TAP zubirik gabe: segmentu birtuala esteka nagusi bideratuarekin

TAPek Ethernet markoak sistema eragileari ematen dizkio, hau da, urrutiko sarbideko diseinu gehienek behar dutena baino gaitasun handiagoa eta zubi bat baino txikiagoa. Nukleoak helbidea eman diezaioke, hartatik bideratu eta suebaki batekin babestu, segmentu fisikoren bati lotu gabe. Konfigurazio hori lehenengo ulertzea merezi du: Ethernet segmentu birtual isolatu bat, zeinaren zerbitzaria benetako LAN baterako bideratzaile gisa aritzen den. Hodiaren barruan bigarren geruzako portaera ematen du eta kanpoan ohiko IP birbidalketa, eta bi promes desberdin dira. Gainerakoa eraikuntza, ibilbidea, itzulera bidea eta atzera egitea da.

Eraiki segmentu isolatua

Linuxen interfazeak hiru agindu hartzen ditu: sortu, altxatu, eta eman helbide bat nahi duzun segmentuaren barruan. Aukeratu bulegoko LANarekin talka egiten ez duen aurrizki bat eta idatzi, talka ikusezina baita existitu behar ez lukeen ostalari batek erantzun arte.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Hemen ezerk ez du zubirik eskatzen, eta ezerk ez du gero bat gehitzea eragozten. Nukleoaren TUN/TAP dokumentazioak interfazea bera deskribatzen du; zubiko kidetza eta birbidalketa politika geroago hartzen dituzun erabaki bereiziak dira.

Bideratu mugaren zehar

Gaitu birbidalketa, baimendu bi aurrizkiak birbidalketa katean, eta gehitu ibilbide bat bulegoko aurrizkira LANeko bideratzailea hurrengo jauzi gisa hartuta. Orduan VPN aldeak bulegorako trafikoa zerbitzariari bidaltzen dio bere atebide gisa, eta zerbitzariak pakete horiek bere buru gisa birbidaltzen ditu, ez zubi gisa. Birbidalketa desgaituta duen TAP interfazea tokian erantzuten duen eta hortik harago ezer lortzen ez duen segmentua da, hau da, ohiko erdi-amaitu egoera. Geroago egiaztatu interfazearen kontagailuak bi aldeetan, LAN aldean jasotze kontagailua igotzen ari den bitartean bidaltze kontagailua laua bada, birbidalketa kateko jaitsiera dela esan nahi baitu, ez ibilbide txarra.

Idatzi ibilbidea eta suebaki araua aldaketa bakar gisa, bakoitzak bakarrik bezeroaren aldetik bideratze hutsa dirudien egoera sortzen baitu.

Erabaki itzulera bidea

Edo LANeko bideratzaileak VPN aurrizkirako itzulera ibilbidea ikasten du, edo zerbitzariak iturri helbideak itzultzen ditu irteeran. Itzulpenak itzulera bidea erraz bihurtzen du eta iturri nortasuna suntsitzen du, beraz helmugako erregistroek zerbitzariaren helbidea erakutsiko dute atzean dagoen bezero bakoitzarentzat. Bideratutako aurrizki batek nortasuna mantentzen du eta agian kudeatzen ez duzun ekipamenduan aldaketa eskatzen du.

Aukeratu nahita, idazteko azkarrena denaren arabera beharrean. Bideratutako aurrizki bakar bat garbiagoa izan ohi da itzulpena baino, eta itzulpena hobea izan ohi da laborategi bakarrerako kudeatu gabeko bideratzaile bati aurrizki berria erakustea baino.

Eduki igorpen esparrua nahita

Segmentu birtualaren barruan, DHCP, aurkikuntza eta bizilagunen iragarpena kommutagailu batean bezala portatzen dira, esteka bakarra delako. Bideratutako mugaren beste aldetik ez dute hori egiten, beraz bulegoko DHCPk eta zerbitzu aurkikuntzak diseinu esplizitua behar dute, TAPek horiek dakartzanaren ustea baino. Interfaze mota ez da beste leku batean bizi diren zerbitzuetarako errele bat.

Hori da TAP aukeratzeko arrazoi zintzoa: segmentu birtualeko zerbaiti estekakiko portaera behar zaio. Ezerk behar ez badu, bideratutako aurrizkia duen TUN gailu bat txikiagoa da, eta gutxiago dago azaltzeko hondatzean.

Egiaztatu, eta gero idatzi atzera egitea

VPN bezero batetik, egin ping LANeko bideratzaileari, egin ping ostalari bati, eta ireki TCP bidez garrantzitsua den zerbitzu bat. Gero egiaztatu kontagailuak eta birbidalketa katea, politikako jaitsiera batek urrutitik falta den ibilbide baten itxura zehatza baitu. Atzera egitea eraikuntzaren alderantzizkoa da eta hasi aurretik aldaketa erregistroan egon behar du: kendu ibilbidea, kendu helbidea, ezabatu interfazea.

Baldin eta baldintza benetan bi gune hartzen dituen Ethernet segmentu bat bada, zubia da erantzun zintzoa eta eragin erradio desberdineko diseinu desberdina. Baldintza irisgarritasuna bada, esteka nagusi bideratua duen segmentu isolatuak lana egiten du geroago gutxiago azalduz.