Ένας διακομιστής TAP ή πολλοί; Πελάτες OpenVPN σε γέφυρα

Πολλοί πελάτες TAP δεν απαιτούν μία διεργασία διακομιστή, μία θύρα UDP και μία συσκευή TAP στον κεντρικό υπολογιστή για τον καθένα. Ένας OpenVPN διακομιστής σε λειτουργία Ethernet μπορεί να δεχτεί πολλούς πιστοποιημένους πελάτες και να τους συνδέσει σε μία μόνο γέφυρα, και αυτός είναι ο τεκμηριωμένος τρόπος επέκτασης ενός τμήματος επιπέδου 2. Ο σχεδιασμός με μία διεργασία είναι αυτός που τεκμηριώνει το εγχειρίδιο και συνήθως είναι η σωστή προεπιλογή.

Το πραγματικό ερώτημα είναι αν αυτοί οι πελάτες πρέπει να μοιράζονται αυτό το τμήμα. Ο αριθμός των διεργασιών δεν το απαντά, γιατί οι ιδιότητες απομόνωσης προέρχονται από την τοπολογία και όχι από το πόσοι δαίμονες εκτελούνται. Το υπόλοιπο της σύγκρισης αφορά τις δύο τοπολογίες και το τι διευκολύνει η καθεμία.

Δύο αρχιτεκτονικές, όχι δύο ρυθμίσεις

Μια δρομολογημένη ανάπτυξη TUN δίνει σε κάθε πελάτη μια ζεύξη σημείου-προς-σημείο στο πεδίο δρομολόγησης του διακομιστή. Οι εκπομπές σταματούν στον διακομιστή, οι πελάτες δεν βλέπουν τα πλαίσια ο ένας του άλλου, και η κίνηση μεταξύ πελατών, αν υπάρχει, πρέπει να δρομολογείται και να φιλτράρεται ρητά.

Μια γεφυρωμένη ανάπτυξη TAP κάνει τους πελάτες μέλη ενός τμήματος Ethernet. Βλέπουν τις εκπομπές, μπορούν να εντοπίσουν ο ένας τον άλλο με ARP, και για να μένουν χωριστά βασίζονται στην πολιτική της γέφυρας και του τείχους προστασίας και όχι στη δρομολόγηση. Αυτό είναι χρήσιμο όταν οι πελάτες πρέπει να εμφανίζονται σαν να είναι συνδεδεμένοι στο ίδιο μεταγωγέα.

Η σύγκριση λοιπόν αφορά το τι πρέπει να προσεγγίσουν οι πελάτες, όχι την απόδοση. Επιλέξτε πρώτα το επίπεδο και μετά αποφασίστε πόσες διεργασίες το εξυπηρετούν.

Τι κάνει το βοήθημα server-bridge

Το βοήθημα server-bridge ρυθμίζει τη λειτουργία Ethernet για πολλούς πελάτες. Η μορφή του με δεξαμενή διευθύνσεων δέχεται την πύλη, τη μάσκα δικτύου και ένα αποκλειστικό εύρος μέσα στο γεφυρωμένο υποδίκτυο, για παράδειγμα πύλη στο 192.168.50.1 με δεξαμενή από 192.168.50.160 έως 192.168.50.199.

Κρατήστε αυτό το εύρος έξω από οποιαδήποτε άλλη εκχώρηση DHCP ή στατική. Το βοήθημα διαθέτει διευθύνσεις από αυτό, αλλά δεν συντονίζεται με άλλον διανομέα στο ίδιο τμήμα, και δύο δεξαμενές που επικαλύπτονται παράγουν διπλές διευθύνσεις που μοιάζουν με τυχαίες αποτυχίες συνδεσιμότητας. Γράψτε το δεσμευμένο εύρος στο σχέδιο διευθύνσεων της εγκατάστασης ώστε ο επόμενος να μην το ξαναχρησιμοποιήσει. Ένα σχόλιο στη διαμόρφωση του διακομιστή είναι φτωχό υποκατάστατο αυτής της καταγραφής.

