaşayan xidmətlər üçün ötürücü deyil.

TAP-ı ümumiyyətlə seçməyin dürüst səbəbi budur: virtual seqmentdə nəyəsə link-local davranış lazımdır. Heç nəyə lazım deyilsə, marşrutlaşdırılmış prefiksi olan TUN cihazı daha kiçikdir və pozulanda izah ediləcək daha az şey var.

Yoxlayın, sonra geri çəkilməni yazın

VPN müştərisindən LAN marşrutlaşdırıcısına ping edin, bir hosta ping edin və TCP üzərindən vacib olan bir xidməti açın. Sonra sayğacları və yönləndirmə zəncirini yoxlayın, çünki siyasət düşməsi uzaqdan tam olaraq itkin marşruta bənzəyir. Geri çəkilmə quruluşun tərsidir və başlamazdan əvvəl dəyişiklik qeydinə aiddir: marşrutu silin, ünvanı silin, interfeysi silin.

Tələb həqiqətən iki sahəni əhatə edən bir Ethernet seqmentidirsə, körpü dürüst cavabdır və fərqli təsir radiusu olan fərqli dizayndır. Tələb çatımlılıqdırsa, marşrutlaşdırılmış yuxarı kanalı olan təcrid olunmuş seqment işi sonra daha az izahatla görür.