TAP sûnder brêge: in firtueel segmint mei in rûte uplink

TAP jout Ethernet-ramen oan it bestjoeringssysteem, wat mear fermogen is as de measte ûntwerpen foar ôfstâns tagong nedich hawwe en minder as in brêge. De kearn kin it adressearje, der troch rûte en it mei in firewall beskermje sûnder it oan in fysyk segmint te ferbinen. It is de muoite wurdich dizze opstelling earst te begripen: in isolearre firtueel Ethernet-segmint waans tsjinner as rûter nei in echte LAN fungearret. It jout gedrach fan de twadde laach binnen de tunnel en gewoane IP-trochstjoering derbûten, wat twa ferskillende beloften binne. De rest is de bou, de rûte, de weromwei en it weromdraaien.

Bou it isolearre segmint

Op Linux nimt de ynterface trije opdrachten: meitsje it, bring it omheech, jou it in adres binnen it segmint dat jo bedoele. Kies in prefiks dat net botset mei de kantoar-LAN en skriuw it op, want de botsing is ûnsichtber oant in host antwurdet dy’t net bestean moatte soe.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Neat hjir freget in brêge, en neat ferhindert it tafoegjen fan ien letter. De TUN/TAP-dokumintaasje fan de kearn beskriuwt de ynterface sels; brêgelidmaatskip en trochstjoerbelied binne aparte besluten dy’t jo dêrnei nimme.

Rûte oer de grins

Skeakel trochstjoering yn, stean de twa prefiksen ta yn ’e trochstjoerkeatling, en foegje in rûte ta nei it kantoarprefiks mei de LAN-rûter as folgjende hop. De VPN-kant stjoert dan kantoarjochte ferkear nei de tsjinner as syn gateway, en de tsjinner stjoert dy pakketten troch as himsels, net as in brêge. In TAP-ynterface mei trochstjoering útskeakele is in segmint dat pleatslik antwurdet en neat foarby dat berikt, wat de gewoane healôffene tastân is. Kontrolearje dêrnei de ynterface-tellers oan beide kanten, want in stigende ûntfangstteller mei in flakke stjoerteller oan ’e LAN-kant betsjut in fal yn ’e trochstjoerkeatling, net in minne rûte.

Skriuw de rûte en de firewall-regel as ien feroaring, want elk apart makket in tastân dy’t fan ’e kliïntkant út as in rûtefout liket.

Beslis de weromwei

Of de LAN-rûter leart in rûte werom nei it VPN-prefiks, of de tsjinner oerset boarneadressen op ’e wei út. Oersetting makket de weromwei trivjaal en ferneatiget de boarne-identiteit, sadat bestimmingslogs it adres fan de tsjinner sjen litte foar elke kliïnt derachter. In rûte prefiks behâldt identiteit en freget in feroaring op apparatuer dy’t jo miskien net beheare.

Kies bewust ynstee fan neffens wat flugger te typen is. Ien rûte prefiks is meastentiids skjinner as oersetting, en oersetting is meastentiids better as it learen fan in nij prefiks oan in net-beheard rûter foar ien laboratoarium.

Hâld de útstjoeromfang bewust

Binnen it firtuele segmint gedrage DHCP, ûntdekking en buorlju-oankundiging har as op in switch, want it is ien keppeling. Oer de rûte grins dogge se dat net, dus kantoar-DHCP en tsjinstûntdekking hawwe in eksplisyt ûntwerp nedich ynstee fan in oanname dat TAP se ymplisearret. It ynterfacetype is gjin relais foar tsjinsten dy’t earne oars wenje.

Dat is de earlike reden om hielendal TAP te kiezen: eat op it firtuele segmint hat keppeling-pleatslik gedrach nedich. As neat dat hat, is in TUN-apparaat mei in rûte prefiks lytser, en is der minder te ferklearjen as it brekt.

Kontrolearje, skriuw dan it weromdraaien

Fan in VPN-kliïnt, ping de LAN-rûter, ping in host, en iepenje ien tsjinst dy’t fan belang is oer TCP. Kontrolearje dan de tellers en de trochstjoerkeatling, want in beliedsfal liket fan fierrens krekt op in ûntbrekkende rûte. Weromdraaien is it omkearde fan ’e bou en heart yn ’e feroaringsadministraasje foardat jo begjinne: ferwiderje de rûte, ferwiderje it adres, wiskje de ynterface.

As de eask echt ien Ethernet-segmint is dat twa lokaasjes oerspant, is in brêge it earlike antwurd en in oar ûntwerp mei in oare skaderadius. As de eask berikberens is, docht it isolearre segmint mei in rûte uplink it wurk mei minder letter te ferklearjen.