Pont TAP ynysig rhwng dau fwrdd dros OpenVPN

Mae angen i ddau fwrdd datblygu rannu un segment Ethernet tra bo eu meinciau mewn adeiladau gwahanol. Mae'r twnnel eisoes yn bodoli ac eisoes yn cario Ethernet, felly mae'r gwaith sy'n weddill yn edrych fel tri gorchymyn ac nid yw. Mae'r hyn y mae'r gwesteiwr yn ei wneud â ffrâm sydd wedi'i phontio, ble mae cyfeiriad y cyfrifiadur ei hun yn perthyn, a pha ffin nad yw'r bont yn ei chreu yn dri ffaith ar wahân, a chael yr ail un yn anghywir yw'r rheswm arferol pam mae labordy'n gweithio'n ysbeidiol ac yn ôl ei reolaeth yn dirywio'n dawel. Nid oes unrhyw un o'r tair ffaith hynny i'w gweld mewn diagram topoleg.

Mae'r llwybr isod yn tybio cysylltiad TAP dilys rhwng dau gyfrifiadur Linux, un porth gwifren pwrpasol i bob mainc, a rhyngwyneb rheoli nad yw'n rhan o'r arbrawf. Mae'r drefn yn bwysig: fframiau yn gyntaf, cyfeiriadau'n ail, y ffin yn olaf.

Yr hyn y mae'r bont yn ei symud mewn gwirionedd

Switsh a weithredir mewn meddalwedd yw pont. Mae'n dysgu pa gyfeiriad MAC sy'n ymddangos y tu ôl i ba borth aelod ac yn anfon fframiau rhwng aelodau heb ymgynghori â thabl llwybro IP. Nid oes unrhyw beth yn y disgrifiad hwnnw'n cynnwys is-rwydwaith, porth, na llwybr diofyn, a dyna pam nad yw galluogi anfon IP yn cynhyrchu'r cysylltiad hwn a pham y gall ping lwyddo tra bo traffig arall yn dal i fethu. Gall bwrdd gyrraedd ei gymar heb unrhyw lwybr diofyn wedi'i ffurfweddu o gwbl, sy'n synnu pobl sy'n disgwyl i haen dau ymddwyn fel haen tri.

Mae pob cyfrifiadur yn cyfrannu un porth gwifren i'r bont a'r ddyfais TAP i'r un bont, felly mae ffrâm o fwrdd yn mynd i mewn i'r porth lleol, yn cael ei hanfon i'r ddyfais TAP, yn croesi'r twnnel, yn cyrraedd dyfais TAP y cymar ac yn cael ei hanfon allan i fwrdd y cymar. Mae'r twnnel yn borth aelod fel unrhyw un arall, ac nid yw'r bont yn gwybod nac yn poeni bod VPN y tu ôl iddi. Y gymesuredd honno sy'n gwneud yr enghraifft yn hawdd i resymu amdani: mae gan bob ochr un porth sy'n wynebu'r labordy ac un porth twnnel, ac nid oes unrhyw ochr yn arbennig.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Mae'r enwau union yr un fath ar y ddau gyfrifiadur yn enwau lleol, nid yn wrthrychau a rennir. Mae un llwybr Ethernet rhwng y meinciau, heb ail gebl a heb ail dwnnel yn cau dolen; bydd pont sy'n gweld yr un MAC yn cyrraedd ar ddau borth yn hapus yn anfon mewn cylchoedd.

Cyfeiriwch y bont, nid ei phorthau aelod

Mae hunaniaeth y cyfrifiadur ar segment y labordy yn perthyn i ddyfais y bont. Mae porthau aelod yn aros heb rif, oherwydd aelod sy'n anfon yw porth a byddai cyfeiriad arno'n creu ail berchennog cystadleuol o'r un segment. Dyma'r cywiriad y mae'r rhan fwyaf o ryseitiau wedi'u gwneud â llaw yn ei gael yn anghywir: maent yn cyfeirio'r ddyfais TAP a'r bont, ac yna'n gofyn pa un y mae'r cymar yn ei gyrraedd mewn gwirionedd.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Mae'r cymar yn defnyddio'r un siâp ag ail gyfeiriad gwesteiwr, ac mae'r byrddau'n cymryd cyfeiriadau yn yr un ystod gyda chyfeiriad pont y cyfrifiadur fel eu cam nesaf os oes arnynt ei angen. Defnyddiwch ystodau dogfennaeth nes bod y cynllun wedi'i gytuno, a chadwch yr ystod yn ôl fel nad yw'n gwrthdaro ag unrhyw beth y mae'r swyddfa eisoes yn ei lwybro. Cyn rhedeg unrhyw ran o hyn, cadarnhewch nad oes gan y porthau aelod gyfeiriad dros ben, cleient DHCP na bod yn aelod o bont arall, a chysoni cyfeirio'r ddyfais TAP drwy beth bynnag sy'n berchen ar ffurfweddiad y twnnel fel nad yw'n adfer cyfeiriad yn ddiweddarach.

