Jedan TAP server ili više? OpenVPN klijenti na mostu

Više TAP klijenata ne zahtijeva po jedan serverski proces, jedan UDP port i jedan TAP uređaj na hostu za svakog. Jedan OpenVPN server u Ethernet režimu može primiti mnogo autentificiranih klijenata i priključiti ih na jedan most, a to je dokumentovani način proširenja segmenta sloja 2. Dizajn s jednim procesom je onaj koji priručnik dokumentuje i obično je ispravan zadani izbor.

Pravo je pitanje treba li ti klijenti dijeliti taj segment. Broj procesa na to ne odgovara, jer svojstva izolacije dolaze iz topologije, a ne iz toga koliko demona radi. Ostatak ovog poređenja tiče se dviju topologija i onoga što svaka olakšava.

Dvije arhitekture, ne dvije postavke

Rutirano TUN postavljanje daje svakom klijentu tačku-na-tačku vezu u rutirajuću domenu servera. Broadcast se zaustavlja na serveru, klijenti ne mogu vidjeti okvire jedni drugih, a saobraćaj između klijenata, ako ga ima, mora se eksplicitno rutirati i filtrirati.

Premosno TAP postavljanje čini klijente članovima jednog Ethernet segmenta. Oni vide broadcast, mogu se međusobno razriješiti pomoću ARP-a i zavise od politike mosta i firewall-a, a ne od rutiranja, da bi ostali odvojeni. To je korisno kada klijenti moraju izgledati kao da su uključeni u isti switch.

Poređenje je zato o tome do čega klijenti moraju doći, a ne o performansama. Prvo odaberite sloj, pa odlučite koliko procesa ga opslužuje.

Šta radi pomoćnik server-bridge

Pomoćnik server-bridge konfiguriše Ethernet režim za više klijenata. Njegov oblik s bazenom adresa prima gateway, mrežnu masku i namjenski raspon unutar premosne podmreže, na primjer gateway 192.168.50.1 s bazenom od 192.168.50.160 do 192.168.50.199.

Rezervišite taj raspon izvan svake druge DHCP ili statičke dodjele. Pomoćnik dodjeljuje adrese iz njega, ali se ne usklađuje s drugim dodjeljivačem na istom segmentu, a dva bazena koja se preklapaju daju duplikate adresa koji izgledaju kao slučajni prekidi povezanosti. Upišite rezervisani raspon u adresni plan lokacije da ga sljedeća osoba ne iskoristi ponovo. Komentar u konfiguraciji servera loša je zamjena za takav zapis.

Postoji oblik s DHCP proxyjem za postavljanja u kojima adrese dijeli vanjski server. On ima svoje preduslove, a miješanje dvaju oblika stvara upravo sukob na koji dokumentacija upozorava. Odaberite jedan dodjeljivač za premosnu podmrežu.

Izolacija ne dolazi od broja procesa

Osam OpenVPN procesa priključenih na isti neograničeni most i dalje dijeli jednu broadcast domenu. Klijenti mogu slati ARP jedni drugima preko mosta, a broj slušatelja na tome nije ništa promijenio.

Ako je zahtjev da grupe klijenata ne vide jedna drugu na sloju 2, dizajnu trebaju odvojeni mostovi ili VLAN priključci uz pristupna pravila koja idu s njima. To je odluka o dizajnu mreže i ista je bez obzira na to sudjeluje li jedan serverski proces ili osam. Filtriranje mosta može ograničiti dio saobraćaja, ali ne stvara odvojene broadcast domene. Tretirajte ga kao dopunu segmentaciji, a ne kao njenu zamjenu.

Ako je zahtjev samo da klijenti dođu do određenih IP servisa, rutirani TUN dizajn obično je jednostavniji od premošćivanja s filtriranjem. Svaki klijent dobija svoju vezu, a politika živi u pravilima rutiranja i firewall-a umjesto u unutrašnjosti mosta.

Kada je više procesa ipak ispravno

Odvojeni procesi mogu se opravdati operativnim potrebama: različiti pozadinski sistemi autentifikacije, različita tijela za izdavanje certifikata, odvojeni ciklusi nadogradnje ili nekompatibilni skupovi opcija. To su stvarni razlozi i ne zavise od broja klijenata.

Ako ih koristite više, dajte svakome vlastiti slušatelj i vlasništvo nad uređajem te uskladite raspone adresa. Dva servera koja oba vjeruju da posjeduju isti bazen na istom mostu prije ili kasnije će dodijeliti istu adresu.

Zatim provjerite dizajn s više klijenata istovremeno. Provjerite da su adrese jedinstvene, da namjeravani saobraćaj između klijenata radi i da par koji ne smije komunicirati to ne može. Uspješan ping jednog klijenta ne provjerava ništa od dizajna za više klijenata.

Pročitajte most i režim servera s hosta koji radi prije nego što povjerujete dijagramu. Konfiguracija koja je važna jest ona koju su kernel i demon zaista učitali, a to je i ona koju recenzent može provjeriti.