ब्रिज के बिना TAP: राउटेड अपलिंक वाला एक वर्चुअल सेगमेंट

TAP Ethernet फ़्रेम ऑपरेटिंग सिस्टम को सौंपता है, जो अधिकांश रिमोट-एक्सेस डिज़ाइनों की ज़रूरत से अधिक क्षमता है और ब्रिज से कम। कर्नेल इसे पता दे सकता है, इसके ज़रिए राउट कर सकता है और किसी भौतिक सेगमेंट से जोड़े बिना इस पर फ़ायरवॉल लगा सकता है। इस व्यवस्था को पहले समझना उचित है: एक अलग वर्चुअल Ethernet सेगमेंट जिसका सर्वर वास्तविक LAN की ओर राउटर की तरह काम करता है। यह टनल के भीतर दूसरी परत का व्यवहार और बाहर सामान्य IP फ़ॉरवर्डिंग देता है, जो दो अलग वादे हैं। बाकी निर्माण, राउट, वापसी पथ और रोलबैक है।

अलग सेगमेंट बनाएँ

लिनक्स में इंटरफ़ेस तीन आदेश लेता है: इसे बनाएँ, इसे ऊपर उठाएँ, और जिस सेगमेंट का आप इरादा रखते हैं उसके भीतर इसे एक पता दें। ऐसा प्रीफ़िक्स चुनें जो ऑफ़िस LAN से टकराए नहीं और उसे लिख लें, क्योंकि टकराव तब तक अदृश्य है जब तक कोई ऐसा होस्ट जवाब न दे जो अस्तित्व में नहीं होना चाहिए।

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

यहाँ कुछ भी ब्रिज की माँग नहीं करता, और बाद में एक जोड़ने से कुछ नहीं रोकता। कर्नेल का TUN/TAP दस्तावेज़ इंटरफ़ेस का ही वर्णन करता है; ब्रिज की सदस्यता और फ़ॉरवर्डिंग नीति अलग निर्णय हैं जो आप बाद में लेते हैं।

सीमा के पार राउट करें

फ़ॉरवर्डिंग सक्षम करें, फ़ॉरवर्ड श्रृंखला में दोनों प्रीफ़िक्स की अनुमति दें, और LAN राउटर को अगला हॉप रखते हुए ऑफ़िस प्रीफ़िक्स की ओर एक राउट जोड़ें। फिर VPN पक्ष ऑफ़िस की ओर जाने वाला ट्रैफ़िक अपने गेटवे के रूप में सर्वर को भेजता है, और सर्वर उन पैकेटों को ब्रिज के रूप में नहीं, स्वयं के रूप में फ़ॉरवर्ड करता है। फ़ॉरवर्डिंग बंद वाला TAP इंटरफ़ेस ऐसा सेगमेंट है जो स्थानीय रूप से जवाब देता है और उससे आगे कुछ नहीं पहुँचाता, जो सामान्य आधा-अधूरा हाल है। बाद में दोनों ओर इंटरफ़ेस काउंटर जाँचें, क्योंकि LAN की ओर स्थिर ट्रांसमिट काउंटर के साथ बढ़ता रिसीव काउंटर खराब राउट नहीं, फ़ॉरवर्ड श्रृंखला में ड्रॉप का अर्थ है।

राउट और फ़ायरवॉल नियम को एक ही बदलाव के रूप में लिखें, क्योंकि हर एक अलग-अलग ऐसी स्थिति बनाता है जो क्लाइंट की ओर से राउटिंग विफलता जैसी दिखती है।

वापसी पथ तय करें

या तो LAN राउटर VPN प्रीफ़िक्स की ओर वापसी राउट सीखता है, या सर्वर बाहर जाते समय स्रोत पतों का अनुवाद करता है। अनुवाद वापसी पथ को तुच्छ बना देता है और स्रोत की पहचान नष्ट कर देता है, इसलिए गंतव्य लॉग उसके पीछे के हर क्लाइंट के लिए सर्वर का पता दिखाएँगे। राउटेड प्रीफ़िक्स पहचान बनाए रखता है और ऐसे उपकरण पर बदलाव माँगता है जिसे आप शायद प्रबंधित नहीं करते।

जानबूझकर चुनें, इस आधार पर नहीं कि क्या टाइप करना तेज़ है। एक राउटेड प्रीफ़िक्स आमतौर पर अनुवाद से साफ़ होता है, और एक ही प्रयोगशाला के लिए अनियंत्रित राउटर को नया प्रीफ़िक्स सिखाने से अनुवाद आमतौर पर बेहतर है।

ब्रॉडकास्ट का दायरा जानबूझकर रखें

वर्चुअल सेगमेंट के भीतर DHCP, खोज और पड़ोसी घोषणा स्विच पर जैसे व्यवहार करते हैं, क्योंकि यह एक ही लिंक है। राउटेड सीमा के पार वे ऐसा नहीं करते, इसलिए ऑफ़िस DHCP और सेवा खोज को स्पष्ट डिज़ाइन चाहिए, न कि यह धारणा कि TAP उन्हें शामिल करता है। इंटरफ़ेस का प्रकार कहीं और रहने वाली सेवाओं के लिए रिले नहीं है।

TAP चुनने का ईमानदार कारण यही है: वर्चुअल सेगमेंट पर किसी चीज़ को लिंक-स्थानीय व्यवहार चाहिए। अगर किसी को नहीं चाहिए, तो राउटेड प्रीफ़िक्स वाला TUN डिवाइस छोटा है, और टूटने पर समझाने को कम रहता है।

जाँचें, फिर रोलबैक लिखें

VPN क्लाइंट से LAN राउटर को पिंग करें, किसी होस्ट को पिंग करें, और TCP पर कोई एक महत्वपूर्ण सेवा खोलें। फिर काउंटर और फ़ॉरवर्ड श्रृंखला जाँचें, क्योंकि दूर से नीति-ड्रॉप ठीक गुम राउट जैसा दिखता है। रोलबैक निर्माण का उल्टा है और शुरू करने से पहले बदलाव रिकॉर्ड में होना चाहिए: राउट हटाएँ, पता हटाएँ, इंटरफ़ेस मिटाएँ।

अगर आवश्यकता सचमुच दो साइटों में फैला एक Ethernet सेगमेंट है, तो ब्रिज ईमानदार जवाब है और अलग प्रभाव-त्रिज्या वाला अलग डिज़ाइन। अगर आवश्यकता पहुँच है, तो राउटेड अपलिंक वाला अलग सेगमेंट बाद में कम समझाए बिना काम कर देता है।