Droichead TAP iargúlaithe idir dhá bhord thar OpenVPN

Caithfidh dhá bhord forbartha deighleog Ethernet amháin a roinnt agus a mbinsí i bhfoirgnimh éagsúla. Tá an tollán ann cheana féin agus iompraíonn sé Ethernet cheana féin, mar sin tá an obair atá fágtha cosúil le trí ordú agus ní hea. Is trí fhíric ar leith iad an méid a dhéanann an t-óstach le fráma droichid, cá mbaineann seoladh an ríomhaire féin, agus cén teorainn nach gcruthaíonn an droichead, agus is é an botún sa dara ceann an ghnáthchúis a bhíonn le saotharlann a bheith ag obair go tréimhsiúil agus a rochtain bhainistíochta ag meath go ciúin. Ní fheictear aon cheann de na trí fhíric sin i léarscáil toipeolaíochta.

Glacann an cosán thíos le nasc TAP fíordheimhnithe idir dhá ríomhaire Linux, calafort sreangaithe tiomnaithe amháin in aghaidh an bhins, agus comhéadan bainistíochta nach cuid den turgnamh é. Tá tábhacht leis an ord: frámaí ar dtús, seoltaí ina dhiaidh sin, an teorainn ar deireadh.

Cad a aistríonn an droichead i ndáiríre

Is lasc a chuirtear i bhfeidhm i mbogearraí é droichead. Foghlaimíonn sé cén seoladh MAC a thagann chun solais taobh thiar de ché acu calafort ball, agus seolann sé frámaí idir baill gan dul i gcomhairle le tábla ródaithe IP. Níl aon rud sa chur síos sin a bhaineann le fo-líonra, geata ná ród réamhshocraithe, agus is é sin an fáth nach gcruthaíonn cumasú aistrithe IP an ceangal seo agus gur féidir le ping éirí as an áireamh fós ag teip ar thrácht eile. Is féidir le bord a chomhghleacaí a bhaint amach gan aon ród réamhshocraithe cumraithe ar chor ar bith, rud a chuireann iontas ar dhaoine a bhfuil súil acu go n-iompraíonn ciseal a dó féin mar chiseal a trí.

Cuireann gach ríomhaire calafort sreangaithe amháin leis an droichead agus an gléas TAP leis an droichead céanna, mar sin téann fráma ó bhord isteach sa chalafort áitiúil, seoltar chuig an ngléas TAP é, trasnaíonn sé an tollán, sroicheann sé gléas TAP an chomhpháirtí agus seoltar amach chuig bord an chomhpháirtí é. Is calafort ball é an tollán cosúil le haon cheann eile, agus ní bhíonn a fhios ag an droichead ná is cuma leis go bhfuil VPN taobh thiar de. Is é an tsímsiméadracht sin a dhéanann an sampla éasca le réasúnú: tá calafort amháin i dtreo na saotharlainne agus calafort tolláin amháin ag gach taobh, agus níl aon taobh speisialta.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Is ainmneacha áitiúla iad na hainmneacha céanna ar an dá ríomhaire, ní rudaí comhroinnte. Tá cosán Ethernet amháin idir na binsí, gan dara cábla agus gan dara tollán a dhúnann lúb; seolfaidh droichead a fheiceann an MAC céanna ag teacht ar dhá chalafort go sásta i gciorcail.

Seoladh a thabhairt don droichead, ní dá chalafoirt bhall

Baineann féiniúlacht an ríomhaire ar dheighleog na saotharlainne leis an ngléas droichid. Fanann calafoirt bhall gan uimhir, mar is ball aistrithe é calafort agus chruthódh seoladh air dara húinéir iomaíoch ar an deighleog chéanna. Seo an ceartú a dhéanann formhór na n-oideas lámhscríofa mícheart: seolann siad an gléas TAP agus an droichead, agus ansin fiafraíonn siad cé acu a shroicheann an comhpháirtí i ndáiríre.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Úsáideann an comhpháirtí an fhoirm chéanna le seoladh óstaigh eile, agus tógann na boird seoltaí sa raon céanna agus seoladh droichid an ríomhaire mar an chéad chéim eile má theastaíonn ceann uathu. Úsáid raonta doiciméadachta go dtí go gcomhaontaítear an plean, agus cuir an raon in áirithe ionas nach dtagann sé salach ar aon rud a ródálann an oifig cheana féin. Sula rithfidh tú aon chuid de, deimhnigh nach bhfuil aon seoladh fágtha, aon chliant DHCP ná ballraíocht i ndroichead eile ag na calafoirt bhall, agus réitigh seoladh an ghléis TAP tríd an rud a shealbhaíonn cumraíocht an tolláin ionas nach gcuirfidh sé seoladh ar ais níos déanaí.

