Én TAP-server eller flere? OpenVPN-klienter på en bro

Flere TAP-klienter kræver ikke én serverproces, én UDP-port og én TAP-enhed på værten hver. Én OpenVPN-server i Ethernet-tilstand kan optage mange godkendte klienter og knytte dem til én bro, og det er den dokumenterede måde at udvide et lag-2-segment på. Designet med én proces er det, manualen dokumenterer, og det er normalt den rigtige standard.

Det egentlige spørgsmål er, om de klienter bør dele det segment. Antallet af processer besvarer det ikke, fordi isoleringsegenskaberne kommer fra topologien og ikke fra, hvor mange dæmoner der kører. Resten af denne sammenligning handler om de to topologier og om, hvad hver af dem gør let.

To arkitekturer, ikke to indstillinger

En routet TUN-udrulning giver hver klient en punkt-til-punkt-forbindelse ind i serverens routingdomæne. Broadcast stopper ved serveren, klienterne kan ikke se hinandens frames, og trafik mellem klienter, hvis der er nogen, skal routes og filtreres eksplicit.

En broet TAP-udrulning gør klienterne til medlemmer af ét Ethernet-segment. De ser broadcast, kan slå hinanden op med ARP og er afhængige af bro- og firewallpolitik i stedet for routing for at holde sig adskilt. Det er nyttigt, når klienterne skal fremstå, som om de var sat i den samme switch.

Sammenligningen handler derfor om, hvad klienterne skal nå, ikke om ydeevne. Vælg laget først, og beslut derefter, hvor mange processer der betjener det.

Hvad server-bridge-hjælperen gør

Hjælperen server-bridge konfigurerer Ethernet-tilstanden til flere klienter. Dens adressepuljeform tager gatewayen, netmasken og et dedikeret interval inde i det broede subnet, for eksempel en gateway på 192.168.50.1 med en pulje fra 192.168.50.160 til 192.168.50.199.

Reservér det interval uden for enhver anden DHCP- eller statisk tildeling. Hjælperen tildeler adresser fra det, men den koordinerer ikke med en anden tildeler på samme segment, og to puljer, der overlapper, giver dublerede adresser, som ligner tilfældige forbindelsesfejl. Skriv det reserverede interval ind i stedets adresseplan, så den næste person ikke genbruger det. En kommentar i serverkonfigurationen er en dårlig erstatning for den registrering.

Der findes en DHCP-proxyform til udrulninger, hvor en ekstern server udleverer adresser. Den har sine egne forudsætninger, og blanding af de to former giver præcis den konflikt, som dokumentationen advarer om. Vælg én tildeler til det broede subnet.

Isolering kommer ikke fra antallet af processer

Otte OpenVPN-processer knyttet til den samme ubegrænsede bro deler stadig ét broadcast-domæne. Klienterne kan sende ARP til hinanden over broen, og antallet af lyttere ændrede intet ved det.

Hvis kravet er, at grupper af klienter ikke må se hinanden på lag 2, har designet brug for separate broer eller VLAN-tilslutninger sammen med de adgangsregler, der hører til. Det er en beslutning om netværksdesign, og det er den samme beslutning, uanset om én serverproces eller otte er involveret. Brofiltrering kan begrænse noget trafik, men den skaber ikke separate broadcast-domæner. Behandl det som et supplement til segmentering, ikke en erstatning for den.

Hvis kravet kun er, at klienter når visse IP-tjenester, er et routet TUN-design normalt enklere end bro plus filtrering. Hver klient får sin egen forbindelse, og politikken ligger i routing- og firewallregler i stedet for inde i broen.

Hvornår flere processer stadig er rigtigt

Separate processer kan begrundes med driftsbehov: forskellige godkendelsesbackends, forskellige certifikatmyndigheder, separate opgraderingscyklusser eller inkompatible valgsæt. Det er reelle grunde, og de er uafhængige af antallet af klienter.

Hvis du bruger flere, giv hver sin lytter og enhedsejerskab, og koordinér adresseintervallerne. To servere, der begge tror, de ejer den samme pulje på den samme bro, vil før eller siden udlevere den samme adresse.

Bekræft derefter designet med flere klienter på én gang. Kontrollér, at adresserne er unikke, at den tilsigtede trafik mellem klienter virker, og at et par, der ikke må kommunikere, ikke kan. Et vellykket ping fra én klient afprøver intet af designet til flere klienter.

Læs broen og servertilstanden fra den kørende vært, før du stoler på diagrammet. Den konfiguration, der betyder noget, er den, som kernen og dæmonen faktisk har indlæst, og det er også den, en anmelder kan kontrollere.