Bi plaken arteko TAP zubi isolatua OpenVPN bidez

Bi garapen plakek Ethernet segmentu bat partekatu behar dute, baina haien bankuak eraikin desberdinetan daude. Tunela jada badago eta jada Ethernet garraiatzen du, beraz gainerako lana hiru komandoren itxura du eta ez da hala. Ostalariak zubitutako marko batekin egiten duena, ordenagailuaren helbidea non kokatzen den eta zubiak sortzen ez duen muga zein den hiru gertaera bereizi dira, eta bigarrena gaizki egitea da laborategi bat tarteka ibiltzearen eta bere kudeaketa-sarbidea isilka okertzearen ohiko arrazoia. Hiru gertaera horietako bat ere ez da topologia-diagrama batean ikusten.

Beheko bideak bi Linux ordenagailuren arteko TAP konexio autentifikatua, banku bakoitzeko kable bidezko portu dedikatu bat eta esperimentuaren parte ez den kudeaketa-interfaze bat suposatzen ditu. Ordena garrantzitsua da: lehenengo markoak, gero helbideak, azkenik muga.

Zubiak benetan zer mugitzen duen

Zubia softwarean inplementatutako kommutagailu bat da. MAC helbide bakoitza zein kide-porturen atzean agertzen den ikasten du eta markoak kideen artean birbidaltzen ditu IP bideratze-taula kontsultatu gabe. Deskribapen horretan ez dago azpisarerik, gatewayrik ezta lehenetsitako biderik, horregatik IP birbidalketa gaitzeak ez du atxikimendu hau sortzen eta horregatik ping batek arrakasta dezake beste trafiko batek huts egiten jarraitzen duen bitartean. Plaka batek bere bikotekidea har dezake lehenetsitako biderik konfiguratu gabe, eta horrek harritzen ditu bigarren geruza hirugarrenaren moduan jokatzea espero dutenak.

Ordenagailu bakoitzak kable bidezko portu bat gehitzen dio zubiari eta TAP gailua zubi berari, beraz plaka batetik datorren markoa tokiko portuan sartzen da, TAP gailura birbidaltzen da, tunela zeharkatzen du, bikotekidearen TAP gailuan iristen da eta bikotekidearen plakara bidaltzen da. Tunela kide-portu bat da beste edozein bezala, eta zubiak ez daki ezta axola zaio atzean VPN bat dagoenik. Simetria horrek egiten du adibidea erraz arrazoitzeko: alde bakoitzak laborategira begira dagoen portu bat eta tunel-portu bat ditu, eta ez dago alde berezirik.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Bi ordenagailuetako izen berdinak tokiko izenak dira, ez partekatutako objektuak. Bankuen artean Ethernet bide bakarra dago, bigarren kableik eta begizta ixten duen bigarren tunelik gabe; MAC bera bi portutatik iristen ikusten duen zubiak gustura birbidaliko du zirkuluetan.

Helbide eman zubiari, ez bere kide-portuei

Ordenagailuaren identitatea laborategiko segmentuan zubi-gailuari dagokio. Kide-portuak zenbakirik gabe geratzen dira, portua birbidaltze-kide bat baita eta haren gaineko helbide batek segmentu beraren bigarren jabe lehiakorra sortuko bailuke. Hau da eskuz egindako errezeta gehienek gaizki egiten duten zuzenketa: TAP gailua eta zubia helbideratzen dituzte, eta gero galdetzen dute zeinetara iristen den bikotekidea benetan.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Bikotekideak forma bera erabiltzen du ostalari-helbide desberdin batekin, eta plakek barruti bereko helbideak hartzen dituzte ordenagailuaren zubi-helbidea hurrengo jauzi gisa erabiliz, behar izanez gero. Erabili dokumentazio-barrutiak plana adostu arte, eta erreserbatu barrutia bulegoak jada bideratzen duen edozein gauzarekin talka ez dezan. Horietako edozein exekutatu aurretik, egiaztatu kide-portuek ez dutela gelditutako helbiderik, DHCP bezerorik eta beste zubi bateko kidetzarik, eta adostu TAP gailuaren helbideratzea tunelaren konfigurazioa duenaren bidez, geroago helbide bat berrezarri ez dezan.