Cén fáth calafort tiomnaithe amháin in aghaidh an bhins

Is é calafort sreangaithe tiomnaithe a choinníonn an turgnamh ó bheith ina athrú ar fud na hoifige. Iompraíonn an comhéadan bainistíochta SSH, an ród réamhshocraithe agus an nasc VPN seachtrach, agus ní bhaineann aon cheann díobh sin le droichead a bhfuil sé mar chuspóir aige frámaí saotharlainne a aistriú.

Cuireann ceangal oiriúnaitheora bainistíochta LAN na hoifige achar aon chinneadh aistrithe ó bhord forbartha, agus is bord a iompraíonn go dona ag ciseal a dó go beacht an cineál gléis nach dteastaíonn uait ar an deighleog sin. Tá oiriúnaitheoir Wi-Fi níos measa: ní iompraíonn sé féin mar a iompraíonn droicheadú Ethernet nuair a dhéantar droicheadú ar chomhéadan gan sreang i mód bonneagair, agus bíonn an teip mearbhallach seachas glan.

Coinnigh raon na saotharlainne amach as aon raon DHCP táirgthe. Má theastaíonn seoladh dinimiciúil ó na boird níos déanaí, is é aon leithdháileoir údaraithe le haon linn amháin an t-aon socrú a fhanann intuartha; cruthaíonn gnáth-ródair dhá shuíomh a fhreagraíonn ar an deighleog chéanna seoltaí nach féidir le duine ar bith a mhíniú.

An teorainn nach gcruthaíonn an droichead

Ní ródú é droicheadú, agus ní hiargúlú é ach oiread. Is féidir le frámaí a thrasnaíonn an droichead teacht ar chrúcaí scagtha an óstaigh fós, ag brath ar an gcosán bridge-netfilter atá suiteáilte, mar sin caithfear an beartas éifeachtach a scrúdú seachas a ghlacadh mar rud cinnte. Má dhíghníomhaítear an balla dóiteáin mar gur chailltear fráma amháin, malartaítear fabht sonrach ar fhabht ginearálta.

Ba cheart aistriú IP idir an droichead agus gach comhéadan bainistíochta nó uplink a choinneáil múchta nó a dhiúltú go sainráite, agus is rialú ar leith é sin ó bhallraíocht an droichid. Déanann bord a roghnaíonn seoladh saotharlainne an ríomhaire mar gheata dó tástáil ar an rud beacht seo: má éiríonn le hidirthrácht bhainistíochta, ní raibh an teorainn a bhí beartaithe agat ann riamh.

Tá dhá theaghlach eile tuillte ag cinneadh sainráite. Ní dhéanann an plean seolta an droichead ina IPv4 amháin, mar sin teastaíonn a bplean nó a scagaire féin ó IPv6 agus ó EtherTypes eile. Agus ní deir ping rathúil aon rud faoi cé acu a thrasnóidh craoltaí fionnachtana, grúpaí multicast nó frámaí jumbo an bhoird an cosán, mar is aicmí tráchta éagsúla iad siúd le réamhshocruithe éagsúla.

Ar deireadh, is dhá cheannachán éagsúla iad iompar agus rúndacht. Iompraíonn TAP Ethernet; soláthraíonn seirbhís OpenVPN an chosaint timpeall air. Iompraíonn forleagan VXLAN Ethernet freisin agus ní sholáthraíonn sé aon rúndacht ann féin, mar sin athraíonn ionadú ceann amháin don cheann eile na hairíonna slándála fiú nuair a fhéachann an léarscáil toipeolaíochta mar an gcéanna.

Seasmhacht agus na tástálacha a chruthaíonn í

Ní cumraíocht é ordú a chlóscríobhtar uair amháin tar éis nascadh. Déan an droichead, ballraíocht na gcalafort agus an t-aon seoladh óstaigh a dhéanamh seasmhach trí bhainisteoir líonra reatha an ríomhaire, agus ceangail an nasc le feiceáil an ghléis TAP ionas nach bhfágfaidh athnascadh droichead le ball atá imithe as.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Ansin tástáil an méid a theastaíonn ó na boird i ndáiríre sa dá threo, athnasc an tollán, agus atosaigh ríomhaire amháin faoin bplean aisghabhála ceadaithe. Deimhnigh trí rud ina dhiaidh sin: oibríonn rochtain bhainistíochta go neamhspleách fós, ní fheictear aon seoladh saotharlainne dúblach, agus níor tháinig aon chomhéadan táirgthe gan choinne isteach sa droichead. Is é an meascán sin an cruthúnas gur fhan an turgnamh laistigh dá bhinse.