Eristetty TAP-silta kahden levyn välillä OpenVPN:n yli

Kahden kehityslevyn on jaettava yksi Ethernet-segmentti, vaikka niiden penkit sijaitsevat eri rakennuksissa. Tunneli on jo olemassa ja kuljettaa jo Ethernetiä, joten jäljellä oleva työ näyttää kolmelta komennolta eikä ole sitä. Mitä isäntä tekee sillatulla kehyksellä, mihin tietokoneen oma osoite kuuluu ja minkä rajan silta ei luo, ovat kolme erillistä tosiasiaa, ja toisen niistä väärin tekeminen on tavallinen syy siihen, että laboratorio toimii ajoittain ja sen hallintayhteys heikkenee hiljaa. Mikään näistä kolmesta tosiasiasta ei näy topologiakaaviossa.

Alla oleva polku olettaa todennetun TAP-yhteyden kahden Linux-tietokoneen välillä, yhden oman kaapeliportin penkkiä kohti ja hallintaliittymän, joka ei ole osa koetta. Järjestys on tärkeä: ensin kehykset, sitten osoitteet, lopuksi raja.

Mitä silta todella siirtää

Silta on ohjelmistossa toteutettu kytkin. Se oppii, mikä MAC-osoite näkyy minkä jäsenportin takana, ja välittää kehyksiä jäsenten välillä kysymättä IP-reititystaulua. Mikään siinä kuvauksessa ei sisällä aliverkkoa, yhdyskäytävää tai oletusreittiä, minkä vuoksi IP-välityksen käyttöönotto ei tuota tätä liitosta ja minkä vuoksi ping voi onnistua, kun muu liikenne yhä epäonnistuu. Levy voi tavoittaa parinsa täysin ilman määritettyä oletusreittiä, mikä yllättää ne, jotka odottavat kerroksen kaksi käyttäytyvän kuin kerros kolme.

Jokainen tietokone antaa sillalle yhden kaapeliportin ja TAP-laitteen samaan siltaan, joten levyltä tuleva kehys saapuu paikalliseen porttiin, välitetään TAP-laitteelle, ylittää tunnelin, saapuu parin TAP-laitteelle ja välitetään parin levylle. Tunneli on jäsenportti siinä missä mikä tahansa muukin, eikä silta tiedä eikä välitä, että sen takana on VPN. Juuri tämä symmetria tekee esimerkistä helposti hahmotettavan: kummallakin puolella on yksi laboratorioon päin oleva portti ja yksi tunneliportti, eikä kumpikaan puoli ole erityinen.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Molempien tietokoneiden samannimiset nimet ovat paikallisia nimiä, eivät jaettuja objekteja. Penkkien välillä on yksi Ethernet-polku, ilman toista kaapelia ja ilman toista tunnelia, joka sulkisi silmukan; silta, joka näkee saman MACin saapuvan kahdelle portille, välittää mielellään ympyrää.

Osoita silta, älä sen jäsenportteja

Tietokoneen identiteetti laboratoriosegmentissä kuuluu siltalaitteelle. Jäsenportit pysyvät numeroimattomina, koska portti on välittävä jäsen ja sen päällä oleva osoite loisi saman segmentin toisen, kilpailevan omistajan. Tämä on korjaus, jonka useimmat käsin kirjoitetut reseptit tekevät väärin: ne osoittavat TAP-laitteen ja sillan ja ihmettelevät sitten, kumman pari todella tavoittaa.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Pari käyttää samaa muotoa eri isäntäosoitteella, ja levyt ottavat osoitteita samasta alueesta käyttäen tietokoneen siltaosoitetta seuraavana hyppynään, jos sellaisen tarvitsevat. Käytä dokumentaatioalueita, kunnes suunnitelma on sovittu, ja varaa alue, jotta se ei törmää mihinkään, mitä toimisto jo reitittää. Ennen kuin ajat mitään tästä, varmista, että jäsenporteilla ei ole jäänyt osoitetta, DHCP-asiakasta tai jäsenyyttä toisessa sillassa, ja sovita TAP-laitteen osoitteistus sen kanssa, mikä omistaa tunnelin määrityksen, jotta se ei palauta osoitetta myöhemmin.

