TAP sense pont: un segment virtual amb un enllaç ascendent encaminat

TAP lliura les trames Ethernet al sistema operatiu, cosa que és més capacitat de la que necessiten la majoria de dissenys d’accés remot i menys que un pont. El nucli el pot adreçar, encaminar-hi trànsit i protegir-lo amb un tallafoc sense unir-lo a cap segment físic. Val la pena entendre primer aquesta disposició: un segment Ethernet virtual aïllat el servidor del qual actua com a encaminador cap a una LAN real. Dona comportament de segona capa dins del túnel i reenviament IP ordinari fora, que són dues promeses diferents. La resta és la construcció, la ruta, el camí de tornada i la reversió.

Construïu el segment aïllat

A Linux la interfície rep tres ordres: creeu-la, activeu-la i doneu-li una adreça dins del segment que voleu. Triï un prefix que no xoqui amb la LAN de l’oficina i anoteu-lo, perquè el xoc és invisible fins que respon un amfitrió que no hauria d’existir.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Res d’aquí no requereix un pont, i res no impedeix afegir-ne un més endavant. La documentació del nucli sobre TUN/TAP descriu la interfície mateixa; la pertinença al pont i la política de reenviament són decisions separades que preneu després.

Encamineu més enllà de la frontera

Activeu el reenviament, permeteu els dos prefixos a la cadena de reenviament i afegiu una ruta cap al prefix de l’oficina amb l’encaminador de la LAN com a salt següent. El costat VPN llavors envia el trànsit cap a l’oficina al servidor com a passarel·la, i el servidor reenvia aquests paquets com a si mateix, no com a pont. Una interfície TAP amb el reenviament desactivat és un segment que respon localment i no arriba enlloc més enllà, que és l’estat habitual a mig fer. Després comproveu els comptadors de la interfície als dos costats, perquè un comptador de recepció creixent amb un de transmissió pla al costat de la LAN significa una caiguda a la cadena de reenviament, no una ruta dolenta.

Escriviu la ruta i la regla del tallafoc com un sol canvi, perquè cadascuna per separat produeix un estat que des del costat del client sembla un error d’encaminament.

Decidiu el camí de tornada

O bé l’encaminador de la LAN aprèn una ruta de tornada cap al prefix VPN, o bé el servidor tradueix les adreces d’origen a la sortida. La traducció fa trivial el camí de tornada i destrueix la identitat de l’origen, així que els registres de destinació mostraran l’adreça del servidor per a cada client al darrere. Un prefix encaminat conserva la identitat i requereix un canvi en equipament que potser no gestioneu.

Trieu deliberadament i no segons què és més ràpid d’escriure. Un sol prefix encaminat sol ser més net que la traducció, i la traducció sol ser millor que ensenyar un prefix nou a un encaminador no gestionat per a un sol laboratori.

Mantingueu l’abast de difusió deliberat

Dins del segment virtual, DHCP, el descobriment i l’anunci de veïns es comporten com en un commutador, perquè és un sol enllaç. Més enllà de la frontera encaminada no ho fan, així que el DHCP de l’oficina i el descobriment de serveis necessiten un disseny explícit i no un supòsit que TAP els implica. El tipus d’interfície no és un repetidor per a serveis que viuen en un altre lloc.

Aquesta és la raó honesta de triar TAP: alguna cosa del segment virtual necessita comportament local a l’enllaç. Si res no ho necessita, un dispositiu TUN amb un prefix encaminat és més petit, i hi ha menys a explicar quan es trenca.

Verifiqueu i després escriviu la reversió

Des d’un client VPN, feu ping a l’encaminador de la LAN, feu ping a un amfitrió i obriu un servei que importi per TCP. Després comproveu els comptadors i la cadena de reenviament, perquè una caiguda per política de lluny sembla exactament una ruta absent. La reversió és el contrari de la construcció i pertany al registre de canvis abans de començar: traieu la ruta, traieu l’adreça, esborreu la interfície.

Si el requisit és realment un segment Ethernet que abasta dos llocs, un pont és la resposta honesta i un disseny diferent amb un radi d’impacte diferent. Si el requisit és l’abastabilitat, el segment aïllat amb un enllaç ascendent encaminat fa la feina amb menys explicacions després.