Zergatik portu dedikatu bat banku bakoitzeko

Kable bidezko portu dedikatu bat da esperimentua bulego osoko aldaket bihurtzea eragozten duena. Kudeaketa-interfazeak SSH, lehenetsitako bidea eta kanpoko VPN konexioa daramatza, eta horietako bat ere ez zaio dagokio laborategiko markoak mugitzea helburu duen zubi bati.

Kudeaketa-egokigailu bat konektatzeak bulegoko LANa birbidaltze-erabaki batera jartzen du garapen-plaka batetik, eta bigarren geruzan gaizki portatzen den plaka bat da hain zuzen segmentu horretan nahi ez duzun gailu-mota. Wi-Fi egokigailua okerragoa da: haririk gabeko interfaze bat azpiegitura-moduan zubikatzeak ez du Ethernet zubikatzearen moduan jokatzen, eta hutsegitea nahasgarria da garbia izan beharrean.

Eduki laborategiko barrutia edozein produkzio-DHCP eremutik kanpo. Plakek geroago helbideratze dinamikoa behar badute, baimendutako esleitzaile bakar bat pool bakarrarekin da aurreikusteko modukoa izaten jarraitzen duen antolamendu bakarra; bi lekutako router arruntek segmentu berean erantzuteak inork azaldu ezin dituen helbideak sortzen ditu.

Zubiak sortzen ez duen muga

Zubikatzea ez da bideratzea, eta ez da isolamendua ere. Zubia zeharkatzen duten markoek ostalariaren iragazte-kakoetara irits daitezke oraindik, instalatutako bridge-netfilter bidearen arabera, beraz politika eraginkorra ikuskatu behar da suposatu beharrean. Marko bat galdu delako suebakia desaktibatzeak errore zehatz bat orokor batengatik trukatzen du.

Zubiaren eta kudeaketa- edo uplink-interfaze bakoitzaren arteko IP birbidalketak itzalita egon behar du edo esplizituki ukatu, eta hori zubiko kidetzatik bereizitako kontrola da. Ordenagailuaren laborategi-helbidea bere gateway gisa aukeratzen duen plakak zehazki hau probatzen du: kudeaketa-transituak arrakasta badu, pentsatutako muga ez zen inoiz egon.

Beste bi familiak erabaki esplizitua merezi dute. Helbideratze-planak ez du zubia IPv4 soila egiten, beraz IPv6k eta beste EtherType batzuek beren plana edo iragazkia behar dute. Eta ping arrakastatsuak ez du ezer esaten plakaren aurkikuntza-difusioek, multicast taldeek edo jumbo markoek bidea zeharkatuko duten ala ez, horiek klase desberdinetako trafikoak baitira eta lehenetsi desberdinak dituzte.

Azkenik, garraioa eta konfidentzialtasuna erosketa desberdinak dira. TAPek Ethernet darama; OpenVPN zerbitzuak inguruko babesa ematen du. VXLAN gainjartze batek Ethernet ere darama eta ez du konfidentzialtasunik ematen berez, beraz bat bestearekin ordezkatzeak segurtasun-ezaugarriak aldatzen ditu topologia-diagrama berdinak dirudienean ere.

Iraunkortasuna eta hura frogatzen duten probak

Konektatu ondoren behin idatzitako komando bat ez da konfigurazioa. Egin itzazu iraunkor zubia, portuen kidetza eta ostalari-helbide bakarra ordenagailuaren lehendik dagoen sare-kudeatzailearen bidez, eta lotu atxikimendua TAP gailuaren agerpenari, berriz konektatzeak kide bat desagertuta duen zubi bat utz ez dezan.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Ondoren probatu plakek bi norabideetan benetan zer behar duten, berriz konektatu tunela eta berrabiarazi ordenagailu bat onartutako berreskuratze-planaren arabera. Egiaztatu hiru gauza ondoren: kudeaketa-sarbideak modu independentean funtzionatzen du oraindik, ez da laborategiko helbide bikoizturik agertzen, eta ez da ustekabeko produkzio-interfazerik zubira batu. Konbinazio hori da esperimentua bere bankuaren barruan geratu zela frogatzen duena.