TAP sin puente: un segmento virtual con un enlace ascendente enrutado

TAP entrega las tramas Ethernet al sistema operativo, lo que es más capacidad de la que necesitan la mayoría de los diseños de acceso remoto y menos que un puente. El núcleo puede direccionarlo, enrutar a través de él y protegerlo con un cortafuegos sin unirlo a ningún segmento físico. Conviene entender primero esa disposición: un segmento Ethernet virtual aislado cuyo servidor actúa como router hacia una LAN real. Da comportamiento de segunda capa dentro del túnel y reenvío IP ordinario fuera de él, que son dos promesas distintas. El resto es la construcción, la ruta, el camino de vuelta y la reversión.

Construya el segmento aislado

En Linux la interfaz recibe tres órdenes: créela, actívela y désela una dirección dentro del segmento que pretende. Elija un prefijo que no choque con la LAN de la oficina y anótelo, porque el choque es invisible hasta que responde un host que no debería existir.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Nada de esto requiere un puente, y nada impide añadir uno más adelante. La documentación del núcleo sobre TUN/TAP describe la interfaz en sí; la pertenencia al puente y la política de reenvío son decisiones separadas que usted toma después.

Enrute a través de la frontera

Active el reenvío, permita los dos prefijos en la cadena de reenvío y añada una ruta hacia el prefijo de la oficina con el router de la LAN como siguiente salto. El lado VPN envía entonces el tráfico hacia la oficina al servidor como su puerta de enlace, y el servidor reenvía esos paquetes como sí mismo, no como un puente. Una interfaz TAP con el reenvío desactivado es un segmento que responde localmente y no alcanza nada más allá, que es el estado habitual a medio terminar. Después compruebe los contadores de la interfaz en ambos lados, porque un contador de recepción creciente con un contador de transmisión plano en el lado de la LAN significa una caída en la cadena de reenvío, no una ruta mala.

Escriba la ruta y la regla del cortafuegos como un solo cambio, porque cada una por separado produce un estado que desde el lado del cliente parece un fallo de enrutamiento.

Decida el camino de vuelta

O bien el router de la LAN aprende una ruta de vuelta al prefijo VPN, o bien el servidor traduce las direcciones de origen a la salida. La traducción hace trivial el camino de vuelta y destruye la identidad del origen, así que los registros de destino mostrarán la dirección del servidor para cada cliente detrás. Un prefijo enrutado conserva la identidad y requiere un cambio en equipos que quizá no administre.

Elija deliberadamente y no según cuál sea más rápido de escribir. Un solo prefijo enrutado suele ser más limpio que la traducción, y la traducción suele ser mejor que enseñar un prefijo nuevo a un router no gestionado para un solo laboratorio.

Mantenga el alcance de difusión deliberado

Dentro del segmento virtual, DHCP, el descubrimiento y el anuncio de vecinos se comportan como en un conmutador, porque es un solo enlace. Al otro lado de la frontera enrutada no lo hacen, así que el DHCP de la oficina y el descubrimiento de servicios necesitan un diseño explícito y no la suposición de que TAP los implica. El tipo de interfaz no es un repetidor para servicios que viven en otro sitio.

Esa es la razón honesta para elegir TAP: algo del segmento virtual necesita comportamiento local al enlace. Si nada lo necesita, un dispositivo TUN con un prefijo enrutado es más pequeño, y hay menos que explicar cuando se rompe.

Verifique y luego escriba la reversión

Desde un cliente VPN, haga ping al router de la LAN, haga ping a un host y abra un servicio que importe por TCP. Después compruebe los contadores y la cadena de reenvío, porque una caída por política desde lejos parece exactamente una ruta ausente. La reversión es lo contrario de la construcción y pertenece al registro de cambios antes de empezar: quite la ruta, quite la dirección, borre la interfaz.

Si el requisito es de verdad un segmento Ethernet que abarca dos sitios, un puente es la respuesta honesta y un diseño distinto con un radio de impacto distinto. Si el requisito es la accesibilidad, el segmento aislado con un enlace ascendente enrutado hace el trabajo con menos explicaciones después.