TAP ilma sillata: virtuaalne segment marsruuditud üleslingiga

TAP annab Etherneti kaadrid operatsioonisüsteemile, mis on suurem võimekus, kui enamik kaugjuurdepääsu lahendusi vajab, ja väiksem kui sild. Tuuma saab seda adresseerida, sellest läbi marsruutida ja tulemüüriga kaitsta, ilma et seda ühegi füüsilise segmendiga ühendataks. Seda korraldust tasub esimesena mõista: isoleeritud virtuaalne Etherneti segment, mille server toimib ruuterina päris kohtvõrgu suunas. See annab tunnelisiseselt teise kihi käitumise ja väljaspool tavalise IP edastuse, mis on kaks erinevat lubadust. Ülejäänu on ülesehitus, marsruut, tagasitee ja tagasipööramine.

Ehitage isoleeritud segment

Linuxis võtab liides kolm käsku: looge see, tõstke see üles, andke sellele aadress teie kavatsetud segmendi sees. Valige prefiks, mis ei kattu kontori kohtvõrguga, ja kirjutage see üles, sest kattumine on nähtamatu, kuni vastab host, mida ei peaks olema.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Miski siin ei nõua silda ja miski ei takista selle hilisemat lisamist. Tuuma TUN/TAP dokumentatsioon kirjeldab liidest ennast; sillaliikmesus ja edastuspoliitika on eraldi otsused, mille te teete hiljem.

Marsruutige üle piiri

Lubage edastus, lubage edastusahelas kaks prefiksit ja lisage marsruut kontori prefiksi suunas, kusjuures kohtvõrgu ruuter on järgmine hüpe. VPN-pool saadab seejärel kontorisse suunduva liikluse serverile oma lüüsina ja server edastab need paketid iseendana, mitte sillana. TAP-liides, mille edastus on välja lülitatud, on segment, mis vastab kohapeal ega jõua millestki kaugemale, mis on tavaline pooleliolev olek. Kontrollige hiljem liidese loendureid mõlemal pool, sest kasvav vastuvõtuloendur koos muutumatu saatmisloenduriga kohtvõrgu poolel tähendab edastusahela langust, mitte halba marsruuti.

Kirjutage marsruut ja tulemüürireegel ühe muudatusena, sest kumbki üksi loob oleku, mis kliendi poolelt näeb välja nagu marsruutimistõrge.

Otsustage tagasitee

Kas kohtvõrgu ruuter õpib marsruudi tagasi VPN-i prefiksi juurde, või server tõlgib väljumisel lähteaadresse. Tõlkimine muudab tagasitee triviaalseks ja hävitab lähteidentiteedi, nii et sihtkoha logid näitavad serveri aadressi iga kliendi kohta selle taga. Marsruuditud prefiks säilitab identiteedi ja nõuab muudatust seadmes, mida te võib-olla ei halda.

Valige teadlikult, mitte selle järgi, mida on kiirem trükkida. Üksik marsruuditud prefiks on tavaliselt puhtam kui tõlkimine, ja tõlkimine on tavaliselt parem kui õpetada haldamata ruuterile uut prefiksit ühe labori jaoks.

Hoidke ringhäälingu ulatus teadlikult

Virtuaalse segmendi sees käituvad DHCP, avastamine ja naabrite teated nagu kommutaatoril, sest see on üks lüli. Üle marsruuditud piiri nad seda ei tee, seega kontori DHCP ja teenuseavastus vajavad selget kavandit, mitte eeldust, et TAP neid sisaldab. Liidese tüüp ei ole relee teenustele, mis elavad mujal.

See on aus põhjus TAP üldse valida: midagi virtuaalses segmendis vajab lülispetsiifilist käitumist. Kui miski ei vaja, on marsruuditud prefiksiga TUN-seade väiksem ja purunemisel on vähem seletada.

Kontrollige ja seejärel kirjutage tagasipööramine

Tehke VPN-kliendist ping kohtvõrgu ruuterile, ping hostile ja avage TCP kaudu üks teenus, mis loeb. Seejärel kontrollige loendureid ja edastusahelat, sest poliitikast tulenev langus näeb kaugelt täpselt välja nagu puuduv marsruut. Tagasipööramine on ülesehituse vastand ja kuulub muudatuste kirjesse enne alustamist: eemaldage marsruut, eemaldage aadress, kustutage liides.

Kui nõue on tõesti üks Etherneti segment, mis hõlmab kahte asukohta, on sild aus vastus ja teistsugune lahendus teistsuguse mõjuraadiusega. Kui nõue on kättesaadavus, teeb isoleeritud segment marsruuditud üleslingiga töö ära vähema hilisema seletamisega.