Einangruð TAP-brú milli tveggja platna gegnum OpenVPN

Tvær þróunarplötur þurfa að deila einu Ethernet-segmenti á meðan bekkir þeirra eru í mismunandi byggingum. Göngin eru þegar til og flytja þegar Ethernet, svo eftir verkið lítur út eins og þrjár skipanir og er það ekki. Hvað vistþjónninn gerir við brúaðan ramma, hvar eigið vistfang tölvunnar á heima, og hvaða mörk brúin skapar ekki eru þrjár aðskildar staðreyndir, og að gera mistök í þeirri annarri er venjuleg ástæða þess að rannsóknarstofa virkar með hléum og stjórnunaraðgangur hennar versnar hljóðlega. Ekkert þessara þriggja atriða er sýnilegt á grunnnetsskýringu.

Leiðin hér að neðan gerir ráð fyrir auðkenndri TAP-tengingu milli tveggja Linux-tölva, einu sérhæfðu snúruporti fyrir hvern bekk og stjórnunarskilflöt sem er ekki hluti tilraunarinnar. Röðin skiptir máli: fyrst rammar, þá vistföng, að lokum mörkin.

Hvað brúin flytur í raun

Brú er rofi útfærður í hugbúnaði. Hún lærir hvaða MAC-vistfang birtist bak við hvert aðildarport og sendir ramma milli aðildar án þess að ráðfæra sig við IP-leiðartöflu. Ekkert í þeirri lýsing felur í sér undirnet, hlið eða sjálfgefna leið, þess vegna býr virkjun IP-framsendingar ekki til þessa tengingu og þess vegna getur ping heppnast á meðan annar umferð fer enn fram hjá. Plata getur náð til mótaðila síns án nokkurrar stilltar sjálfgefinnar leiðar, sem kemur þeim á óvart sem búast við að lag tvö hagi sér eins og lag þrjú.

Hver tölva leggur eitt snúruport til brúarinnar og TAP-tækið á sömu brú, svo rammi frá plötu fer inn á staðbundið port, er sendur á TAP-tækið, fer gegnum göngin, kemur að TAP-tæki mótaðilans og er sendur út á plötu mótaðilans. Göngin eru aðildarport eins og hvert annað, og brúin veit ekki og hirðir ekki um að VPN er bak við hana. Þessi samhverfa er það sem gerir dæmið auðvelt að hugsa um: hvor hlið hefur eitt port sem snýr að rannsóknarstofunni og eitt gönguport, og hvorug hliðin er sérstök.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Eins heiti á báðum tölvum eru staðbundin heiti, ekki sameiginlegir hlutir. Það er ein Ethernet-leið milli bekkjanna, án annars kapals og án annarra ganga sem loka lykkju; brú sem sér sama MAC koma á tvö port mun fúslega senda í hringi.

Vistfangið brúna, ekki aðildarportin

Sjálfsmynd tölvunnar á rannsóknarstofusegmentinu tilheyrir brútækinu. Aðildarportin vera ónúmeruð, því port er sendandi aðild og vistfang á því myndi skapa annan, keppandi eiganda sama segments. Þetta er leiðréttingin sem flest handskrifuð uppskriftir gera rangt: þær vistfanga TAP-tækið og brúna, og spyrja sig svo að hverju mótaðilinn nái í raun.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Mótaðilinn notar sömu lögun með öðru vistfangi, og plöturnar taka vistföng á sama bili með brúarvistfangi tölvunnar sem næsta hopp ef þær þurfa eitt. Notið skjölunarbil þar til áætlunin er samþykkt, og takið bilið frá svo það rekist ekki á neitt sem skrifstofan er þegar að beina. Áður en þið keyrið eitthvað af þessu, staðfestið að aðildarportin beri ekki eftirlaunað vistfang, DHCP-biðlara eða aðild að annarri brú, og samræmið vistföng TAP-tækisins í gegnum það sem á stillingar ganganna, svo það endurheimti ekki vistfang síðar.

