TAP zerbitzari bat ala hainbat? OpenVPN bezeroak zubi batean

TAP bezero anitzek ez dute bakoitzeko zerbitzari prozesu bat, UDP ataka bat eta ostalariaren TAP gailu bat behar. Ethernet moduan dagoen OpenVPN zerbitzari bakar batek bezero autentifikatu asko onar ditzake eta zubi bakarrera lotu, eta hori da geruza 2ko segmentu bat hedatzearen dokumentatutako modua. Prozesu bakarreko diseinua da eskuliburuak dokumentatzen duena, eta normalean lehenespen egokia da.

Benetako galdera bezero horiek segmentu hori partekatu behar duten da. Prozesu kopuruak ez dio erantzuten, isolamendu-ezaugarriak topologiatik baitatoz, ez zenbat daemon ari diren exekutatzen. Konparazio honen gainerakoa bi topologiei eta bakoitzak zer errazten duen buruzkoa da.

Bi arkitektura, ez bi ezarpen

TUN bideratutako hedapenak bezero bakoitzari puntutik punturako esteka ematen dio zerbitzariaren bideratze-domeinuan. Emisioak zerbitzarian gelditzen dira, bezeroek ezin dituzte elkarren markoak ikusi, eta bezeroen arteko trafikoak, baldin badago, esplizituki bideratu eta filtratu behar da.

TAP zubidun hedapenak bezeroak Ethernet segmentu bakarreko kide egiten ditu. Emisioak ikusten dituzte, ARPrekin elkar ebatz dezakete, eta bereizita egoteko zubiaren eta suebakiaren politikaren mende daude, ez bideratzearen mende. Hori erabilgarria da bezeroek etengailu berean konektatuta egongo balira bezala agertu behar dutenean.

Beraz, konparazioa bezeroek zer iritsi behar duten da, ez errendimendua. Aukeratu lehenengo geruza, eta gero erabaki zenbat prozesuk zerbitzatzen duten.

Zer egiten du server-bridge laguntzaileak

server-bridge laguntzaileak bezero anitzeko Ethernet modua konfiguratzen du. Bere helbide-poolaren formak atebidea, sare-maskara eta zubidun azpisarearen barruko tarte dedikatu bat hartzen ditu, adibidez 192.168.50.1 atebidea 192.168.50.160etik 192.168.50.199ra bitarteko poolarekin.

Erreserbatu tarte hori beste DHCP edo esleipen estatiko batzuetatik kanpo. Laguntzaileak hortik esleitzen ditu helbideak, baina ez du koordinatzen segmentu bereko beste esleitzaile batekin, eta gainjartzen diren bi poolek helbide bikoiztuak sortzen dituzte, konektibitate-hutsegite ausazkoak ematen dutenak. Idatzi erreserbatu tarte hori guneko helbide-planean hurrengo pertsonak berrerabil ez dezan. Zerbitzariaren konfigurazioan komentario bat erregistro horren ordezko eskasa da.

DHCP proxy bidezko forma bat dago kanpoko zerbitzari batek helbideak banatzen dituen hedapenetarako. Bere baldintzak ditu, eta bi formak nahasteak dokumentazioak ohartarazten duen gatazka bera sortzen du. Aukeratu esleitzaile bakarra zubidun azpisarerako.

Isolamendua ez dator prozesu kopurutik

Zubi murrizketarik gabeko berera konektatutako zortzi OpenVPN prozesuk emisio-domeinu bat partekatzen dute oraindik. Bezeroek zubian zehar ARP egin dezakete elkarrentzat, eta entzule kopuruak ez zuen horretan ezer aldatu.

Baldin eta baldintza bezero-taldeek geruza 2n elkar ez ikustea bada, diseinuak zubi bereiziak edo VLAN konexioak behar ditu, haiekin doazen sarbide-arauak barne. Sare-diseinuko erabakia da, eta erabaki bera da zerbitzari prozesu bat edo zortzi inplikatuta egon. Zubiaren iragazketak trafiko zati bat murriztu dezake, baina ez ditu emisio-domeinu bereiziak sortzen. Har ezazu segmentaziorako osagarri gisa, haren ordezko gisa ez.

Baldin eta baldintza soilik bezeroek IP zerbitzu jakin batzuetara iristea bada, TUN bideratutako diseinua errazagoa izaten da zubia gehi iragazketa baino. Bezero bakoitzak bere esteka du, eta politika bideratze eta suebaki arauetan bizi da, zubiaren barrukoetan ez.

Noiz diren hainbat prozesu oraindik egokiak

Prozesu bereiziak eragiketa-beharrekin justifika daitezke: autentifikazio backend desberdinak, ziurtagiri-agintari desberdinak, berritze-ziklo bereiziak edo bateragarriak ez diren aukera-multzoak. Arrazoi errealak dira eta bezero kopurutik independenteak.

Hainbat erabiltzen badituzu, eman bakoitzari bere entzulea eta gailuaren jabetza, eta koordinatu helbide-tarteak. Zubi berean pool bera dutela uste duten bi zerbitzarik azkenean helbide bera banatuko dute.

Ondoren egiaztatu diseinua hainbat bezerorekin aldi berean. Egiaztatu helbideak bakarrak direla, bezeroen arteko aurreikusitako trafikoak funtzionatzen duela eta komunikatu behar ez duen bik ezin duela. Bezero bakar baten ping arrakastatsuak ez du ezer probatzen bezero anitzeko diseinutik.

Irakurri zubia eta zerbitzariaren modua martxan dagoen ostalaritik diagraman fidatu aurretik. Garrantzitsua den konfigurazioa kernelak eta daemonak benetan kargatutakoa da, eta berrikusle batek egiaztatu dezakeen berbera da.