Unu TAP-servilo aŭ pluraj? OpenVPN-klientoj sur ponto

Pluraj TAP-klientoj ne bezonas po unu servilan procezon, unu UDP-pordon kaj unu gastigan TAP-aparaton por ĉiu. Unu OpenVPN-servilo en Ethernet-reĝimo povas akcepti multajn aŭtentikitajn klientojn kaj ligi ilin al unu sola ponto, kaj tio estas la dokumentita maniero etendi segmenton de tavolo 2. La unuproceza dezajno estas tiu, kiun dokumentas la manlibro, kaj ĝi kutime estas la ĝusta defaŭlto.

La vera demando estas, ĉu tiuj klientoj devus kunhavi tiun segmenton. La nombro de procezoj ne respondas ĝin, ĉar la izolaj ecoj venas el la topologio, ne el kiom da demonoj funkcias. La resto de tiu ĉi komparo temas pri la du topologioj kaj pri tio, kion ĉiu el ili faciligas.

Du arkitekturoj, ne du agordoj

Enkursigita TUN-dispono donas al ĉiu kliento punkt-al-punktan ligilon en la enkursigan domajnon de la servilo. Dissendoj haltas ĉe la servilo, klientoj ne povas vidi la kadrojn de la aliaj, kaj trafiko inter klientoj, se ekzistas, devas esti eksplicite enkursigita kaj filtrita.

Pontigita TAP-dispono faras la klientojn membroj de unu Ethernet-segmento. Ili vidas dissendojn, povas solvi unu la alian per ARP, kaj dependas de ponto- kaj fajroŝirma politiko anstataŭ de enkursigado por resti apartaj. Tio utilas kiam la klientoj devas aspekti kvazaŭ ili estus enŝovitaj en la saman ŝaltilon.

La komparo do temas pri tio, kion la klientoj devas atingi, ne pri rendimento. Unue elektu la tavolon, poste decidu kiom da procezoj servas ĝin.

Kion faras la helpilo server-bridge

La helpilo server-bridge agordas la plurklientan Ethernet-reĝimon. Ĝia formo kun adresaro prenas la enirejon, la retmaskon kaj dediĉitan intervalon ene de la pontigita subreto, ekzemple enirejo ĉe 192.168.50.1 kun adresaro de 192.168.50.160 ĝis 192.168.50.199.

Rezervu tiun intervalon ekster ĉiu alia DHCP aŭ statika atribuo. La helpilo disdonas adresojn el ĝi, sed ĝi ne kunordiĝas kun alia disdonanto en la sama segmento, kaj du interkovraj adresaroj produktas duoblajn adresojn, kiuj aspektas kiel hazardaj konektaj fiaskoj. Skribu la rezervitan intervalon en la adresplanon de la ejo, por ke la sekva persono ne reuzu ĝin. Komento en la servila agordo estas malforta anstataŭo por tiu registro.

Ekzistas formo kun DHCP-prokurilo por disponoj, kie ekstera servilo disdonas adresojn. Ĝi havas proprajn antaŭkondiĉojn, kaj miksado de la du formoj produktas ĝuste la konflikton, pri kiu la dokumentaro avertas. Elektu unu disdonanton por la pontigita subreto.

Izolado ne venas de la nombro de procezoj

Ok OpenVPN-procezoj ligitaj al la sama senlima ponto ankoraŭ kunhavas unu dissendan domajnon. Klientoj povas ARP-i unu la alian trans la ponto, kaj la nombro de aŭskultantoj tion tute ne ŝanĝis.

Se la postulo estas, ke grupoj de klientoj ne vidu unu la alian ĉe tavolo 2, la dezajno bezonas apartajn pontojn aŭ VLAN-aldonaĵojn kun la aliraj reguloj, kiuj iris kun ili. Tio estas decido pri reta dezajno, kaj ĝi estas la sama decido, ĉu temas pri unu servila procezo aŭ ok. Ponta filtrado povas limigi iom da trafiko, sed ĝi ne kreas apartajn dissendajn domajnojn. Konsideru ĝin kiel aldonon al segmentado, ne kiel ĝian anstataŭon.

Se la postulo estas nur, ke klientoj atingas certajn IP-servojn, enkursigita TUN-dezajno kutime pli simplas ol pontigado kun filtrado. Ĉiu kliento ricevas sian propran ligilon, kaj la politiko loĝas en enkursigaj kaj fajroŝirmaj reguloj anstataŭ interne de la ponto.

Kiam pluraj procezoj tamen pravas

Apartaj procezoj povas esti pravigitaj per operaciaj bezonoj: malsamaj aŭtentikigaj serviloj, malsamaj atestilaj aŭtoritatoj, apartaj ĝisdatigaj cikloj aŭ neakordigeblaj opciaroj. Tiuj estas realaj kialoj, kaj ili sendependas de la nombro de klientoj.

Se vi uzas plurajn, donu al ĉiu propran aŭskultanton kaj aparatan posedon, kaj kunordigu la adresintervalojn. Du serviloj, kiuj ambaŭ kredas posedi la saman adresaron sur la sama ponto, finfine disdonos la saman adreson.

Poste kontrolu la dezajnon per pluraj klientoj samtempe. Kontrolu, ke la adresoj estas unikaj, ke la celita trafiko inter klientoj funkcias, kaj ke paro, kiu ne rajtas komuniki, ne povas. Sukcesa ping de unu kliento provas nenion el la plurklienta dezajno.

Legu la ponton kaj la servilan reĝimon de la funkcianta gastiganto antaŭ ol fidi la diagramon. La agordo, kiu gravas, estas tiu, kiun la kerno kaj la demono efektive ŝargis, kaj ĝi ankaŭ estas tiu, kiun revizoro povas kontroli.