Υπάρχει μορφή με μεσολαβητή DHCP για αναπτύξεις όπου εξωτερικός διακομιστής δίνει διευθύνσεις. Έχει τις δικές της προϋποθέσεις, και η ανάμειξη των δύο μορφών παράγει ακριβώς τη σύγκρουση για την οποία προειδοποιεί η τεκμηρίωση. Επιλέξτε έναν διανομέα για το γεφυρωμένο υποδίκτυο.

Η απομόνωση δεν προέρχεται από τον αριθμό διεργασιών

Οκτώ διεργασίες OpenVPN συνδεδεμένες στην ίδια ανεμπόδιστη γέφυρα εξακολουθούν να μοιράζονται ένα πεδίο εκπομπής. Οι πελάτες μπορούν να στέλνουν ARP ο ένας στον άλλο μέσω της γέφυρας, και ο αριθμός των ακροατών δεν άλλαξε τίποτα σε αυτό.

Αν η απαίτηση είναι ομάδες πελατών να μη βλέπουν η μία την άλλη στο επίπεδο 2, ο σχεδιασμός χρειάζεται ξεχωριστές γέφυρες ή συνδέσεις VLAN μαζί με τους κανόνες πρόσβασης που τις συνοδεύουν. Είναι απόφαση σχεδιασμού δικτύου, και είναι η ίδια είτε εμπλέκεται μία διεργασία διακομιστή είτε οκτώ. Το φιλτράρισμα της γέφυρας μπορεί να περιορίσει μέρος της κίνησης, αλλά δεν δημιουργεί ξεχωριστά πεδία εκπομπής. Θεωρήστε το συμπλήρωμα της κατάτμησης, όχι αντικατάστασή της.

Αν η απαίτηση είναι μόνο οι πελάτες να φτάνουν σε ορισμένες υπηρεσίες IP, ο δρομολογημένος σχεδιασμός TUN είναι συνήθως απλούστερος από τη γεφύρωση με φιλτράρισμα. Κάθε πελάτης παίρνει τη δική του ζεύξη, και η πολιτική ζει στους κανόνες δρομολόγησης και τείχους προστασίας αντί στα ενδότερα της γέφυρας.

Πότε πολλές διεργασίες είναι ακόμη σωστές

Οι ξεχωριστές διεργασίες μπορούν να δικαιολογηθούν από λειτουργικές ανάγκες: διαφορετικά συστήματα πιστοποίησης, διαφορετικές αρχές πιστοποιητικών, ξεχωριστοί κύκλοι αναβάθμισης ή ασύμβατα σύνολα επιλογών. Αυτοί είναι πραγματικοί λόγοι και είναι ανεξάρτητοι από τον αριθμό πελατών.

Αν χρησιμοποιείτε πολλές, δώστε στην καθεμία τον δικό της ακροατή και την κυριότητα της συσκευής και συντονίστε τα εύρη διευθύνσεων. Δύο διακομιστές που και οι δύο πιστεύουν ότι κατέχουν την ίδια δεξαμενή στην ίδια γέφυρα θα δώσουν τελικά την ίδια διεύθυνση.

Έπειτα επαληθεύστε τον σχεδιασμό με πολλούς πελάτες ταυτόχρονα. Ελέγξτε ότι οι διευθύνσεις είναι μοναδικές, ότι η επιδιωκόμενη κίνηση μεταξύ πελατών λειτουργεί, και ότι ένα ζεύγος που δεν πρέπει να επικοινωνεί δεν μπορεί. Ένα επιτυχές ping ενός πελάτη δεν δοκιμάζει τίποτα από τον σχεδιασμό για πολλούς πελάτες.

Διαβάστε τη γέφυρα και τη λειτουργία του διακομιστή από τον ενεργό υπολογιστή πριν εμπιστευτείτε το διάγραμμα. Η διαμόρφωση που μετράει είναι αυτή που φόρτωσαν πραγματικά ο πυρήνας και ο δαίμονας, και είναι επίσης αυτή που μπορεί να ελέγξει ένας κριτικός.