Isoleeritud TAP-sild kahe plaadi vahel üle OpenVPN-i

Kaks arendusplaati peavad jagama ühte Etherneti segmenti, samal ajal kui nende tööpingid asuvad erinevates hoonetes. Tunnel on juba olemas ja juba kannab Etherneti, seega järelejäänud töö näib kolme käsuna ega ole seda. Mida host sillatud kaadriga teeb, kuhu kuulub arvuti enda aadress ja millist piiri sild ei loo, on kolm eraldi fakti, ja teise puhul eksimine on tavaline põhjus, miks labor töötab katkendlikult ja selle haldusjuurdepääs vaikselt halveneb. Ükski neist kolmest faktist ei ole topoloogia diagrammil nähtav.

Allolev tee eeldab autenditud TAP-ühendust kahe Linuxi arvuti vahel, ühte spetsiaalset kaabelporti tööpingi kohta ja haldusliidest, mis ei ole katse osa. Järjekord on oluline: kõigepealt kaadrid, siis aadressid, lõpuks piir.

Mida sild tegelikult liigutab

Sild on tarkvaras rakendatud kommutaator. Ta õpib, milline MAC-aadress ilmub millise liikmesporti taga, ja edastab kaadreid liikmete vahel ilma IP-marsruutimistabelit vaatamata. Selles kirjelduses ei ole alamvõrku, lüüsi ega vaikimisi marsruuti, mistõttu IP-edastuse lubamine ei tekita seda ühendust ja mistõttu ping võib õnnestuda, samal ajal kui muu liiklus ikka ebaõnnestub. Plaat võib jõuda oma partnerini täiesti ilma seadistatud vaikimisi marsruudita, mis üllatab neid, kes eeldavad, et teine kiht käitub nagu kolmas.

Iga arvuti annab silla jaoks ühe kaabelporti ja TAP-seadme samasse silda, nii et plaadi kaader siseneb kohalikku porti, edastatakse TAP-seadmele, läbib tunneli, jõuab partneri TAP-seadmele ja edastatakse partneri plaadile. Tunnel on liikmesport nagu iga teine, ja sild ei tea ega hooli, et selle taga on VPN. Just see sümmeetria teeb näite hõlpsasti mõistetavaks: mõlemal poolel on üks laborile suunatud port ja üks tunneliport, ja kumbki pool ei ole eriline.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Mõlemas arvutis olevad identsed nimed on kohalikud nimed, mitte jagatud objektid. Tööpinkide vahel on üks Etherneti tee, ilma teise kaabli ja teise tunnelita, mis ahela sulgeks; sild, mis näeb sama MAC-i saabuvat kahte porti, edastab hea meelega ringides.

Adresseerige silda, mitte selle liikmesporte

Arvuti identiteet labori segmendis kuulub sillaseadmele. Liikmesportid jäävad nummerdamata, sest port on edastav liige ja sellel olev aadress looks sama segmendi teise, konkureeriva omaniku. See on parandus, mille enamik käsitsi kirjutatud retsepte valesti teeb: nad adresseerivad TAP-seadet ja silda ning imestavad siis, milleni partner tegelikult jõuab.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Partner kasutab sama kuju teise hosti aadressiga, ja plaadid võtavad aadresse samas vahemikus, kasutades arvuti silla aadressi oma järgmise hüppena, kui nad seda vajavad. Kasutage dokumentatsioonivahemikke, kuni plaan on kokku lepitud, ja reserveerige vahemik, et see ei läheks vastuollu millegagi, mida kontor juba marsruudib. Enne selle käivitamist veenduge, et liikmesportidel pole jääkaadressi, DHCP-klienti ega liikmelisust teises sillases, ja viige TAP-seadme adresseerimine kooskõlla sellega, mis tunnelikonfiguratsiooni omab, et see hiljem aadressi ei taastaks.

Miks üks spetsiaalne port tööpingi kohta

Spetsiaalne kaabelport on see, mis hoiab katse kontorit laiemalt muutmast. Haldusliides kannab SSH-d, vaikimisi marsruuti ja välist VPN-ühendust, ja miski sellest ei kuulu silda, mille eesmärk on laborikaadrite liigutamine.

Haldusadapteri ühendamine asetab kontori LAN-i ühe edastusotsuse kaugusele arendusplaadist, ja teisel kihil halvasti käituv plaat on täpselt seda tüüpi seade, mida te selles segmendis ei taha. Wi-Fi-adapter on hullem: juhtmevaba liidese sillamine infrastruktuurirežiimis ei käitu nagu Etherneti sillamine, ja rike on segadust tekitav, mitte puhas.

Hoidke labori vahemik väljaspool iga tootmise DHCP-ala. Kui plaatidel on hiljem vaja dünaamilist adresseerimist, on üks volitatud jagaja ühe pooliga ainus korraldus, mis jääb prognoositavaks; kahe koha tavalised ruuterid, mis samas segmendis vastavad, toodavad aadresse, mida keegi ei oska seletada.

Piir, mida sild ei loo

Sillamine ei ole marsruutimine ja see ei ole ka isoleerimine. Silda läbivad kaadrid võivad ikkagi jõuda hosti filtreerimiskonksudeni, sõltuvalt paigaldatud bridge-netfilteri teest, seega tuleb tegelikku poliitikat uurida, mitte eeldada. Tulemüüri väljalülitamine ühe kadunud kaadri tõttu vahetab konkreetse vea üldise vastu.

IP-edastus silla ning iga haldus- või ühendusliidese vahel peaks jääma välja lülitatuks või olema selgesõnaliselt keelatud, ja see on silla liikmelisusest eraldi kontroll. Plaat, mis valib arvuti laboriaadressi oma lüüsiks, testib täpselt seda: kui haldusliiklus läbib, ei olnud kavandatud piiri kunagi olemas.

Veel kaks perekonda väärib selgesõnalist otsust. Aadressiplaan ei tee sillast ainult IPv4 silda, seega IPv6 ja muud EtherType'id vajavad oma plaani või filtrit. Ja õnnestunud ping ei ütle midagi selle kohta, kas plaadi avastuskanded, multicast-grupid või jumbo-kaadrid tee läbivad, sest need on erinevad liiklusklassid erinevate vaikeväärtustega.

Lõpuks on transport ja konfidentsiaalsus kaks erinevat ostu. TAP kannab Etherneti; OpenVPN-i teenus pakub kaitset selle ümber. VXLAN-kiht kannab samuti Etherneti ega paku iseenesest mingit konfidentsiaalsust, seega ühe teisega asendamine muudab turvaomadusi ka siis, kui topoloogia diagramm näeb identne välja.

Püsivus ja testid, mis seda tõestavad

Üks kord pärast ühendamist sisestatud käsk ei ole konfiguratsioon. Muutke sild, portide liikmelisus ja üksik hosti aadress püsivaks arvuti olemasoleva võrguhalduri kaudu ja siduge ühendus TAP-seadme ilmumisega, et taasühendamine ei jätaks silda kadunud liikmega.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Seejärel testige, mida plaadid mõlemas suunas tegelikult vajavad, ühendage tunnel uuesti ja taaskäivitage üks arvuti kinnitatud taastamisplaani järgi. Pärast seda kinnitage kolm asja: haldusjuurdepääs töötab endiselt sõltumatult, topelt laboriaadress ei ilmu ja ükski ootamatu tootmisliides ei liitunud sillaga. Just see kombinatsioon on tõestus, et katse jäi oma tööpingi sisse.