ერთი TAP სერვერი თუ რამდენიმე? OpenVPN კლიენტები ხიდზე
TAP კლიენტები იზიარებენ ერთ ხიდს და ერთ სერვერის პროცესს, რაც ასევე ნიშნავს ერთ მაუწყებლობის დომენს. არჩევამდე შეადარეთ ხიდიანი Ethernet და მარშრუტიზებული TUN.
რამდენიმე TAP კლიენტს არ სჭირდება თითოეულისთვის ერთი სერვერის პროცესი, ერთი UDP პორტი და ჰოსტზე ერთი TAP მოწყობილობა. Ethernet რეჟიმში ერთ OpenVPN სერვერს შეუძლია მიიღოს ბევრი ავთენტიფიცირებული კლიენტი და მიაბას ისინი ერთ ხიდს, და ეს არის 2-ე დონის სეგმენტის გაფართოების დოკუმენტირებული გზა. ერთპროცესიანი დიზაინი არის ის, რასაც სახელმძღვანელო აღწერს, და ჩვეულებრივ სწორედ ეს არის სწორი ნაგულისხმევი.
ნამდვილი კითხვა ის არის, უნდა გაიზიარონ თუ არა ამ კლიენტებმა ის სეგმენტი. პროცესების რაოდენობა ამას არ პასუხობს, რადგან იზოლაციის თვისებები ტოპოლოგიიდან მოდის და არა იქიდან, რამდენი დემონი მუშაობს. ამ შედარების დანარჩენი ნაწილი ორ ტოპოლოგიასა და იმაზეა, თუ რას ხდის თითოეული მარტივს.
ორი არქიტექტურა, და არა ორი პარამეტრი
მარშრუტიზებული TUN განლაგება თითოეულ კლიენტს აძლევს წერტილ-წერტილ კავშირს სერვერის მარშრუტიზაციის დომენში. მაუწყებლობა სერვერზე ჩერდება, კლიენტები ვერ ხედავენ ერთმანეთის ჩარჩოებს, ხოლო კლიენტებს შორის ტრაფიკი, თუ არსებობს, ცალსახად უნდა იყოს მარშრუტიზებული და გაფილტრული.
ხიდიანი TAP განლაგება კლიენტებს ერთი Ethernet სეგმენტის წევრებად აქცევს. ისინი ხედავენ მაუწყებლობას, შეუძლიათ ერთმანეთის პოვნა ARP-ით და განცალკევებისთვის ეყრდნობიან ხიდისა და ფაირვოლის პოლიტიკას და არა მარშრუტიზაციას. ეს სასარგებლოა, როცა კლიენტები ისე უნდა გამოიყურებოდნენ, თითქოს იმავე კომუტატორში არიან ჩართული.
ამრიგად, შედარება იმაზეა, თუ რას უნდა მიაღწიონ კლიენტებმა და არა წარმადობაზე. ჯერ აირჩიეთ დონე, შემდეგ გადაწყვიტეთ, რამდენი პროცესი ემსახურება მას.
რას აკეთებს server-bridge დამხმარე
server-bridge დამხმარე აწყობს მრავალკლიენტიან Ethernet რეჟიმს. მისი მისამართების აუზის ფორმა იღებს კარიბჭეს, ქსელის ნიღაბს და გამოყოფილ დიაპაზონს ხიდიანი ქვექსელის შიგნით, მაგალითად კარიბჭე 192.168.50.1-ზე და აუზი 192.168.50.160-დან 192.168.50.199-მდე.
დატოვეთ ეს დიაპაზონი ნებისმიერი სხვა DHCP ან სტატიკური გამოყოფის გარეთ. დამხმარე იქიდან ანაწილებს მისამართებს, მაგრამ არ თანამშრომლობს იმავე სეგმენტზე მყოფ სხვა გამანაწილებელთან, და ორი გადამკვეთი აუზი ქმნის დუბლირებულ მისამართებს, რომლებიც შემთხვევითი კავშირის ხარვეზებივით გამოიყურება. ჩაწერეთ დაცული დიაპაზონი საიტის მისამართების გეგმაში, რათა შემდეგმა ადამიანმა ის ხელახლა არ გამოიყენოს. სერვერის კონფიგურაციაში კომენტარი ცუდი შემცვლელია ამ ჩანაწერისთვის.