Pam un porth pwrpasol i bob mainc

Porth gwifren pwrpasol sy'n cadw'r arbrawf rhag dod yn newid ar draws y swyddfa. Mae'r rhyngwyneb rheoli'n cario SSH, y llwybr diofyn a'r cysylltiad VPN allanol, ac nid oes unrhyw beth o hynny'n perthyn i bont y mae ei phwrpas yn symud fframiau'r labordy.

Mae cysylltu addasydd rheoli yn gosod LAN y swyddfa un penderfyniad anfon i ffwrdd o fwrdd datblygu, a bwrdd sy'n camymddwyn ar haen dau yw'r union fath o ddyfais nad ydych am ei chael ar y segment hwnnw. Mae addasydd Wi-Fi yn waeth: nid yw pontio rhyngwyneb di-wifr mewn modd seilwaith yn ymddwyn fel pontio Ethernet, ac mae'r methiant yn ddryslyd yn hytrach nag yn lân.

Cadwch ystod y labordy allan o unrhyw gwmpas DHCP cynhyrchu. Os bydd ar y byrddau angen cyfeirio deinamig yn ddiweddarach, un dyrannwr awdurdodedig ag un pwll yw'r unig drefniant sy'n aros yn rhagweladwy; mae llwybryddion cyffredin dau safle yn ateb ar yr un segment yn cynhyrchu cyfeiriadau na all neb eu hesbonio.

Y ffin nad yw'r bont yn ei chreu

Nid llwybro yw pontio, ac nid yw chwaith yn ynysu. Gall fframiau sy'n croesi'r bont gyrraedd bachau hidlo'r gwesteiwr o hyd, yn dibynnu ar y llwybr bridge-netfilter a osodwyd, felly rhaid archwilio'r polisi effeithiol yn hytrach na'i dybio. Mae analluogi'r wal dân oherwydd bod un ffrâm wedi mynd ar goll yn cyfnewid nam penodol am un cyffredinol.

Dylai anfon IP rhwng y bont a phob rhyngwyneb rheoli neu uplink aros i ffwrdd neu gael ei wrthod yn benodol, ac mae hynny'n rheolaeth ar wahân i aelodaeth y bont. Mae bwrdd sy'n dewis cyfeiriad labordy'r cyfrifiadur fel ei borth yn profi'n union hyn: os yw tramwyfa rheoli'n llwyddo, nid oedd y ffin a fwriadwyd gennych yno erioed.

Mae dau deulu arall yn haeddu penderfyniad penodol. Nid yw'r cynllun cyfeiriadau'n gwneud y bont yn IPv4 yn unig, felly mae ar IPv6 ac EtherTypes eraill angen eu cynllun neu hidlydd eu hunain. Ac nid yw ping llwyddiannus yn dweud unrhyw beth am a fydd darllediadau darganfod y bwrdd, grwpiau multicast neu fframiau jumbo yn croesi'r llwybr, oherwydd dosbarthiadau traffig gwahanol â rhagosodiadau gwahanol yw'r rheini.

Yn olaf, mae cludiant a chyfrinachedd yn ddau brynad gwahanol. Mae TAP yn cario Ethernet; mae gwasanaeth OpenVPN yn darparu'r amddiffyniad o'i gwmpas. Mae troshaen VXLAN hefyd yn cario Ethernet ac nid yw'n darparu unrhyw gyfrinachedd ynddo'i hun, felly mae disodli'r naill am y llall yn newid priodoleddau diogelwch hyd yn oed pan fo'r diagram topoleg yn edrych yn union yr un fath.

Dyfalbarhad a'r profion sy'n ei brofi

Nid gorchymyn a deipiwyd unwaith ar ôl cysylltu yw ffurfweddiad. Gwnewch y bont, aelodaeth y porthau a'r un cyfeiriad gwesteiwr yn barhaus drwy reolwr rhwydwaith presennol y cyfrifiadur, a chysylltwch y cyplysiad ag ymddangosiad y ddyfais TAP fel nad yw ailgysylltu'n gadael pont ag aelod wedi diflannu.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Yna profwch yr hyn sydd ei angen ar y byrddau mewn gwirionedd yn y ddwy ffordd, ailgysylltwch y twnnel, ac ailgychwynnwch un cyfrifiadur o dan y cynllun adfer cymeradwy. Cadarnhewch dri pheth wedyn: mae mynediad rheoli'n dal i weithio'n annibynnol, nid yw cyfeiriad labordy dyblyg yn ymddangos, ac nid yw unrhyw ryngwyneb cynhyrchu annisgwyl wedi ymuno â'r bont. Y cyfuniad hwnnw yw'r prawf bod yr arbrawf wedi aros o fewn ei fainc.