TAP híd nélkül: virtuális szegmens útvonalazott felső kapcsolattal

A TAP átadja az Ethernet-kereteket az operációs rendszernek, ami több képesség, mint amire a legtöbb távelérési tervezésnek szüksége van, és kevesebb, mint egy híd. A kernel címezheti, rajta keresztül útvonalazhat, és tűzfallal védheti anélkül, hogy bármely fizikai szegmenshez csatlakoztatná. Ezt az elrendezést érdemes először megérteni: egy elkülönített virtuális Ethernet-szegmens, amelynek kiszolgálója útválasztóként működik egy valódi LAN felé. Második rétegbeli viselkedést ad az alagúton belül és hagyományos IP-továbbítást azon kívül, ami két különböző ígéret. A többi az építés, az útvonal, a visszaút és a visszaállítás.

Építse fel az elkülönített szegmenst

Linuxon az interfész három parancsot vesz: hozza létre, hozza fel, és adjon neki címet a szándékolt szegmensen belül. Válasszon olyan előtagot, amely nem ütközik az irodai LAN-nal, és írja le, mert az ütközés láthatatlan, amíg nem válaszol egy gazdagép, amelynek nem kellene léteznie.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Itt semmi sem igényel hidat, és semmi sem akadályozza meg, hogy később hozzáadjon egyet. A kernel TUN/TAP dokumentációja magát az interfészt írja le; a hídhoz tartozás és a továbbítási szabályzat külön döntések, amelyeket később hoz meg.

Útvonalazzon át a határon

Engedélyezze a továbbítást, engedje meg a két előtagot a továbbítási láncban, és adjon hozzá útvonalat az irodai előtag felé a LAN útválasztójával következő ugrásként. A VPN-oldal ezután az iroda felé menő forgalmat a kiszolgálónak küldi átjárójaként, a kiszolgáló pedig ezeket a csomagokat önmagaként továbbítja, nem hídként. A kikapcsolt továbbítású TAP-interfész olyan szegmens, amely helyben válaszol, és semmit nem ér el azon túl, ami a szokásos félkész állapot. Ezután ellenőrizze az interfész számlálóit mindkét oldalon, mert a LAN-oldalon emelkedő fogadási számláló lapos küldési számláló mellett a továbbítási láncban bekövetkező kiesést jelent, nem rossz útvonalat.

Írja meg az útvonalat és a tűzfal-szabályt egyetlen változtatásként, mert külön-külön mindegyik olyan állapotot hoz létre, amely az ügyfél oldaláról útválasztási hibának látszik.

Döntse el a visszautat

Vagy a LAN útválasztója megtanul egy visszautat a VPN-előtaghoz, vagy a kiszolgáló lefordítja a forrás-címeket kifelé menet. A fordítás triviálissá teszi a visszautat és megsemmisíti a forrás identitását, ezért a célnaplók a kiszolgáló címét fogják mutatni minden mögötte lévő ügyfélnél. Az útvonalazott előtag megőrzi az identitást, és olyan eszközön igényel változtatást, amelyet talán nem kezel.

Szándékosan válasszon, ne aszerint, hogy melyiket gyorsabb begépelni. Egyetlen útvonalazott előtag általában tisztább a fordításnál, a fordítás pedig általában jobb, mint egy nem kezelt útválasztónak új előtagot tanítani egyetlen labor kedvéért.

Tartsa szándékosnak a szórási hatókört

A virtuális szegmensen belül a DHCP, a felderítés és a szomszédhirdetés úgy viselkedik, mint egy kapcsolón, mert ez egyetlen kapcsolat. Az útvonalazott határon túl nem teszik ezt, ezért az irodai DHCP-nek és a szolgáltatásfelderítésnek kifejezett tervezésre van szüksége, nem arra a feltevésre, hogy a TAP magában foglalja őket. Az interfész típusa nem átjátszó azoknak a szolgáltatásoknak, amelyek máshol élnek.

Ez az őszinte ok a TAP választására egyáltalán: valaminek a virtuális szegmensen kapcsolat-lokális viselkedésre van szüksége. Ha semminek nincs rá szüksége, az útvonalazott előtagú TUN-eszköz kisebb, és kevesebb a magyaráznivaló, amikor elromlik.

Ellenőrizze, majd írja meg a visszaállítást

Egy VPN-ügyfélről pingelje a LAN útválasztóját, pingeljen egy gazdagépet, és nyisson meg egy fontos szolgáltatást TCP-n. Ezután ellenőrizze a számlálókat és a továbbítási láncot, mert egy szabályzati kiesés távolról pontosan hiányzó útvonalként néz ki. A visszaállítás az építés fordítottja, és a változási nyilvántartásba tartozik a kezdés előtt: távolítsa el az útvonalat, távolítsa el a címet, törölje az interfészt.

Ha a követelmény valóban egy Ethernet-szegmens két helyszín között, a híd az őszinte válasz és egy más hatósugarú, más tervezés. Ha a követelmény az elérhetőség, az elkülönített szegmens útvonalazott felső kapcsolattal elvégzi a munkát kevesebb későbbi magyarázattal.