OpenVPN TUN vs. TAP: drei Bedingungen entscheiden

Zwei Tunnel können dieselbe Dateiübertragung tragen und sich doch völlig darin unterscheiden, was sie auf die Leitung legen. Der eine bewegt IP-Pakete zwischen zwei Adressen; der andere bewegt Ethernet-Frames und lässt sich in ein Segment brücken. Dieser Unterschied entscheidet, welche Anwendungen funktionieren, welche Clients sich verbinden können und wie viel Netzwerkdesign du mit einkaufst.

Drei Bedingungen klären es in der Praxis. Arbeite sie der Reihe nach durch, denn die erste beendet die Diskussion meistens.

Was jede Schnittstelle tatsächlich trägt

Ein TUN-Gerät ist eine Punkt-zu-Punkt-Schnittstelle auf Layer 3: Der Kernel übergibt ihm IP-Pakete, und der Tunnel trägt sie zu einer Peer-Adresse. Ein TAP-Gerät ist eine Schnittstelle auf Layer 2, die Ethernet-Frames trägt, und genau das macht Brücken überhaupt erst möglich, wie die Kernel-Dokumentation beschreibt. Keines von beiden ändert, wie die Nutzlast verschlüsselt wird, und keines ist eine Stärkeeinstellung. Die Wahl betrifft das, was die Endpunkte austauschen müssen, nicht die Frage, wie gut der Verkehr geschützt ist.

Eine Konsequenz folgt sofort: Beide Enden müssen übereinstimmen. Ein Client, der für den einen Gerätetyp konfiguriert ist, kann keinem Server beitreten, der für den anderen konfiguriert ist, was auch immer sonst passt.

Bedingung eins: Braucht irgendetwas Layer zwei?

Brücken verdient seine Komplexität, wenn ein Protokoll wirklich dieselbe Broadcast-Domäne braucht: Nicht-IP-Verkehr, Erkennung, die einen Router nicht überqueren kann, oder eine Anwendung, die darauf besteht, in einem Segment zu liegen. Alles andere ist ein Routing-Problem, und Routing löst es mit deutlich weniger Maschinerie. Ein Segment über ein weites Gebiet zu erstrecken, erstreckt auch seine Broadcasts, sodass Schleifenvermeidung, Adressplanung und Fehlerdomänen Teil des Designs werden. Das ist viel, wenn eine einzige Route die Anforderung erfüllt hätte.

Der Test ist konkret: Nenne die Anwendung, die an einem gerouteten Tunnel scheitert, und sage warum. Lautet die Antwort, dass sie Broadcast braucht, ist Layer zwei die ehrliche Antwort. Lautet die Antwort, dass jemand einen Server nicht erreichen konnte, ist die Anforderung eine Route oder eine Firewall-Regel.

Bedingung zwei: Können es die Clients?

Die Unterstützung ist nicht einheitlich. Desktop-Clients bieten in der Regel beide Gerätetypen an, während mobile und eingebettete Clients oft nur den gerouteten Modus implementieren, und ein Profil, das ohne Beanstandung importiert wird, kann trotzdem scheitern, wenn es die Schnittstelle anlegen will. Prüfe den konkreten Client und die Version, statt den Funktionsumfang aus dem Plattformnamen abzuleiten.

Ein Fehler wegen einer nicht unterstützten Option ist keine Einladung, fremde Zeilen zu löschen, bis der Import gelingt. Er bedeutet, dass Profil und Client sich uneinig sind, was möglich ist, und die Reparatur gehört zum Betreiber, der das Profil ausgegeben hat. Eine Option zu entfernen, um einen Validator zum Schweigen zu bringen, kann eine Verbindung erzeugen, die zu funktionieren scheint und dabei still die Eigenschaft weglässt, für die sie da war.

Bedingung drei: Ist das wirklich eine Schnittstellenfrage?

Zwei benachbarte Entscheidungen werden für Schnittstellenprobleme verantwortlich gemacht. Das virtuelle Gerät entscheidet, was in den Tunnel gelangt, während UDP oder TCP entscheidet, wie sich der äußere Transport verhält, und keines von beiden heilt Übertragungen, die hängen bleiben. Wenn große Übertragungen hängen, während kleine gelingen, verdienen Paketgröße und MTU stattdessen die Aufmerksamkeit.

Ein Client, der sich verbindet und dann einen internen Host nicht erreicht, schaut meist auf Routing, eine Firewall-Regel oder einen fehlenden Rückweg.

Für einen verwalteten Dienst nutze die Schnittstellenanordnung, die das Profil des Betreibers vorgibt, denn die Serverseite ist bereits darum herum gebaut. Für eine private Bereitstellung wähle nach der echten Anforderung der Anwendung und schreibe den Grund neben die Wahl.

Die Frage ist nicht, welche Option stärker ist. Sie ist, welche davon der Verkehr tatsächlich braucht.