TAP sen ponto: virtuala segmento kun enkursigita suprenligo

TAP transdonas Ethernet-kadrojn al la operaciumo, kio estas pli da kapablo ol plej multaj foraĵ-aliraj dezajnoj bezonas kaj malpli ol ponto. La kerno povas adresiĝi al ĝi, enkursigi tra ĝi kaj protekti ĝin per fajroŝirmilo sen kunigi ĝin al fizika segmento. Tiu aranĝo indas esti komprenata unue: izolita virtuala Ethernet-segmento, kies servilo agas kiel enkursigilo al reala loka reto. Ĝi donas konduton de la dua tavolo ene de la tunelo kaj ordinaran IP-plusendadon ekstere, kiuj estas du malsamaj promesoj. La resto estas la konstruo, la itinero, la revena vojo kaj la retroigo.

Konstruu la izolitan segmenton

En Linux la interfaco prenas tri komandojn: kreu ĝin, levu ĝin, donu al ĝi adreson ene de la segmento, kiun vi intencas. Elektu prefikson, kiu ne kolizias kun la oficeja loka reto, kaj skribu ĝin, ĉar la kolizio estas nevidebla ĝis gastiganto respondas, kiu ne devus ekzisti.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Nenio ĉi tie postulas ponton, kaj nenio malhelpas aldoni unu poste. La dokumentaro de la kerno pri TUN/TAP priskribas la interfacon mem; pontan membrecon kaj plusendadan politikon estas apartaj decidoj, kiujn vi faras poste.

Enkursigu trans la limon

Ŝaltu plusendadon, permesu la du prefiksojn en la plusenda ĉeno, kaj aldonu itineron al la oficeja prefikso kun la loka enkursigilo kiel la sekva salto. La VPN-flanko tiam sendas oficej-direktitan trafikon al la servilo kiel sia enirejo, kaj la servilo plusendas tiujn pakaĵojn kiel si mem, ne kiel ponto. TAP-interfaco kun malŝaltita plusendado estas segmento, kiu respondas loke kaj atingas nenion preter ĝi, kio estas la kutima duonfinita stato. Poste kontrolu la interfacajn nombrilojn ambaŭflanke, ĉar kreskanta riceva nombrilo kun plata senda nombrilo ĉe la loka flanko signifas falon en la plusenda ĉeno, ne malbonan itineron.

Skribu la itineron kaj la fajroŝirmilan regulon kiel unu ŝanĝon, ĉar ĉiu sola kreas staton, kiu de la klienta flanko aspektas kiel itinera malsukceso.

Decidu la revenan vojon

Aŭ la loka enkursigilo lernas itineron reen al la VPN-prefikso, aŭ la servilo tradukas fontajn adresojn survoje eksteren. Traduko faras la revenan vojon triviala kaj detruas fontan identecon, do celaj protokoloj montros la adreson de la servilo por ĉiu kliento malantaŭ ĝi. Enkursigita prefikso konservas identecon kaj postulas ŝanĝon en ekipaĵo, kiun vi eble ne administras.

Elektu intence anstataŭ laŭ tio, kio estas pli rapida tajpi. Unu enkursigita prefikso estas kutime pli pura ol traduko, kaj traduko estas kutime pli bona ol instrui al neadministrata enkursigilo novan prefikson por unu laboratorio.

Tenu la dissendan amplekson intenca

Ene de la virtuala segmento, DHCP, malkovro kaj najbara anonco kondutas kiel ili farus sur ŝaltilo, ĉar ĝi estas unu ligo. Trans la enkursigita limo ili ne faras tion, do oficeja DHCP kaj servo-malkovro bezonas eksplicitan dezajnon anstataŭ supozon, ke TAP implicas ilin. La interfaca tipo ne estas relajso por servoj, kiuj vivas aliloke.

Tio estas la honesta kialo elekti TAP entute: io en la virtuala segmento bezonas konduton lokan al la ligo. Se nenio bezonas ĝin, TUN-aparato kun enkursigita prefikso estas pli malgranda, kaj estas malpli por klarigi, kiam ĝi paneas.

Kontrolu, poste skribu la retroigon

De VPN-kliento, pingu la lokan enkursigilon, pingu gastiganton, kaj malfermu unu servon, kiu gravas, super TCP. Poste kontrolu la nombrilojn kaj la plusendan ĉenon, ĉar politika falo de malproksime aspektas ĝuste kiel mankanta itinero. Retroigo estas la malo de la konstruo kaj apartenas al la ŝanĝa protokolo antaŭ ol vi komencas: forigu la itineron, forigu la adreson, forigu la interfacon.

Se la postulo vere estas unu Ethernet-segmento trans du ejoj, ponto estas la honesta respondo kaj malsama dezajno kun malsama efika radiuso. Se la postulo estas atingeblo, la izolita segmento kun enkursigita suprenligo faras la laboron kun malpli por klarigi poste.