TAP ilman siltaa: virtuaalinen segmentti reititetyllä ylälinkillä

TAP luovuttaa Ethernet-kehykset käyttöjärjestelmälle, mikä on enemmän kuin useimmat etäkäyttöratkaisut tarvitsevat ja vähemmän kuin silta. Ydin voi osoittaa sen, reitittää sen kautta ja suojata sen palomuurilla liittämättä sitä mihinkään fyysiseen segmenttiin. Tämä järjestely kannattaa ymmärtää ensin: eristetty virtuaalinen Ethernet-segmentti, jonka palvelin toimii reitittimenä kohti todellista lähiverkkoa. Se antaa toisen kerroksen käyttäytymisen tunnelin sisällä ja tavallisen IP-edelleenlähetyksen sen ulkopuolella, ja ne ovat kaksi eri lupausta. Loput on rakentaminen, reitti, paluupolku ja peruutus.

Rakenna eristetty segmentti

Linuxissa rajapinta ottaa kolme komentoa: luo se, nosta se, anna sille osoite aiottujen segmenttien sisällä. Valitse etuliite, joka ei törmää toimiston lähiverkkoon, ja kirjoita se muistiin, koska törmäys on näkymätön, kunnes vastaa isäntä, jota ei pitäisi olla olemassa.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Mikään tässä ei vaadi siltaa, eikä mikään estä sellaisen lisäämistä myöhemmin. Ytimen TUN/TAP-dokumentaatio kuvaa itse rajapinnan; siltajäsenyys ja edelleenlähetyskäytäntö ovat erillisiä päätöksiä, jotka teet jälkeenpäin.

Reititä rajan yli

Ota edelleenlähetys käyttöön, salli kaksi etuliitettä edelleenlähetysketjussa ja lisää reitti toimiston etuliitteeseen lähiverkon reitittimen ollessa seuraava hyppy. VPN-puoli lähettää sitten toimistoon suuntautuvan liikenteen palvelimelle yhdyskäytävänään, ja palvelin välittää ne paketit itsenään, ei siltana. TAP-rajapinta, jonka edelleenlähetys on pois päältä, on segmentti, joka vastaa paikallisesti eikä tavoita mitään sen ulkopuolelta, mikä on tavallinen puolivalmis tila. Tarkista rajapinnan laskurit molemmilta puolilta jälkeenpäin, koska kasvava vastaanottolaskuri ja tasainen lähetyslaskuri lähiverkon puolella tarkoittaa pudotusta edelleenlähetysketjussa, ei huonoa reittiä.

Kirjoita reitti ja palomuurisääntö yhtenä muutoksena, koska kumpikin yksinään tuottaa tilan, joka asiakkaan puolelta näyttää reititysvirheeltä.

Päätä paluupolku

Joko lähiverkon reititin oppii paluureitin VPN-etuliitteeseen tai palvelin kääntää lähdeosoitteet lähtiessään. Kääntäminen tekee paluupolusta triviaalin ja tuhoaa lähdeidentiteetin, joten kohdelokit näyttävät palvelimen osoitteen jokaiselle sen takana olevalle asiakkaalle. Reititetty etuliite säilyttää identiteetin ja vaatii muutoksen laitteessa, jota et ehkä hallinnoi.

Valitse tarkoituksellisesti, ei sen mukaan, mikä on nopeampi kirjoittaa. Yksi reititetty etuliite on yleensä puhtaampi kuin kääntäminen, ja kääntäminen on yleensä parempi kuin opettaa hallitsemattomalle reitittimelle uusi etuliite yhden laboratorion takia.

Pidä lähetysalue tarkoituksellisena

Virtuaalisen segmentin sisällä DHCP, löytäminen ja naapuri-ilmoitus käyttäytyvät kuten kytkimessä, koska se on yksi linkki. Reititetyn rajan yli ne eivät niin tee, joten toimiston DHCP ja palvelujen löytäminen tarvitsevat eksplisiittisen suunnittelun eivätkä oletusta, että TAP tuo ne mukanaan. Rajapinnan tyyppi ei ole toistin palveluille, jotka asuvat muualla.

Tämä on rehellinen syy valita TAP ylipäänsä: jokin virtuaalisessa segmentissä tarvitsee linkkikohtaista käyttäytymistä. Jos mikään ei tarvitse, reititetyllä etuliitteellä varustettu TUN-laite on pienempi, ja rikkoutuessaan on vähemmän selitettävää.

Varmista ja kirjoita sitten peruutus

Tee VPN-asiakkaasta ping lähiverkon reitittimelle, ping isännälle ja avaa yksi tärkeä palvelu TCP:n yli. Tarkista sitten laskurit ja edelleenlähetysketju, koska käytännön pudotus näyttää kaukaa täsmälleen puuttuvalta reitiltä. Peruutus on rakentamisen vastakohta ja kuuluu muutoskirjaan ennen aloittamista: poista reitti, poista osoite, poista rajapinta.

Jos vaatimus todella on yksi Ethernet-segmentti kahden toimipisteen yli, silta on rehellinen vastaus ja erilainen suunnittelu erilaisella vaikutussäteellä. Jos vaatimus on tavoitettavuus, eristetty segmentti reititetyllä ylälinkillä hoitaa työn vähemmällä selittämisellä myöhemmin.