Ien TAP-tsjinner of ferskate? OpenVPN-klanten op in brêge
TAP-klanten diele ien brêge en ien tsjinnerproses, en dat betsjut ek ien broadcast-domein. Fergelykje brêge Ethernet mei rûte TUN foardat jo kieze.
Ferskate TAP-klanten freegje net om ien tsjinnerproses, ien UDP-poarte en ien TAP-apparaat op de host foar elk. Ien OpenVPN-tsjinner yn Ethernet-modus kin in protte autentisearre klanten talitte en se oan ien brêge keppelje, en dat is de dokumintearre manier om in laach-2-segment út te wreidzjen. It ûntwerp mei ien proses is dat wat de hânlieding dokumintearret, en it is meastentiids de juste standert.
De echte fraach is oft dy klanten dat segment diele moatte. It oantal prosessen beantwurdet dat net, want de isolaasje-eigenskippen komme út de topology en net út hoefolle daemons der rinne. De rest fan dizze fergeliking giet oer de twa topologyen en wat elk maklik makket.
Twa arsjitektueren, net twa ynstellings
In rûte TUN-útrulling jout elke klant in punt-nei-punt-ferbining yn it rûte-domein fan de tsjinner. Broadcasts stopje by de tsjinner, klanten kinne elkoars frames net sjen, en ferkear tusken klanten moat, as it der is, eksplisyt rûte en filtere wurde.
In brêge TAP-útrulling makket klanten leden fan ien Ethernet-segment. Se sjogge broadcasts, kinne elkoar mei ARP fine, en binne foar skieding ôfhinklik fan brêge- en firewallbelied ynstee fan rûte. Dat is handich as de klanten derút sjen moatte as wiene se yn deselde switch stutsen.
De fergeliking giet dus oer wat de klanten berikke moatte, net oer prestaasjes. Kies earst de laach en beslút dan hoefolle prosessen dy betsjinje.
Wat de server-bridge-helper docht
De helper server-bridge konfigurearret de Ethernet-modus foar mear klanten. Syn foarm mei adrespoel nimt de gateway, it netmasker en in apart berik binnen it brêge subnet, bygelyks in gateway op 192.168.50.1 mei in poel fan 192.168.50.160 oant 192.168.50.199.
Hâld dat berik bûten elke oare DHCP- of statyske tawizing. De helper jout dêr adressen út, mar koördinearret net mei in oare útdieler op itselde segment, en twa poelen dy’t oerlaapje jouwe dûbele adressen dy’t op tafallige ferbiningsflaters lykje. Skriuw it reservearre berik yn it adresplan fan it plak, sadat de folgjende persoan it net wer brûkt. In kommentaar yn de tsjinnerkonfiguraasje is in min ferfang foar dat register.
Der bestiet in foarm mei DHCP-proxy foar útrullings wêrby’t in eksterne tsjinner adressen jout. Dy hat syn eigen betingsten, en it mingen fan de twa foarmen makket krekt it konflikt dat de dokumintaasje warskôget. Kies ien útdieler foar it brêge subnet.
Isolearring komt net fan it oantal prosessen
Acht OpenVPN-prosessen ferbûn oan deselde frije brêge diele noch altyd ien broadcast-domein. Klanten kinne oer de brêge ARP foar elkoar stjoere, en it oantal harkers feroare dêr neat oan.
As de eask is dat groepen klanten elkoar net sjogge op laach 2, hat it ûntwerp aparte brêgen of VLAN-oanslutings nedich, mei de tagongsregels dy’t dêrby hearre. Dat is in beslút oer netwurkûntwerp, en it is itselde beslút oft der no ien tsjinnerproses of acht by belutsen binne. Brêgefiltering kin wat ferkear beheine, mar makket gjin aparte broadcast-domeinen. Sjoch it as in oanfolling op segmintearring, net as ferfanging.
As de eask allinnich is dat klanten beskate IP-tsjinsten berikke, is in rûte TUN-ûntwerp meastentiids ienfâldiger as brêgjen plus filterjen. Elke klant krijt syn eigen ferbining, en it belied libbet yn rûte- en firewallregels ynstee fan yn ’e binnenkant fan ’e brêge.
Wannear’t ferskate prosessen noch altyd goed binne
Aparte prosessen kinne rjochtfeardige wurde troch operasjonele behoeften: ferskillende autentikaasje-backends, ferskillende sertifikaatautoriteiten, aparte upgrade-syklussen of ûnferienige opsjesets. Dat binne echte redenen en se binne ûnôfhinklik fan it oantal klanten.
As jo ferskate brûke, jou elk syn eigen harker en apparaatbesit en koördinearje de adresberikken. Twa tsjinners dy’t beide miene dat se deselde poel op deselde brêge hawwe, jouwe úteinlik itselde adres.
Ferifiearje it ûntwerp dan mei ferskate klanten tagelyk. Kontrollearje dat adressen unyk binne, dat it bedoelde ferkear tusken klanten wurket, en dat in pear dat net kommunisearje mei, dat net kin. In slagge ping fan ien klant testet neat fan it ûntwerp foar mear klanten.
Lês de brêge en de tsjinnermodus fan de rinnende host foardat jo it diagram fertrouwe. De konfiguraasje dy’t ta docht is dy’t de kernel en de daemon wier laden hawwe, en dat is ek dejinge dy’t in resinsint kontrolearje kin.