Miksi yksi oma portti penkkiä kohti

Oma kaapeliportti estää koetta muuttumasta koko toimistoa koskevaksi muutokseksi. Hallintaliittymä kuljettaa SSH:n, oletusreitin ja ulkoisen VPN-yhteyden, eikä mikään siitä kuulu sillalle, jonka tarkoitus on siirtää laboratoriokehyksiä.

Hallinta-adapterin kytkeminen asettaa toimiston LANin yhden välityspäätöksen päähän kehityslevystä, ja levy, joka käyttäytyy huonosti kerroksessa kaksi, on juuri sellainen laite, jota et halua siihen segmenttiin. Wi-Fi-adapteri on pahempi: langattoman liittymän sillan rakentaminen infrastruktuuritilassa ei käyttäydy kuin Ethernetin sillan rakentaminen, ja vika on hämmentävä eikä siisti.

Pidä laboratorioalue kaikkien tuotannon DHCP-alueiden ulkopuolella. Jos levyt tarvitsevat myöhemmin dynaamista osoitteistusta, yksi valtuutettu jakaja yhdellä poolilla on ainoa järjestely, joka pysyy ennustettavana; kahden toimipaikan tavalliset reitittimet, jotka vastaavat samassa segmentissä, tuottavat osoitteita, joita kukaan ei osaa selittää.

Raja, jota silta ei luo

Sillan rakentaminen ei ole reititystä eikä myöskään eristämistä. Sillan ylittävät kehykset voivat yhä päästä isännän suodatinkoukkuihin asennetusta bridge-netfilter-polusta riippuen, joten tehokas käytäntö on tarkastettava eikä oletettava. Palomuurin poistaminen käytöstä yhden kadonneen kehyksen takia vaihtaa tietyn vian yleiseen.

IP-välityksen sillan ja jokaisen hallinta- tai uplink-liittymän välillä pitäisi pysyä pois päältä tai olla nimenomaisesti kielletty, ja se on erillinen hallinta siltaan kuulumisesta. Levy, joka valitsee tietokoneen laboratorio-osoitteen yhdyskäytäväkseen, testaa juuri tätä: jos hallintaliikenne menee läpi, tarkoitettua rajaa ei ollut koskaan olemassa.

Vielä kaksi perhettä ansaitsee nimenomaisen päätöksen. Osoitesuunnitelma ei tee sillasta vain IPv4-siltaa, joten IPv6 ja muut EtherTypet tarvitsevat oman suunnitelmansa tai suodattimensa. Ja onnistunut ping ei kerro mitään siitä, kulkevatko levyn löytölähetykset, multicast-ryhmät tai jumbo-kehykset polun läpi, koska ne ovat eri liikenneluokkia eri oletuksilla.

Lopuksi, kuljetus ja luottamuksellisuus ovat kaksi eri ostosta. TAP kuljettaa Ethernetiä; OpenVPN-palvelu tarjoaa suojauksen sen ympärille. VXLAN-kerros kuljettaa myös Ethernetiä eikä tarjoa luottamuksellisuutta itsessään, joten toisen korvaaminen toisella muuttaa turvaominaisuuksia, vaikka topologiakaavio näyttäisi samalta.

Pysyvyys ja testit, jotka sen todistavat

Kerran yhteyden jälkeen kirjoitettu komento ei ole kokoonpano. Tee silta, porttien jäsenyys ja yksittäinen isäntäosoite pysyviksi tietokoneen olemassa olevan verkkohallinnan kautta ja sido liitos TAP-laitteen ilmestymiseen, jotta uudelleenyhdistäminen ei jätä siltaa, josta jäsen on kadonnut.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Testaa sitten, mitä levyt todella tarvitsevat molempiin suuntiin, yhdistä tunneli uudelleen ja käynnistä yksi tietokone uudelleen hyväksytyn palautussuunnitelman mukaisesti. Vahvista sen jälkeen kolme asiaa: hallintayhteys toimii edelleen itsenäisesti, laboratorio-osoitetta ei näy kahtena ja mikään odottamaton tuotantoliittymä ei liittynyt siltaan. Juuri tämä yhdistelmä on todiste siitä, että koe pysyi penkkinsä sisällä.