Jedan TAP poslužitelj ili više? OpenVPN klijenti na mostu

Više TAP klijenata ne zahtijeva po jedan proces poslužitelja, jedan UDP port i jedan TAP uređaj na hostu za svakoga. Jedan OpenVPN poslužitelj u Ethernet načinu rada može primiti mnogo autentificiranih klijenata i priključiti ih na jedan most, a to je dokumentirani način proširenja segmenta sloja 2. Dizajn s jednim procesom je onaj koji priručnik dokumentira i obično je ispravan zadani izbor.

Pravo je pitanje trebaju li ti klijenti dijeliti taj segment. Broj procesa na to ne odgovara, jer svojstva izolacije dolaze iz topologije, a ne iz toga koliko demona radi. Ostatak ove usporedbe tiče se dviju topologija i onoga što svaka olakšava.

Dvije arhitekture, a ne dvije postavke

Rutirana TUN implementacija daje svakom klijentu točku-na-točku vezu u rutirajuću domenu poslužitelja. Broadcast se zaustavlja na poslužitelju, klijenti ne mogu vidjeti okvire jedni drugih, a promet između klijenata, ako ga ima, mora se eksplicitno rutirati i filtrirati.

Premosna TAP implementacija čini klijente članovima jednog Ethernet segmenta. Oni vide broadcast, mogu se međusobno razriješiti pomoću ARP-a i ovise o politici mosta i vatrozida, a ne o rutiranju, da bi ostali odvojeni. To je korisno kada klijenti moraju izgledati kao da su uključeni u isti preklopnik.

Usporedba je stoga o tome do čega klijenti moraju doći, a ne o izvedbi. Najprije odaberite sloj, pa odlučite koliko procesa ga poslužuje.

Što radi pomoćnik server-bridge

Pomoćnik server-bridge konfigurira Ethernet način rada za više klijenata. Njegov oblik s bazenom adresa prima pristupnik, mrežnu masku i namjenski raspon unutar premosne podmreže, na primjer pristupnik 192.168.50.1 s bazenom od 192.168.50.160 do 192.168.50.199.

Rezervirajte taj raspon izvan svake druge DHCP ili statičke dodjele. Pomoćnik dodjeljuje adrese iz njega, ali se ne usklađuje s drugim dodjeljivačem na istom segmentu, a dva bazena koja se preklapaju daju duplikate adresa koji izgledaju kao slučajni prekidi povezanosti. Upišite rezervirani raspon u adresni plan lokacije da ga sljedeća osoba ne iskoristi ponovno. Komentar u konfiguraciji poslužitelja loša je zamjena za takav zapis.

Postoji oblik s DHCP posrednikom za implementacije u kojima adrese dijeli vanjski poslužitelj. On ima svoje preduvjete, a miješanje dvaju oblika stvara upravo sukob na koji dokumentacija upozorava. Odaberite jedan dodjeljivač za premosnu podmrežu.

Izolacija ne dolazi od broja procesa

Osam OpenVPN procesa priključenih na isti neograničeni most i dalje dijeli jednu broadcast domenu. Klijenti mogu slati ARP jedni drugima preko mosta, a broj slušatelja na tome nije ništa promijenio.

Ako je zahtjev da grupe klijenata ne vide jedna drugu na sloju 2, dizajnu trebaju odvojeni mostovi ili VLAN priključci uz pristupna pravila koja idu s njima. To je odluka o dizajnu mreže i ista je bez obzira na to sudjeluje li jedan proces poslužitelja ili osam. Filtriranje mosta može ograničiti dio prometa, ali ne stvara odvojene broadcast domene. Tretirajte ga kao dopunu segmentaciji, a ne kao njezinu zamjenu.

Ako je zahtjev samo da klijenti dođu do određenih IP servisa, rutirani TUN dizajn obično je jednostavniji od premošćivanja s filtriranjem. Svaki klijent dobiva svoju vezu, a politika živi u pravilima rutiranja i vatrozida umjesto u unutrašnjosti mosta.

Kada je više procesa ipak ispravno

Odvojeni procesi mogu se opravdati operativnim potrebama: različita pozadinska sustava autentifikacije, različita tijela za izdavanje certifikata, odvojeni ciklusi nadogradnje ili nekompatibilni skupovi opcija. To su stvarni razlozi i ne ovise o broju klijenata.

Ako ih koristite više, dajte svakome vlastiti slušatelj i vlasništvo nad uređajem te uskladite raspone adresa. Dva poslužitelja koja oba vjeruju da posjeduju isti bazen na istom mostu prije ili kasnije će dodijeliti istu adresu.

Zatim provjerite dizajn s više klijenata istodobno. Provjerite da su adrese jedinstvene, da namjeravani promet između klijenata radi i da par koji ne smije komunicirati to ne može. Uspješan ping jednog klijenta ne provjerava ništa od dizajna za više klijenata.

Pročitajte most i način rada poslužitelja s hosta koji radi prije nego što povjerujete dijagramu. Konfiguracija koja je važna jest ona koju su kernel i demon zaista učitali, a to je i ona koju recenzent može provjeriti.