Hvers vegna eitt sérhæft port fyrir hvern bekk

Sérhæft snúruport er það sem kemur í veg fyrir að tilraunin verði breyting á öllu skrifstofunni. Stjórnunarskilflöturinn ber SSH, sjálfgefnu leiðina og ytri VPN-tenginguna, og ekkert af því á heima á brú sem hefur það hlutverk að flytja rannsóknarstofuramma.

Að tengja stjórnunaraðlaga setur LAN skrifstofunnar eina sendingarákvörðun frá þróunarplötu, og plata sem hegðar sér illa á lagi tvö er einmitt sú tegund tækis sem þið viljið ekki á því segmenti. Wi-Fi-aðlagi er verri: að brúa þráðlausan skilflöt í grunnstoðarham hegðar sér ekki eins og að brúa Ethernet, og bilunin er ruglingsleg frekar en hrein.

Haldið rannsóknarstofubilinu utan við hvaða framleiðslu-DHCP-svið sem er. Ef plöturnar þurfa síðar kraftstýrða vistfangsgjöf, er einn heimilaður úthlutari með einni laug eina fyrirkomulagið sem helst fyrirsjáanlegt; venjulegir beinarleiðartölvur tveggja staða sem svara á sama segmenti framleiða vistföng sem enginn getur útskýrt.

Mörkin sem brúin skapar ekki

Brúun er ekki leiðsögn, og hún er ekki heldur einangrun. Rammar sem fara yfir brúna geta enn náð að síunarhaka vistþjónsins, háð uppsettu bridge-netfilter leiðinni, svo virka stefnan verður að skoða frekar en gera ráð fyrir. Að slökkva á eldveggnum vegna þess að einn rammi týndist skiptir ákveðinni villu fyrir almennri.

IP-framsending milli brúarinnar og hvers stjórnunar- eða upphleðsluskilflatar ætti að vera slökkt eða henni hafnað með skýrum hætti, og það er aðskilin stjórn frá aðild að brúnni. Plata sem velur rannsóknarstofuvistfang tölvunnar sem hlið sitt prófar einmitt þetta: ef stjórnunarflutningur tekst, voru mörkin sem þið ætluðuð aldrei til staðar.

Tvær fjölskyldur í viðbót eiga skilið skýra ákvörðun. Vistfangaáætlunin gerir brúna ekki aðeins IPv4, svo IPv6 og aðrar EtherType-týpur þurfa eigin áætlun eða síu. Og árangursríkt ping segir ekkert um hvort uppgötvunarsendingar plötunnar, multicast-hópar eða jumbo-rammar fari yfir leiðina, því þetta eru mismunandi umferðarflokkar með mismunandi sjálfgildum.

Að lokum eru flutningur og trúnaður tvö mismunandi kaup. TAP flytur Ethernet; OpenVPN-þjónustan veitir verndina í kring. VXLAN-hula flytur líka Ethernet og veitir engan trúnað af sjálfu sér, svo að skipta einu út fyrir annað breytir öryggiseiginleikum jafnvel þegar grunnnetsskýringin virðist eins.

Varanleiki og prófin sem sanna hann

Skipun sem er sleginn inn einu sinni eftir tengingu er ekki stilling. Gerið brúna, portaaðildina og eina vistfangið varanleg í gegnum núverandi netstjóra tölvunnar, og bindið tenginguna við birtingu TAP-tækisins svo endurtenging skilji ekki eftir brú með horfnu aðild.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Prófið svo hvað plöturnar þurfa í raun í báðar áttir, endurtengið göngin og endurræsið eina tölvu samkvæmt samþykktri endurheimtaáætlun. Staðfestið þrjá hluti eftir á: stjórnunaraðgangur virkar enn sjálfstætt, ekkert tvítekið rannsóknarstofuvistfang birtist, og ekkert óvænt framleiðsluskilflötur gekk í brúna. Þessi samsetning er sönnunin fyrir því að tilraunin hélt sig innan bekkjarins.