Izolovaný TAP most mezi dvěma deskami přes OpenVPN

Dvě vývojové desky musí sdílet jeden ethernetový segment, zatímco jejich testovací stavy stojí v různých budovách. Tunel už existuje a už přenáší Ethernet, takže zbývající práce vypadá na tři příkazy a není. Co hostitel dělá s rámcem, který prošel mostem, kam patří vlastní adresa počítače a jakou hranici most nevytváří, jsou tři oddělená fakta, a chyba ve druhém z nich je obvyklým důvodem, proč laboratoř funguje přerušovaně a její správa tiše degraduje. Žádné z těchto tří faktů není na diagramu topologie vidět.

Následující postup předpokládá autentizované TAP spojení mezi dvěma počítači s Linuxem, jeden vyhrazený kabelový port na testovací stav a rozhraní pro správu, které není součástí experimentu. Pořadí je důležité: nejprve rámce, potom adresy, nakonec hranice.

Co most skutečně přenáší

Most je přepínač implementovaný v softwaru. Učí se, která MAC adresa se objevuje za kterým členským portem, a přeposílá rámce mezi členy, aniž by se ptal IP směrovací tabulky. Nic v tomto popisu nezahrnuje podsíť, bránu ani výchozí trasu, a proto zapnutí IP přeposílání toto připojení nevytvoří a proto ping může uspět, zatímco jiný provoz stále selhává. Deska se dostane ke svému protějšku úplně bez nakonfigurované výchozí trasy, což překvapuje lidi, kteří očekávají, že se druhá vrstva bude chovat jako třetí.

Každý počítač přidá do mostu jeden kabelový port a zařízení TAP do téhož mostu, takže rámec z desky vstoupí do místního portu, přepošle se na zařízení TAP, projde tunelem, dorazí na zařízení TAP protějšku a přepošle se ven na desku protějšku. Tunel je členský port jako každý jiný a most neví ani se nestará o to, že za ním sedí VPN. Právě tato symetrie dělá příklad snadno promýšlivým: každá strana má jeden port obrácený do laboratoře a jeden tunelový port a žádná strana není výjimečná.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Stejná jména na obou počítačích jsou místní jména, ne sdílené objekty. Mezi testovacími stavy vede jedna ethernetová cesta, bez druhého kabelu a bez druhého tunelu, který by uzavřel smyčku; most, který vidí stejnou MAC přicházet na dva porty, bude s chutí přeposílat v kruzích.

Adresujte most, ne jeho členské porty

Identita počítače v laboratorním segmentu patří zařízení mostu. Členské porty zůstávají bez adres, protože port je přeposílající člen a adresa na něm by vytvořila druhého, konkurenčního vlastníka téhož segmentu. To je oprava, kterou většina ručně psaných receptů dělá špatně: adresují zařízení TAP i most a pak se diví, ke kterému z nich protějšek skutečně dosáhne.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Protějšek používá stejný tvar s jinou adresou hostitele a desky berou adresy ve stejném rozsahu s adresou mostu počítače jako dalším skokem, pokud ho potřebují. Dokud není plán odsouhlasen, používejte dokumentační rozsahy a rozsah rezervujte, aby nekolidoval s ničím, co kancelář už směruje. Než cokoli z toho spustíte, ověřte, že členské porty nenesou zbytkovou adresu, DHCP klienta ani členství v jiném mostu, a adresování zařízení TAP slaďte přes to, co vlastní konfiguraci tunelu, aby adresu později neobnovilo.

Proč jeden vyhrazený port na testovací stav

Vyhrazený kabelový port je to, co brání tomu, aby se experiment stal změnou pro celou kancelář. Rozhraní pro správu nese SSH, výchozí trasu a vnější VPN spojení a nic z toho nepatří na most, jehož účelem je přenášet laboratorní rámce.

Připojení adaptéru pro správu staví kancelářskou LAN na jediné rozhodnutí o přeposílání od vývojové desky, a deska, která se na druhé vrstvě chová špatně, je přesně ten typ zařízení, který na tom segmentu nechcete. Adaptér Wi-Fi je horší: přemostění bezdrátového rozhraní v infrastrukturním režimu se nechová jako přemostění Ethernetu a selhání je matoucí, ne čisté.

Držte laboratorní rozsah mimo jakýkoli produkční rozsah DHCP. Pokud desky později budou potřebovat dynamické adresování, jediné uspořádání, které zůstane předvídatelné, je jeden autorizovaný přidělovač s jedním pullem; běžné routery dvou lokalit odpovídající ve stejném segmentu produkují adresy, které nikdo nedokáže vysvětlit.

Hranice, kterou most nevytváří

Přemostění není směrování a není ani izolace. Rámce, které projdou mostem, se stále mohou dostat k filtrovacím hákům hostitele, v závislosti na nainstalované cestě bridge-netfilter, takže efektivní politiku je třeba prohlédnout, ne předpokládat. Vypnutí firewallu proto, že se ztratil jeden rámec, mění konkrétní chybu za obecnou.

IP přeposílání mezi mostem a každým rozhraním pro správu nebo uplink má zůstat vypnuté nebo být výslovně zakázané, a to je samostatná kontrola od členství v mostu. Deska, která si vybere laboratorní adresu počítače jako svou bránu, testuje přesně toto: pokud tranzit správy uspěje, hranice, kterou jste zamýšleli, tam nikdy nebyla.

Ještě dvě rodiny si zaslouží výslovné rozhodnutí. Plán adresování nedělá most pouze IPv4, takže IPv6 a další EtherTypy potřebují vlastní plán nebo filtr. A úspěšný ping nic neříká o tom, zda objevovací broadcasty desky, multicastové skupiny nebo jumbo rámce cestu projdou, protože to jsou různé třídy provozu s různými výchozími hodnotami.

Konečně, přenos a důvěrnost jsou dva různé nákupy. TAP přenáší Ethernet; služba OpenVPN dodává ochranu kolem něj. VXLAN overlay také přenáší Ethernet a sám o sobě neposkytuje žádnou důvěrnost, takže nahrazení jednoho druhým mění bezpečnostní vlastnosti, i když diagram topologie vypadá stejně.

Trvalost a testy, které ji dokazují

Příkaz napsaný jednou po připojení není konfigurace. Zajistěte trvalost mostu, členství portů a jediné adresy hostitele přes stávajícího správce sítě počítače a připojení svažte s výskytem zařízení TAP, aby po opětovném připojení nezůstal most se zmizelým členem.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Potom otestujte, co desky v obou směrech skutečně potřebují, znovu připojte tunel a restartujte jeden počítač podle schváleného plánu obnovy. Následně potvrďte tři věci: přístup ke správě stále funguje nezávisle, neobjevuje se duplicitní laboratorní adresa a k mostu se nepřipojilo žádné nečekané produkční rozhraní. Právě tato kombinace je důkazem, že experiment zůstal uvnitř svého testovacího stavu.