TAP ხიდის გარეშე: ვირტუალური სეგმენტი მარშრუტიზებული აღმავალი არხით

TAP გადასცემს Ethernet კადრებს ოპერაციულ სისტემას, რაც უფრო მეტი შესაძლებლობაა, ვიდრე დისტანციური წვდომის უმეტეს პროექტს სჭირდება და ნაკლები, ვიდრე ხიდი. ბირთვს შეუძლია მისამართი მისცეს მას, მისი გავლით მარშრუტიზაცია და ფაიერვოლით დაცვა ნებისმიერ ფიზიკურ სეგმენტთან დაუკავშირებლად. ღირს ამ განლაგების პირველად გაგება: იზოლირებული ვირტუალური Ethernet სეგმენტი, რომლის სერვერი როუტერის როლს ასრულებს რეალური ლოკალური ქსელისკენ. ის იძლევა მეორე დონის ქცევას გვირაბის შიგნით და ჩვეულებრივ IP გადაცემას გარეთ, რაც ორი სხვადასხვა დაპირებაა. დანარჩენი არის აშენება, მარშრუტი, დაბრუნების გზა და უკუქცევა.

ააშენეთ იზოლირებული სეგმენტი

Linux-ში ინტერფეისი სამ ბრძანებას იღებს: შექმენით ის, ასწიეთ ის, მიეცით მას მისამართი თქვენ მიერ განზრახული სეგმენტის შიგნით. აირჩიეთ პრეფიქსი, რომელიც არ ეჯახება ოფისის ლოკალურ ქსელს, და ჩაწერეთ ის, რადგან შეჯახება უხილავია, სანამ არ უპასუხებს ჰოსტი, რომელიც არ უნდა არსებობდეს.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

აქ არაფერი მოითხოვს ხიდს და არაფერი უშლის ხელს მოგვიანებით მის დამატებას. ბირთვის TUN/TAP დოკუმენტაცია აღწერს თავად ინტერფეისს; ხიდში წევრობა და გადაცემის პოლიტიკა ცალკეული გადაწყვეტილებებია, რომლებსაც შემდეგ იღებთ.

მარშრუტიზაცია გააკეთეთ საზღვრის გავლით

ჩართეთ გადაცემა, დაუშვით ორი პრეფიქსი გადაცემის ჯაჭვში, და დაამატეთ მარშრუტი ოფისის პრეფიქსისკენ ლოკალური ქსელის როუტერით შემდეგ ნაბიჯად. შემდეგ VPN მხარე ოფისისკენ მიმართულ ტრაფიკს სერვერს უგზავნის როგორც საკუთარ კარიბჭეს, და სერვერი ამ პაკეტებს თავის თავად გადასცემს და არა ხიდად. გამორთული გადაცემის მქონე TAP ინტერფეისი სეგმენტია, რომელიც ლოკალურად პასუხობს და მის მიღმა არაფერს აღწევს, რაც ჩვეულებრივი ნახევრად დასრულებული მდგომარეობაა. შემდეგ შეამოწმეთ ინტერფეისის მრიცხველები ორივე მხარეს, რადგან ლოკალური ქსელის მხარეს მზარდი მიღების მრიცხველი ბრტყელ გაგზავნის მრიცხველთან ერთად ნიშნავს ვარდნას გადაცემის ჯაჭვში და არა ცუდ მარშრუტს.

ჩაწერეთ მარშრუტი და ფაიერვოლის წესი ერთ ცვლილებად, რადგან თითოეული ცალკე ქმნის მდგომარეობას, რომელიც კლიენტის მხრიდან მარშრუტიზაციის ჩავარდნად გამოიყურება.

გადაწყვიტეთ დაბრუნების გზა

ან ლოკალური ქსელის როუტერი ისწავლის დაბრუნების მარშრუტს VPN პრეფიქსისკენ, ან სერვერი გასვლისას თარგმნის წყაროს მისამართებს. თარგმნა დაბრუნების გზას ტრივიალურს ხდის და ანადგურებს წყაროს იდენტობას, ამიტომ დანიშნულების ჟურნალები აჩვენებენ სერვერის მისამართს მის უკან მყოფი ყველა კლიენტისთვის. მარშრუტიზებული პრეფიქსი ინარჩუნებს იდენტობას და მოითხოვს ცვლილებას აღჭურვილობაზე, რომელსაც შეიძლება არ მართავდეთ.

აირჩიეთ განზრახ და არა იმის მიხედვით, რომელი უფრო სწრაფად იბეჭდება. ერთი მარშრუტიზებული პრეფიქსი ჩვეულებრივ უფრო სუფთაა, ვიდრე თარგმნა, და თარგმნა ჩვეულებრივ უკეთესია, ვიდრე ერთი ლაბორატორიისთვის უმართავი როუტერისთვის ახალი პრეფიქსის სწავლება.

შეინარჩუნეთ მაუწყებლობის არე განზრახ

ვირტუალური სეგმენტის შიგნით DHCP, აღმოჩენა და მეზობლის გამოცხადება ისე იქცევიან, როგორც კომუტატორზე, რადგან ეს ერთი რგოლია. მარშრუტიზებული საზღვრის იქით ისინი ასე არ იქცევიან, ამიტომ ოფისის DHCP და სერვისების აღმოჩენა მოითხოვს ცხად დიზაინს და არა ვარაუდს, რომ TAP მათ მოიცავს. ინტერფეისის ტიპი არ არის რელე სერვისებისთვის, რომლებიც სხვაგან ცხოვრობენ.

ეს არის გულახდილი მიზეზი TAP-ის საერთოდ არჩევისა: რაღაცას ვირტუალურ სეგმენტზე სჭირდება რგოლის ლოკალური ქცევა. თუ არაფერს სჭირდება, მარშრუტიზებული პრეფიქსის მქონე TUN მოწყობილობა უფრო პატარაა, და გატეხვისას ნაკლებია ასახსნელი.

შეამოწმეთ, შემდეგ ჩაწერეთ უკუქცევა

VPN კლიენტიდან გააკეთეთ ping ლოკალური ქსელის როუტერზე, ping ჰოსტზე, და გახსენით ერთი მნიშვნელოვანი სერვისი TCP-ზე. შემდეგ შეამოწმეთ მრიცხველები და გადაცემის ჯაჭვი, რადგან პოლიტიკური ვარდნა შორიდან ზუსტად დაკარგულ მარშრუტს ჰგავს. უკუქცევა აშენების საპირისპიროა და ეკუთვნის ცვლილებების ჩანაწერს დაწყებამდე: წაშალეთ მარშრუტი, წაშალეთ მისამართი, წაშალეთ ინტერფეისი.

თუ მოთხოვნა ნამდვილად ერთი Ethernet სეგმენტია, რომელიც ორ ადგილს მოიცავს, ხიდი გულახდილი პასუხია და განსხვავებული დიზაინი განსხვავებული ზემოქმედების რადიუსით. თუ მოთხოვნა ხელმისაწვდომობაა, იზოლირებული სეგმენტი მარშრუტიზებული აღმავალი არხით ასრულებს საქმეს ნაკლები შემდგომი ახსნით.