TAP χωρίς γέφυρα: ένα εικονικό τμήμα με δρομολογημένο uplink

Το TAP παραδίδει πλαίσια Ethernet στο λειτουργικό σύστημα, που είναι περισσότερη ικανότητα από όση χρειάζονται τα περισσότερα σχέδια απομακρυσμένης πρόσβασης και λιγότερη από μια γέφυρα. Ο πυρήνας μπορεί να του δώσει διεύθυνση, να δρομολογήσει μέσα από αυτό και να το προστατεύσει με τείχος προστασίας χωρίς να το ενώσει με οποιοδήποτε φυσικό τμήμα. Αξίζει να κατανοήσουμε πρώτα αυτή τη διάταξη: ένα απομονωμένο εικονικό τμήμα Ethernet του οποίου ο διακομιστής ενεργεί ως δρομολογητής προς ένα πραγματικό LAN. Δίνει συμπεριφορά δεύτερου επιπέδου μέσα στο τούνελ και συνηθισμένη προώθηση IP έξω από αυτό, που είναι δύο διαφορετικές υποσχέσεις. Το υπόλοιπο είναι η κατασκευή, η διαδρομή, η διαδρομή επιστροφής και η επαναφορά.

Κατασκευάστε το απομονωμένο τμήμα

Στο Linux η διεπαφή δέχεται τρεις εντολές: δημιουργήστε την, ανεβάστε την, δώστε της μια διεύθυνση μέσα στο τμήμα που σκοπεύετε. Διαλέξτε ένα πρόθεμα που δεν συγκρούεται με το LAN του γραφείου και σημειώστε το, γιατί η σύγκρουση είναι αόρατη μέχρι να απαντήσει ένας κεντρικός υπολογιστής που δεν θα έπρεπε να υπάρχει.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Τίποτα εδώ δεν απαιτεί γέφυρα, και τίποτα δεν εμποδίζει να προσθέσετε μία αργότερα. Η τεκμηρίωση του πυρήνα για το TUN/TAP περιγράφει την ίδια τη διεπαφή· η συμμετοχή στη γέφυρα και η πολιτική προώθησης είναι χωριστές αποφάσεις που παίρνετε μετά.

Δρομολογήστε πέρα από τα σύνορα

Ενεργοποιήστε την προώθηση, επιτρέψτε τα δύο προθέματα στην αλυσίδα προώθησης, και προσθέστε μια διαδρομή προς το πρόθεμα του γραφείου με τον δρομολογητή του LAN ως επόμενο άλμα. Η πλευρά VPN στέλνει τότε την κίνηση προς το γραφείο στον διακομιστή ως πύλη της, και ο διακομιστής προωθεί αυτά τα πακέτα ως ο ίδιος, όχι ως γέφυρα. Μια διεπαφή TAP με απενεργοποιημένη προώθηση είναι ένα τμήμα που απαντά τοπικά και δεν φτάνει τίποτα πέρα από αυτό, που είναι η συνηθισμένη μισοτελειωμένη κατάσταση. Ελέγξτε τους μετρητές της διεπαφής και στις δύο πλευρές μετά, γιατί ένας ανερχόμενος μετρητής λήψης με σταθερό μετρητή αποστολής στην πλευρά του LAN σημαίνει πτώση στην αλυσίδα προώθησης, όχι κακή διαδρομή.

Γράψτε τη διαδρομή και τον κανόνα του τείχους προστασίας ως μία αλλαγή, γιατί το καθένα μόνο του παράγει μια κατάσταση που από την πλευρά του πελάτη μοιάζει με αποτυχία δρομολόγησης.

Αποφασίστε τη διαδρομή επιστροφής

Ή ο δρομολογητής του LAN μαθαίνει μια διαδρομή πίσω προς το πρόθεμα VPN, ή ο διακομιστής μεταφράζει τις διευθύνσεις πηγής στην έξοδο. Η μετάφραση κάνει τη διαδρομή επιστροφής ασήμαντη και καταστρέφει την ταυτότητα της πηγής, οπότε τα αρχεία καταγραφής προορισμού θα δείχνουν τη διεύθυνση του διακομιστή για κάθε πελάτη πίσω του. Ένα δρομολογημένο πρόθεμα διατηρεί την ταυτότητα και απαιτεί αλλαγή σε εξοπλισμό που ίσως δεν διαχειρίζεστε.

Διαλέξτε σκόπιμα και όχι με βάση το τι είναι πιο γρήγορο να πληκτρολογήσετε. Ένα μόνο δρομολογημένο πρόθεμα είναι συνήθως καθαρότερο από τη μετάφραση, και η μετάφραση είναι συνήθως καλύτερη από το να μάθει ένας μη διαχειριζόμενος δρομολογητής νέο πρόθεμα για ένα μόνο εργαστήριο.

Κρατήστε το εύρος εκπομπής σκόπιμο

Μέσα στο εικονικό τμήμα, το DHCP, η ανακάλυψη και η αναγγελία γειτόνων συμπεριφέρονται όπως σε ένα μεταγωγέα, γιατί είναι ένας σύνδεσμος. Πέρα από τα δρομολογημένα σύνορα δεν το κάνουν, γι’ αυτό το DHCP του γραφείου και η ανακάλυψη υπηρεσιών χρειάζονται ρητό σχεδιασμό και όχι την υπόθεση ότι το TAP τα συνεπάγεται. Ο τύπος της διεπαφής δεν είναι αναμεταδότης για υπηρεσίες που ζουν αλλού.

Αυτός είναι ο ειλικρινής λόγος να διαλέξετε καθόλου TAP: κάτι στο εικονικό τμήμα χρειάζεται συμπεριφορά τοπική ως προς τον σύνδεσμο. Αν τίποτα δεν το χρειάζεται, μια συσκευή TUN με δρομολογημένο πρόθεμα είναι μικρότερη, και υπάρχουν λιγότερα να εξηγήσεις όταν χαλάσει.

Επαληθεύστε και μετά γράψτε την επαναφορά

Από έναν πελάτη VPN, κάντε ping στον δρομολογητή του LAN, κάντε ping σε έναν κεντρικό υπολογιστή, και ανοίξτε μια υπηρεσία που έχει σημασία πάνω από TCP. Μετά ελέγξτε τους μετρητές και την αλυσίδα προώθησης, γιατί μια πτώση πολιτικής από απόσταση μοιάζει ακριβώς με διαδρομή που λείπει. Η επαναφορά είναι το αντίστροφο της κατασκευής και ανήκει στο αρχείο αλλαγών πριν ξεκινήσετε: αφαιρέστε τη διαδρομή, αφαιρέστε τη διεύθυνση, διαγράψτε τη διεπαφή.

Αν η απαίτηση είναι πραγματικά ένα τμήμα Ethernet που εκτείνεται σε δύο τοποθεσίες, η γέφυρα είναι η ειλικρινής απάντηση και ένα διαφορετικό σχέδιο με διαφορετική ακτίνα επιπτώσεων. Αν η απαίτηση είναι προσβασιμότητα, το απομονωμένο τμήμα με δρομολογημένο uplink κάνει τη δουλειά με λιγότερα να εξηγήσεις αργότερα.