არსებობს DHCP-პროქსის ფორმა იმ განლაგებებისთვის, სადაც გარე სერვერი ანაწილებს მისამართებს. მას აქვს საკუთარი წინაპირობები, და ორი ფორმის შერევა ქმნის ზუსტად იმ კონფლიქტს, რაზეც დოკუმენტაცია აფრთხილებს. ხიდიანი ქვექსელისთვის აირჩიეთ ერთი გამანაწილებელი.
იზოლაცია პროცესების რაოდენობიდან არ მოდის
იმავე შეუზღუდავ ხიდზე მიერთებული რვა OpenVPN პროცესი მაინც იზიარებს ერთ მაუწყებლობის დომენს. კლიენტებს შეუძლიათ ერთმანეთისთვის ARP-ის გაგზავნა ხიდის გავლით, და მსმენელების რაოდენობამ ამაში არაფერი შეცვალა.
თუ მოთხოვნაა, რომ კლიენტების ჯგუფებმა ერთმანეთი არ დაინახონ 2-ე დონეზე, დიზაინს სჭირდება ცალკე ხიდები ან VLAN მიერთებები მათთან მისული წვდომის წესებით. ეს ქსელის დიზაინის გადაწყვეტილებაა და იგივე გადაწყვეტილებაა, მონაწილეობს ერთი სერვერის პროცესი თუ რვა. ხიდის ფილტრაციას შეუძლია ტრაფიკის ნაწილი შეზღუდოს, მაგრამ ცალკე მაუწყებლობის დომენებს არ ქმნის. განიხილეთ ის სეგმენტაციის დანამატად და არა მის შემცვლელად.
თუ მოთხოვნა მხოლოდ ის არის, რომ კლიენტებმა მიაღწიონ გარკვეულ IP სერვისებს, მარშრუტიზებული TUN დიზაინი ჩვეულებრივ უფრო მარტივია, ვიდრე ხიდი პლუს ფილტრაცია. თითოეული კლიენტი იღებს საკუთარ კავშირს, და პოლიტიკა ცხოვრობს მარშრუტიზაციისა და ფაირვოლის წესებში და არა ხიდის შიგნით.
როდის არის რამდენიმე პროცესი მაინც სწორი
ცალკე პროცესები შეიძლება გამართლდეს ოპერაციული საჭიროებებით: სხვადასხვა ავთენტიფიკაციის უკანა სისტემა, სხვადასხვა სერტიფიკატის ორგანო, ცალკე განახლების ციკლები ან შეუთავსებელი ოფციების ნაკრებები. ეს რეალური მიზეზებია და დამოუკიდებელია კლიენტების რაოდენობისგან.
თუ რამდენიმეს იყენებთ, მიეცით თითოეულს საკუთარი მსმენელი და მოწყობილობის მფლობელობა და შეათანხმეთ მისამართების დიაპაზონები. ორი სერვერი, რომლებიც ორივე თვლის, რომ იმავე ხიდზე იმავე აუზს ფლობს, საბოლოოდ ერთსა და იმავე მისამართს გასცემს.
შემდეგ გადაამოწმეთ დიზაინი ერთდროულად რამდენიმე კლიენტით. შეამოწმეთ, რომ მისამართები უნიკალურია, რომ კლიენტებს შორის განზრახული ტრაფიკი მუშაობს და რომ წყვილს, რომელსაც არ უნდა ჰქონდეს კავშირი, ეს არ შეუძლია. ერთი კლიენტის წარმატებული ping მრავალკლიენტიანი დიზაინიდან არაფერს ამოწმებს.
სანამ დიაგრამას ენდობით, წაიკითხეთ ხიდი და სერვერის რეჟიმი მომუშავე ჰოსტიდან. მნიშვნელოვანი კონფიგურაცია არის ის, რაც რეალურად ჩატვირთა ბირთვმა და დემონმა, და სწორედ ეს შეუძლია შეამოწმოს მიმომხილველმა.