Satu server TAP atau beberapa? Klien OpenVPN di atas bridge

Beberapa klien TAP tidak memerlukan satu proses server, satu port UDP, dan satu perangkat TAP host untuk masing-masing. Satu server OpenVPN dalam mode Ethernet dapat menerima banyak klien terautentikasi dan menempelkannya ke satu bridge, dan itulah cara terdokumentasi untuk memperluas segmen lapisan 2. Desain satu proses adalah yang didokumentasikan manual, dan biasanya itulah default yang tepat.

Pertanyaan sebenarnya adalah apakah klien-klien itu harus berbagi segmen tersebut. Jumlah proses tidak menjawabnya, karena sifat isolasi berasal dari topologi, bukan dari berapa banyak daemon yang berjalan. Sisa perbandingan ini membahas kedua topologi dan apa yang dimudahkan masing-masing.

Dua arsitektur, bukan dua pengaturan

Penerapan TUN yang dirutekan memberi setiap klien tautan titik-ke-titik ke domain perutean server. Siaran berhenti di server, klien tidak dapat melihat frame satu sama lain, dan lalu lintas antar-klien, jika ada, harus dirutekan dan difilter secara eksplisit.

Penerapan TAP yang di-bridge menjadikan klien anggota satu segmen Ethernet. Mereka melihat siaran, dapat saling menemukan dengan ARP, dan bergantung pada kebijakan bridge dan firewall alih-alih perutean untuk tetap terpisah. Itu berguna ketika klien harus tampak seolah-olah terpasang di switch yang sama.

Jadi perbandingannya adalah tentang apa yang harus dicapai klien, bukan tentang kinerja. Pilih lapisannya lebih dulu, lalu putuskan berapa proses yang melayaninya.

Apa yang dilakukan helper server-bridge

Helper server-bridge mengonfigurasi mode Ethernet banyak klien. Bentuk kumpulan alamatnya mengambil gateway, netmask, dan rentang khusus di dalam subnet yang di-bridge, misalnya gateway di 192.168.50.1 dengan kumpulan dari 192.168.50.160 hingga 192.168.50.199.

Cadangkan rentang itu di luar penetapan DHCP atau statis lainnya. Helper mengalokasikan alamat darinya, tetapi tidak berkoordinasi dengan pengalokasi lain di segmen yang sama, dan dua kumpulan yang tumpang tindih menghasilkan alamat ganda yang tampak seperti kegagalan konektivitas acak. Tulis rentang yang dicadangkan ke dalam rencana alamat situs agar orang berikutnya tidak memakainya lagi. Komentar dalam konfigurasi server adalah pengganti yang buruk untuk catatan itu.

Ada bentuk dengan proxy DHCP untuk penerapan yang alamatnya dibagikan server eksternal. Bentuk itu punya prasyaratnya sendiri, dan mencampur kedua bentuk menghasilkan persis konflik yang diperingatkan dokumentasi. Pilih satu pengalokasi untuk subnet yang di-bridge.

Isolasi tidak berasal dari jumlah proses

Delapan proses OpenVPN yang terpasang pada bridge tanpa batas yang sama tetap berbagi satu domain siaran. Klien dapat mengirim ARP satu sama lain melalui bridge, dan jumlah pendengar tidak mengubah apa pun soal itu.

Jika persyaratannya adalah kelompok klien tidak boleh saling melihat di lapisan 2, desainnya memerlukan bridge terpisah atau sambungan VLAN, beserta aturan akses yang menyertainya. Itu keputusan desain jaringan, dan keputusan itu sama apakah satu proses server atau delapan yang terlibat. Pemfilteran bridge dapat membatasi sebagian lalu lintas, tetapi tidak menciptakan domain siaran terpisah. Perlakukan itu sebagai pelengkap segmentasi, bukan penggantinya.

Jika persyaratannya hanya agar klien menjangkau layanan IP tertentu, desain TUN yang dirutekan biasanya lebih sederhana daripada bridging plus pemfilteran. Setiap klien mendapat tautannya sendiri, dan kebijakan hidup di aturan perutean dan firewall alih-alih di dalam bridge.

Kapan beberapa proses tetap tepat

Proses terpisah dapat dibenarkan oleh kebutuhan operasional: backend autentikasi berbeda, otoritas sertifikat berbeda, siklus peningkatan terpisah, atau kumpulan opsi yang tidak kompatibel. Itu alasan nyata dan tidak bergantung pada jumlah klien.

Jika Anda memakai beberapa, beri masing-masing pendengar dan kepemilikan perangkat sendiri, dan koordinasikan rentang alamatnya. Dua server yang keduanya yakin memiliki kumpulan yang sama di bridge yang sama akhirnya akan membagikan alamat yang sama.

Lalu verifikasi desainnya dengan beberapa klien sekaligus. Periksa bahwa alamatnya unik, bahwa lalu lintas antar-klien yang dimaksud bekerja, dan bahwa pasangan yang tidak boleh berkomunikasi memang tidak bisa. Ping yang berhasil dari satu klien tidak menguji apa pun dari desain banyak klien.

Baca bridge dan mode server dari host yang berjalan sebelum memercayai diagram. Konfigurasi yang penting adalah yang benar-benar dimuat kernel dan daemon, dan itulah juga yang dapat diperiksa seorang peninjau.