Un servidor TAP o diversos? Clients OpenVPN en un pont

Diversos clients TAP no requereixen un procés de servidor, un port UDP i un dispositiu TAP d’amfitrió per a cadascun. Un servidor OpenVPN en mode Ethernet pot admetre molts clients autenticats i adjuntar-los a un únic pont, i aquesta és la manera documentada d’estendre un segment de capa 2. El disseny d’un sol procés és el que documenta el manual i normalment és el valor per defecte correcte.

La veritable pregunta és si aquests clients haurien de compartir aquest segment. El nombre de processos no ho respon, perquè les propietats d’aïllament vénen de la topologia i no de quants dimonis s’executen. La resta d’aquesta comparació tracta de les dues topologies i del que cadascuna facilita.

Dues arquitectures, no dues opcions

Un desplegament TUN encaminat dona a cada client un enllaç punt a punt dins del domini d’encaminament del servidor. Les difusions s’aturen al servidor, els clients no veuen les trames dels altres i el trànsit entre clients, si n’hi ha, s’ha d’encaminar i filtrar explícitament.

Un desplegament TAP pontat fa que els clients siguin membres d’un sol segment Ethernet. Veuen les difusions, es poden resoldre entre ells amb ARP i depenen de la política del pont i del tallafoc en lloc de l’encaminament per mantenir-se separats. Això és útil quan els clients han d’aparèixer com si estiguessin connectats al mateix commutador.

La comparació tracta, doncs, d’allò a què els clients han d’arribar, no del rendiment. Trieu primer la capa i després decidiu quants processos la serveixen.

Què fa l’auxiliar server-bridge

L’auxiliar server-bridge configura el mode Ethernet per a diversos clients. La seva forma de pool d’adreces pren la porta d’enllaç, la màscara de xarxa i un rang dedicat dins de la subxarxa pontada, per exemple una porta d’enllaç a 192.168.50.1 amb un pool de 192.168.50.160 a 192.168.50.199.

Reserveu aquest rang fora de qualsevol altra assignació DHCP o estàtica. L’auxiliar assigna adreces d’aquest rang, però no es coordina amb un altre assignador al mateix segment, i dos pools que se superposen produeixen adreces duplicades que semblen fallades de connectivitat aleatòries. Escriviu el rang reservat al pla d’adreces del lloc perquè la propera persona no el reutilitzi. Un comentari a la configuració del servidor és un substitut pobre d’aquest registre.

Hi ha una forma amb servidor intermediari DHCP per a desplegaments en què un servidor extern reparteix adreces. Té els seus propis requisits previs, i barrejar les dues formes produeix exactament el conflicte que adverteix la documentació. Trieu un sol assignador per a la subxarxa pontada.

L’aïllament no ve del nombre de processos

Vuit processos OpenVPN connectats al mateix pont sense restriccions encara comparteixen un domini de difusió. Els clients poden fer ARP entre ells a través del pont, i el nombre d’oients no hi va canviar res.

Si el requisit és que grups de clients no es vegin entre ells a la capa 2, el disseny necessita ponts separats o connexions VLAN, amb les regles d’accés corresponents. És una decisió de disseny de xarxa i és la mateixa tant si hi ha un procés de servidor com vuit. El filtratge del pont pot restringir part del trànsit, però no crea dominis de difusió separats. Tracteu-lo com un complement de la segmentació, no com un substitut.

Si el requisit és només que els clients arribin a determinats serveis IP, un disseny TUN encaminat sol ser més simple que pontar amb filtratge. Cada client obté el seu propi enllaç, i la política viu en les regles d’encaminament i del tallafoc en lloc de l’interior del pont.

Quan diversos processos encara són correctes

Els processos separats es poden justificar per necessitats operatives: sistemes d’autenticació diferents, autoritats de certificació diferents, cicles d’actualització separats o conjunts d’opcions incompatibles. Són raons reals i són independents del nombre de clients.

Si n’useu diversos, doneu a cadascun el seu propi oient i la propietat del dispositiu, i coordineu els rangs d’adreces. Dos servidors que tots dos creuen posseir el mateix pool al mateix pont finalment repartiran la mateixa adreça.

Després verifiqueu el disseny amb diversos clients alhora. Comproveu que les adreces siguin úniques, que el trànsit previst entre clients funcioni i que una parella que no ha de comunicar-se no ho pugui fer. Un ping correcte d’un sol client no exercita res del disseny per a múltiples clients.

Llegiu el pont i el mode del servidor des de l’amfitrió en funcionament abans de confiar en el diagrama. La configuració que importa és la que el nucli i el dimoni han carregat realment, i és també la que un revisor pot comprovar.