OpenVPN TUN versus TAP: tiga syarat yang menentukan

Dua terowongan dapat membawa transfer berkas yang sama namun sama sekali berbeda dalam apa yang mereka letakkan di kabel. Yang satu memindahkan paket IP antara dua alamat; yang lain memindahkan frame Ethernet dan dapat dijembatani ke dalam segmen. Perbedaan itulah yang menentukan aplikasi mana yang berfungsi, klien mana yang bisa terhubung, dan berapa banyak desain jaringan yang Anda ambil.

Tiga syarat menyelesaikannya dalam praktik. Kerjakan berurutan, karena syarat pertama biasanya mengakhiri perdebatan.

Apa yang sebenarnya dibawa setiap antarmuka

Perangkat TUN adalah antarmuka titik-ke-titik lapisan 3: kernel memberinya paket IP dan terowongan membawanya ke alamat peer. Perangkat TAP adalah antarmuka lapisan 2 yang membawa frame Ethernet, dan itulah yang membuat penjembatanan mungkin sama sekali, seperti yang dijelaskan dokumentasi kernel. Keduanya tidak mengubah cara payload dienkripsi, dan keduanya bukan pengaturan kekuatan. Pilihannya menyangkut apa yang harus dipertukarkan kedua ujung, bukan seberapa baik lalu lintas dilindungi.

Satu konsekuensi langsung menyusul: kedua ujung harus sepakat. Klien yang dikonfigurasi untuk satu jenis perangkat tidak dapat bergabung dengan server yang dikonfigurasi untuk jenis lainnya, apa pun yang lain cocok.

Syarat pertama: apakah ada yang membutuhkan lapisan dua?

Penjembatanan pantas atas kerumitannya ketika sebuah protokol benar-benar membutuhkan domain siaran yang sama: lalu lintas non-IP, penemuan yang tidak dapat melewati router, atau aplikasi yang bersikeras berada pada satu segmen. Segala hal lainnya adalah masalah perutean, dan perutean menyelesaikannya dengan mesin yang jauh lebih sedikit. Memperluas segmen ke area luas juga memperluas siarannya, sehingga pencegahan loop, perencanaan alamat, dan domain kegagalan semuanya menjadi bagian dari desain. Itu banyak untuk diterima demi kebutuhan yang sebenarnya cukup dipenuhi satu rute.

Ujinya konkret: sebutkan aplikasi yang gagal pada terowongan berute dan jelaskan mengapa. Jika jawabannya bahwa ia membutuhkan siaran, lapisan dua adalah jawaban jujur. Jika jawabannya bahwa seseorang tidak dapat menjangkau satu server, kebutuhannya adalah rute atau aturan firewall.

Syarat kedua: bisakah klien melakukannya?

Dukungan tidak seragam. Klien desktop umumnya menyediakan kedua jenis perangkat, sedangkan klien seluler dan tertanam sering hanya menerapkan mode berute, dan profil yang diimpor tanpa keluhan tetap bisa gagal saat mencoba membuat antarmuka. Periksa klien dan versi spesifik alih-alih menyimpulkan fitur dari nama platform.

Galat opsi tidak didukung bukanlah undangan untuk menghapus baris asing sampai impor berhasil. Itu berarti profil dan klien tidak sepakat tentang apa yang mungkin, dan perbaikannya milik operator yang menerbitkan profil. Menghapus opsi untuk membungkam validator dapat menghasilkan koneksi yang tampak berfungsi sambil diam-diam menghilangkan properti yang seharusnya disediakan.

Syarat ketiga: apakah ini benar-benar soal antarmuka?

Dua pilihan yang berdekatan disalahkan atas masalah antarmuka. Perangkat virtual menentukan apa yang masuk ke terowongan, sedangkan UDP atau TCP menentukan bagaimana transport luar berperilaku, dan keduanya tidak menyembuhkan transfer yang macet. Ketika transfer besar menggantung sementara yang kecil berhasil, ukuran paket dan MTU lebih layak diperhatikan.

Klien yang terhubung lalu tidak dapat menjangkau satu host internal biasanya sedang melihat perutean, aturan firewall, atau jalur balik yang hilang.

Untuk layanan terkelola, gunakan susunan antarmuka yang ditentukan profil operator, karena sisi server sudah dibangun di sekitarnya. Untuk penerapan privat, pilih berdasarkan kebutuhan nyata aplikasi dan tuliskan alasannya di samping pilihan.

Pertanyaannya bukan opsi mana yang lebih kuat. Pertanyaannya adalah mana yang benar-benar dibutuhkan lalu lintas.