TAP без моста: віртуальны сегмент з маршрутызаваным верхнім каналам

TAP перадае кадры Ethernet аперацыйнай сістэме, што з’яўляецца большай магчымасцю, чым патрабуюць большасць праектаў аддаленага доступу, і меншай, чым мост. Ядро можа адрасаваць яго, маршрутызаваць праз яго і абараняць яго міжсеткавым экранам, не далучаючы яго да якога-небудзь фізічнага сегмента. Гэтую схему варта зразумець спачатку: ізаляваны віртуальны сегмент Ethernet, сервер якога дзейнічае як маршрутызатар у бок рэальнай лакальнай сеткі. Ён дае паводзіны другога ўзроўню ўнутры тунэля і звычайную перадачу IP звонку, а гэта два розныя абяцанні. Астатняе тут — гэта зборка, маршрут, зваротны шлях і адкат.

Пабудуйце ізаляваны сегмент

У Linux інтэрфейс патрабуе трох каманд: створыце яго, падніміце яго, дайце яму адрас унутры сегмента, які вы маеце на ўвазе. Выберыце прэфікс, які не супадае з лакальнай сеткай офіса, і запішыце яго, бо супадзенне незаўважнае, пакуль не адкажа хост, якога не павінна існаваць.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Нішто тут не патрабуе моста, і нішто не перашкаджае дадаць яго пазней. Дакументацыя ядра па TUN/TAP апісвае сам інтэрфейс; членства ў мосце і палітыка перасылкі — гэта асобныя рашэнні, якія вы прымаеце пасля.

Пракладзіце маршрут праз мяжу

Уключыце перасылку, дазвольце два прэфіксы ў ланцугу перасылкі і дадайце маршрут да прэфікса офіса з маршрутызатарам лакальнай сеткі як наступным пераходам. Бок VPN тады адпраўляе трафік, накіраваны ў офіс, на сервер як на свой шлюз, а сервер перасылае гэтыя пакеты сам, а не як мост. Інтэрфейс TAP з адключанай перасылкай — гэта сегмент, які адказвае лакальна і не дасягае нічога за сабой, што з’яўляецца звычайным паўгатовым станам. Пасля праверце лічыльнікі інтэрфейса з абодвух бакоў, бо расце лічыльнік прыёму пры нязменным лічыльніку адпраўкі на баку лакальнай сеткі азначае скід у ланцугу перасылкі, а не дрэнны маршрут.

Запішыце маршрут і правіла міжсеткавага экрана як адну змену, бо кожнае з іх асобна стварае стан, які з боку кліента выглядае як збой маршрутызацыі.

Вызначце зваротны шлях

Альбо маршрутызатар лакальнай сеткі вывучае маршрут назад да прэфікса VPN, альбо сервер транслюе адрасы крыніцы на выхадзе. Трансляцыя робіць зваротны шлях простым і знішчае ідэнтычнасць крыніцы, таму журналы прызначэння будуць паказваць адрас сервера для кожнага кліента за ім. Маршрутызаваны прэфікс захоўвае ідэнтычнасць і патрабуе змены на абсталяванні, якім вы, магчыма, не кіруеце.

Выбірайце свядома, а не па тым, што хутчэй набраць. Адзін маршрутызаваны прэфікс звычайна чысцейшы за трансляцыю, а трансляцыя звычайна лепшая за навучанне некіруемага маршрутызатара новаму прэфіксу дзеля адной лабараторыі.

Трымайце ахоп шырокавяшчання свядомым

Унутры віртуальнага сегмента DHCP, выяўленне і абвяшчэнне суседзяў паводзяць сябе як на камутатары, бо гэта адно звяно. За маршрутызаванай мяжой яны так не робяць, таму DHCP офіса і выяўленне службаў патрабуюць яўнага дызайну, а не здагадкі, што TAP іх прадугледжвае. Тып інтэрфейса не з’яўляецца рэтранслятарам для службаў, якія знаходзяцца ў іншым месцы.

Гэта сумленная прычына выбраць TAP наогул: нешта ў віртуальным сегменце патрабуе лакальных паводзін звяна. Калі нішто не патрабуе, прылада TUN з маршрутызаваным прэфіксам меншая, і менш трэба тлумачыць, калі яна зламаецца.

Праверце, затым запішыце адкат

З кліента VPN прапінгуйце маршрутызатар лакальнай сеткі, прапінгуйце хост і адкрыйце адну службу, якая мае значэнне, праз TCP. Затым праверце лічыльнікі і ланцуг перасылкі, бо скід палітыкі здалёк выглядае сапраўды як адсутны маршрут. Адкат — гэта адваротны бок зборкі, і ён належыць у запіс змен да пачатку: выдаліце маршрут, выдаліце адрас, выдаліце інтэрфейс.

Калі патрабаванне сапраўды ў адным сегменце Ethernet, што ахоплівае два сайты, мост — гэта сумленны адказ і іншы дызайн з іншым радыусам уздзеяння. Калі патрабаванне — дасягальнасць, ізаляваны сегмент з маршрутызаваным верхнім каналам спраўляецца з меншымі тлумачэннямі пазней.