Yksi TAP-palvelin vai useita? OpenVPN-asiakkaat sillalla

Useat TAP-asiakkaat eivät vaadi yhtä palvelinprosessia, yhtä UDP-porttia ja yhtä isäntäkoneen TAP-laitetta kutakin kohden. Yksi Ethernet-tilassa toimiva OpenVPN-palvelin voi ottaa vastaan monta todennettua asiakasta ja liittää ne yhteen siltaan, ja se on dokumentoitu tapa laajentaa kerroksen 2 segmenttiä. Yhden prosessin ratkaisu on se, jonka käsikirja dokumentoi, ja se on yleensä oikea oletus.

Varsinainen kysymys on, pitäisikö näiden asiakkaiden jakaa tuo segmentti. Prosessien määrä ei vastaa siihen, koska eristysominaisuudet tulevat topologiasta eivätkä siitä, kuinka monta taustapalvelua on käynnissä. Loput tästä vertailusta käsittelee kahta topologiaa ja sitä, mitä kumpikin tekee helpoksi.

Kaksi arkkitehtuuria, ei kaksi asetusta

Reititetty TUN-käyttöönotto antaa jokaiselle asiakkaalle pistestä pisteeseen -yhteyden palvelimen reititysalueeseen. Lähetykset pysähtyvät palvelimeen, asiakkaat eivät näe toistensa kehyksiä, ja asiakkaiden välinen liikenne on erikseen reititettävä ja suodatettava, jos sitä on.

Sillattu TAP-käyttöönotto tekee asiakkaista yhden Ethernet-segmentin jäseniä. He näkevät lähetykset, voivat selvittää toistensa osoitteet ARPilla ja ovat erillään pysyäkseen sillan ja palomuurin käytännön varassa reitityksen sijaan. Tästä on hyötyä, kun asiakkaiden on näytettävä siltä kuin ne olisi kytketty samaan kytkimeen.

Vertailu koskee siis sitä, mihin asiakkaiden on päästävä, ei suorituskykyä. Valitse ensin kerros ja päätä sitten, kuinka moni prosessi sitä palvelee.

Mitä server-bridge-apuri tekee

server-bridge-apuri määrittää monen asiakkaan Ethernet-tilan. Sen osoitepoolin muoto ottaa yhdyskäytävän, verkkomaskin ja sillatun aliverkon sisäisen varatun alueen, esimerkiksi yhdyskäytävän osoitteessa 192.168.50.1 ja poolin 192.168.50.160–192.168.50.199.

Pidä tuo alue muiden DHCP- tai staattisten jakojen ulkopuolella. Apuri jakaa siitä osoitteita, mutta ei sovi yhteen saman segmentin toisen jakajan kanssa, ja kaksi päällekkäistä poolia tuottaa kaksoisosoitteita, jotka näyttävät satunnaisilta yhteysongelmilta. Kirjaa varattu alue sivuston osoitesuunnitelmaan, ettei seuraava henkilö käytä sitä uudelleen. Kommentti palvelimen asetuksissa on huono korvike tälle kirjaukselle.

DHCP-välityspalvelimen muoto on olemassa käyttöönottoihin, joissa ulkoinen palvelin jakaa osoitteet. Sillä on omat edellytyksensä, ja kahden muodon sekoittaminen tuottaa juuri sen ristiriidan, josta dokumentaatio varoittaa. Valitse sillatulle aliverkolle yksi jakaja.

Eristys ei tule prosessien määrästä

Kahdeksan samaan rajoittamattomaan siltaan liitettyä OpenVPN-prosessia jakaa edelleen yhden lähetysalueen. Asiakkaat voivat lähettää ARPia toisilleen sillan yli, eikä kuuntelijoiden määrä muuttanut siinä mitään.

Jos vaatimuksena on, etteivät asiakasryhmät näe toisiaan kerroksella 2, suunnittelu tarvitsee erilliset sillat tai VLAN-liitännät sekä niihin kuuluvat käyttösäännöt. Se on verkkosuunnittelun päätös, ja se on sama riippumatta siitä, onko mukana yksi palvelinprosessi vai kahdeksan. Sillan suodatus voi rajoittaa osaa liikenteestä, mutta ei luo erillisiä lähetysalueita. Käsittele sitä segmentoinnin täydennyksenä, ei sen korvaajana.

Jos vaatimuksena on vain, että asiakkaat tavoittavat tietyt IP-palvelut, reititetty TUN-ratkaisu on yleensä yksinkertaisempi kuin sillaus ja suodatus. Jokainen asiakas saa oman yhteytensä, ja käytäntö asuu reititys- ja palomuurisäännöissä sillan sisusten sijaan.

Milloin useampi prosessi on silti oikein

Erilliset prosessit voidaan perustella toiminnallisilla tarpeilla: eri todennusjärjestelmät, eri varmenneviranomaiset, erilliset päivityssyklit tai yhteensopimattomat asetusjoukot. Nämä ovat todellisia syitä, ja ne ovat riippumattomia asiakkaiden määrästä.

Jos käytät useita, anna kullekin oma kuuntelija ja laitteen omistajuus ja sovita osoitealueet yhteen. Kaksi palvelinta, jotka molemmat uskovat omistavansa saman poolin samalla sillalla, jakaa lopulta saman osoitteen.

Tarkista sitten suunnittelu usealla asiakkaalla yhtä aikaa. Tarkista, että osoitteet ovat yksilöllisiä, että tarkoitettu asiakkaiden välinen liikenne toimii ja ettei pari, jonka ei pidä kommunikoida, pysty siihen. Yhden asiakkaan onnistunut ping ei testaa monen asiakkaan suunnittelusta mitään.

Lue silta ja palvelimen tila käynnissä olevasta isännästä ennen kuin luotat kaavioon. Merkitsevä kokoonpano on se, jonka ydin ja taustapalvelu todella latasivat, ja juuri sen voi myös katselmoija tarkistaa.