Մեկ TAP սերվեր, թե մի քանիս. OpenVPN հաճախորդները կամուրջի վրա

Մի քանի TAP հաճախորդ չեն պահանջում յուրաքանչյուրի համար մեկ սերվերի գործընթաց, մեկ UDP պորտ և հոսթի մեկ TAP սարք։ Ethernet ռեժիմում մեկ OpenVPN սերվեր կարող է ընդունել շատ նույնականացված հաճախորդներ և միացնել նրանց մեկ կամուրջի, և դա 2-րդ շերտի սեգմենտը ընդլայնելու փաստաթղթավորված եղանակն է։ Մեկ գործընթացով ձևավորումն այն է, ինչ փաստաթղթավորում է ձեռնարկը, և սովորաբար դա ճիշտ լռելյայնն է։

Իսկական հարցն այն է, թե արդյոք այդ հաճախորդները պետք է կիսեն այդ սեգմենտը։ Գործընթացների քանակը չի պատասխանում դրան, որովհետև մեկուսացման հատկությունները գալիս են տոպոլոգիայից, ոչ թե նրանից, թե քանի դեմոն է աշխատում։ Այս համեմատության մնացած մասը երկու տոպոլոգիաների և դրանցից յուրաքանչյուրի հեշտացրածի մասին է։

Երկու ճարտարապետություն, ոչ թե երկու կարգավորում

Երթուղային TUN տեղաբաշխումը յուրաքանչյուր հաճախորդի տալիս է կետ-կետ կապ սերվերի երթուղավորման տիրույթում։ Հեռարձակումները կանգ են առնում սերվերի մոտ, հաճախորդները չեն տեսնում միմյանց շրջանակները, և հաճախորդների միջև երթևեկությունը, եթե կա, պետք է բացահայտ երթուղավորվի և զտվի։

Կամրջված TAP տեղաբաշխումը հաճախորդներին դարձնում է մեկ Ethernet սեգմենտի անդամներ։ Նրանք տեսնում են հեռարձակումները, կարող են գտնել միմյանց ARP-ով և առանձին մնալու համար ապավինում են կամրջի և հրդեհային պատի քաղաքականությանը, ոչ թե երթուղավորմանը։ Դա օգտակար է, երբ հաճախորդները պետք է երևան այնպես, ասես միացված են նույն անջատիչին։

Ուստի համեմատությունը այն մասին է, թե ինչին պետք է հասնեն հաճախորդները, ոչ թե արտադրողականության։ Նախ ընտրեք շերտը, ապա որոշեք, թե քանի գործընթաց է սպասարկում այն։

Ինչ է անում server-bridge օժանդակը

server-bridge օժանդակը կարգավորում է բազմահաճախորդ Ethernet ռեժիմը։ Նրա հասցեների լողավազանի ձևը վերցնում է դարպասը, ցանցի դիմակը և կամրջված ենթացանցի ներսում հատուկ տիրույթ, օրինակ՝ դարպաս 192.168.50.1 հասցեով և լողավազան 192.168.50.160-ից 192.168.50.199։

Պահեք այդ տիրույթը ցանկացած այլ DHCP կամ ստատիկ հատկացումից դուրս։ Օժանդակը հասցեներ է հատկացնում դրանից, բայց չի համակարգում նույն սեգմենտի մեկ այլ հատկացնողի հետ, և երկու համընկնող լողավազաններ ստեղծում են կրկնվող հասցեներ, որոնք նման են պատահական կապի խափանումների։ Գրեք արգելված տիրույթը կայքի հասցեային պլանում, որպեսզի հաջորդ մարդը չօգտագործի այն կրկին։ Սերվերի կարգավորման մեկնաբանությունը վատ փոխարինիչ է այդ գրառմանը։

Գոյություն ունի DHCP-փոխանորդի ձև այն տեղաբաշխումների համար, որտեղ արտաքին սերվերն է բաժանում հասցեները։ Այն ունի իր նախապայմանները, և երկու ձևերի խառնումը ստեղծում է հենց այն հակամարտությունը, որի մասին զգուշացնում է փաստաթղթավորումը։ Կամրջված ենթացանցի համար ընտրեք մեկ հատկացնող։

Մեկուսացումը գործընթացների քանակից չի գալիս

Նույն չսահմանափակված կամրջին միացված ութ OpenVPN գործընթաց դեռևս կիսում են մեկ հեռարձակման տիրույթ։ Հաճախորդները կարող են ARP ուղարկել միմյանց կամրջի վրայով, և ունկնդիրների քանակը ոչինչ չփոխեց դրանում։

Եթե պահանջն այն է, որ հաճախորդների խմբերը չտեսնեն միմյանց 2-րդ շերտում, ձևավորմանը պետք են առանձին կամուրջներ կամ VLAN միացումներ՝ դրանց հետ կապված մուտքի կանոններով։ Սա ցանցի ձևավորման որոշում է, և նույն որոշումն է՝ անկախ նրանից, թե մեկ սերվերի գործընթաց է ներգրավված, թե ութ։ Կամրջի զտումը կարող է սահմանափակել որոշ երթևեկություն, բայց առանձին հեռարձակման տիրույթներ չի ստեղծում։ Դիտարկեք այն որպես սեգմենտավորման հավելում, ոչ թե փոխարինում։

Եթե պահանջը միայն այն է, որ հաճախորդները հասնեն որոշակի IP ծառայությունների, երթուղային TUN ձևավորումը սովորաբար ավելի պարզ է, քան կամրջումը զտման հետ միասին։ Յուրաքանչյուր հաճախորդ ստանում է իր կապը, և քաղաքականությունն ապրում է երթուղավորման ու հրդեհային պատի կանոններում, ոչ թե կամրջի ներսում։

Երբ մի քանի գործընթաց դեռ ճիշտ է

Առանձին գործընթացները կարող են արդարացված լինել գործառնական կարիքներով՝ տարբեր նույնականացման հենակետեր, տարբեր վկայագրային մարմիններ, առանձին թարմացման ցիկլեր կամ անհամատեղելի ընտրանքների հավաքածուներ։ Դրանք իրական պատճառներ են և անկախ են հաճախորդների քանակից։

Եթե օգտագործում եք մի քանիսը, տվեք յուրաքանչյուրին իր ունկնդիրը և սարքի տիրապետությունը, և համաձայնեցրեք հասցեների տիրույթները։ Երկու սերվեր, որոնք երկուսն էլ կարծում են, թե տիրապետում են նույն լողավազանին նույն կամրջի վրա, վերջիվերջո կտան նույն հասցեն։

Ապա ստուգեք ձևավորումը միաժամանակ մի քանի հաճախորդով։ Ստուգեք, որ հասցեները եզակի են, որ նախատեսված հաճախորդների միջև երթևեկությունը աշխատում է, և որ այն զույգը, որը չպետք է հաղորդակցվի, չի կարող։ Մեկ հաճախորդի հաջող ping-ը ոչինչ չի փորձարկում բազմահաճախորդ ձևավորումից։

Կարդացեք կամուրջը և սերվերի ռեժիմը աշխատող հոսթից նախքան դիագրամին վստահելը։ Կարևոր կարգավորումը այն է, ինչը իրականում բեռնել են միջուկը և դեմոնը, և հենց այն է, ինչը կարող է ստուգել գրախոսը։