TAP tanpa jembatan: segmen virtual dengan uplink ter-route

TAP menyerahkan frame Ethernet ke sistem operasi, yang merupakan kemampuan lebih besar daripada yang dibutuhkan sebagian besar desain akses jarak jauh dan lebih kecil daripada jembatan. Kernel dapat memberinya alamat, merutekan melaluinya, dan melindunginya dengan firewall tanpa menyambungkannya ke segmen fisik mana pun. Susunan itu layak dipahami lebih dulu: segmen Ethernet virtual yang terisolasi yang servernya bertindak sebagai router menuju LAN sungguhan. Ia memberi perilaku lapisan kedua di dalam terowongan dan penerusan IP biasa di luarnya, yang merupakan dua janji berbeda. Sisanya adalah pembangunan, rute, jalur kembali, dan pembatalan.

Bangun segmen terisolasi

Di Linux antarmuka menerima tiga perintah: buat, naikkan, dan beri alamat di dalam segmen yang Anda maksud. Pilih prefiks yang tidak bentrok dengan LAN kantor dan catat, karena bentrokan tidak terlihat sampai ada host yang seharusnya tidak ada menjawab.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Tidak ada yang memerlukan jembatan di sini, dan tidak ada yang mencegah menambahkannya nanti. Dokumentasi kernel tentang TUN/TAP menjelaskan antarmuka itu sendiri; keanggotaan jembatan dan kebijakan penerusan adalah keputusan terpisah yang Anda ambil sesudahnya.

Rutekan melintasi batas

Aktifkan penerusan, izinkan kedua prefiks di rantai penerusan, dan tambahkan rute menuju prefiks kantor dengan router LAN sebagai lompatan berikutnya. Sisi VPN lalu mengirim lalu lintas menuju kantor ke server sebagai gateway-nya, dan server meneruskan paket-paket itu sebagai dirinya sendiri, bukan sebagai jembatan. Antarmuka TAP dengan penerusan dimatikan adalah segmen yang menjawab secara lokal dan tidak menjangkau apa pun di luarnya, yang merupakan keadaan setengah jadi yang biasa. Periksa penghitung antarmuka di kedua sisi sesudahnya, karena penghitung terima yang naik dengan penghitung kirim yang datar di sisi LAN berarti penurunan di rantai penerusan, bukan rute yang buruk.

Tulis rute dan aturan firewall sebagai satu perubahan, karena masing-masing sendiri menghasilkan keadaan yang dari sisi klien tampak seperti kegagalan routing.

Putuskan jalur kembali

Entah router LAN mempelajari rute kembali ke prefiks VPN, atau server menerjemahkan alamat sumber saat keluar. Penerjemahan membuat jalur kembali sepele dan menghancurkan identitas sumber, jadi log tujuan akan menunjukkan alamat server untuk setiap klien di belakangnya. Prefiks ter-route mempertahankan identitas dan menuntut perubahan pada peralatan yang mungkin tidak Anda kelola.

Pilih dengan sengaja, bukan menurut mana yang lebih cepat diketik. Satu prefiks ter-route biasanya lebih bersih daripada penerjemahan, dan penerjemahan biasanya lebih baik daripada mengajari router tak terkelola prefiks baru demi satu laboratorium.

Jaga cakupan siaran tetap disengaja

Di dalam segmen virtual, DHCP, penemuan, dan pengumuman tetangga berperilaku seperti pada switch, karena ini satu tautan. Di seberang batas ter-route mereka tidak melakukannya, jadi DHCP kantor dan penemuan layanan memerlukan rancangan eksplisit, bukan asumsi bahwa TAP menyertakannya. Jenis antarmuka bukan relai bagi layanan yang tinggal di tempat lain.

Itulah alasan jujur memilih TAP sama sekali: sesuatu di segmen virtual memerlukan perilaku lokal-tautan. Jika tidak ada yang memerlukannya, perangkat TUN dengan prefiks ter-route lebih kecil, dan lebih sedikit yang harus dijelaskan saat rusak.

Verifikasi, lalu tulis pembatalannya

Dari klien VPN, ping router LAN, ping sebuah host, dan buka satu layanan yang penting lewat TCP. Lalu periksa penghitung dan rantai penerusan, karena penurunan kebijakan dari jauh tampak persis seperti rute yang hilang. Pembatalan adalah kebalikan dari pembangunan dan termasuk dalam catatan perubahan sebelum Anda mulai: hapus rute, hapus alamat, hapus antarmuka.

Jika kebutuhannya benar-benar satu segmen Ethernet yang membentang dua lokasi, jembatan adalah jawaban jujur dan rancangan berbeda dengan radius dampak berbeda. Jika kebutuhannya keterjangkauan, segmen terisolasi dengan uplink ter-route melakukan tugasnya dengan lebih sedikit penjelasan nanti.