Бір TAP сервері ме, әлде бірнешеу ме? Көпірдегі OpenVPN клиенттері
TAP клиенттері бір көпірді және бір сервер процесін бөліседі, бұл бір хабар тарату доменін де білдіреді. Таңдамас бұрын көпірлі Ethernet пен маршрутталған TUN-ды салыстырыңыз.
Бірнеше TAP клиенті әрқайсысы үшін бір сервер процесін, бір UDP портын және хосттағы бір TAP құрылғысын қажет етпейді. Ethernet режиміндегі бір OpenVPN сервері көптеген аутентификацияланған клиентті қабылдап, оларды бір көпірге қоса алады, және бұл 2-деңгей сегментін кеңейтудің құжатталған тәсілі. Бірпроцестік дизайн — нұсқаулық құжаттайтын дизайн, және әдетте бұл дұрыс әдепкі мән.
Шын мәселе — бұл клиенттер сол сегментті бөлісуі керек пе. Процесс саны бұған жауап бермейді, өйткені оқшаулау қасиеттері топологиядан келеді, қанша демон жұмыс істеп тұрғанынан емес. Бұл салыстырудың қалғаны екі топология және олардың әрқайсысы нені жеңілдететіні туралы.
Екі архитектура, екі параметр емес
Маршрутталған TUN орналастыруы әр клиентке сервердің маршруттау доменіне нүкте-нүкте байланысын береді. Хабар тарату серверде тоқтайды, клиенттер бір-бірінің кадрларын көре алмайды, ал клиенттер арасындағы трафик болса, оны анық маршруттау және сүзу қажет.
Көпірлі TAP орналастыруы клиенттерді бір Ethernet сегментінің мүшелері етеді. Олар хабар таратуды көреді, ARP арқылы бір-бірін таба алады, және бөлек қалу үшін маршруттауға емес, көпір мен брандмауэр саясатына сүйенеді. Бұл клиенттер бір коммутаторға қосылғандай көрінуі керек болғанда пайдалы.
Сондықтан салыстыру клиенттердің неге жетуі керектігі туралы, өнімділік туралы емес. Алдымен қабатты таңдаңыз, содан кейін оған қанша процесс қызмет ететінін шешіңіз.
server-bridge көмекшісі не істейді
server-bridge көмекшісі көпклиенттік Ethernet режимін конфигурациялайды. Оның мекенжай пулының пішімі шлюзді, желілік масканы және көпірлі ішкі желі ішіндегі арнайы диапазонды қабылдайды, мысалы 192.168.50.1 мекенжайындағы шлюз және 192.168.50.160-тан 192.168.50.199-ға дейінгі пул.
Бұл диапазонды кез келген басқа DHCP немесе статикалық тағайындаудан тыс ұстаңыз. Көмекші одан мекенжайлар бөледі, бірақ сол сегменттегі басқа бөлгішпен үйлестірмейді, ал қабаттасатын екі пул кездейсоқ қосылым ақауларына ұқсайтын қайталанатын мекенжайлар жасайды. Бөлінген диапазонды сайттың мекенжай жоспарына жазыңыз, келесі адам оны қайта пайдаланбас үшін. Сервер конфигурациясындағы түсініктеме сол жазбаның нашар баламасы.
Мекенжайларды сыртқы сервер тарататын орналастырулар үшін DHCP-прокси пішімі бар. Оның өз алғышарттары бар, ал екі пішімді араластыру құжаттама ескертетін дәл сол қақтығысты туғызады. Көпірлі ішкі желі үшін бір бөлгіш таңдаңыз.
Оқшаулау процесс санынан келмейді
Сол шектеусіз көпірге қосылған сегіз OpenVPN процесі әлі де бір хабар тарату доменін бөліседі. Клиенттер көпір арқылы бір-біріне ARP жібере алады, және тыңдаушылар саны бұған ештеңе өзгертпеді.
Егер талап клиент топтарының 2-деңгейде бір-бірін көрмеуі болса, дизайнға бөлек көпірлер немесе VLAN қосылымдары және олармен бірге жүретін қатынау ережелері қажет. Бұл желі дизайнының шешімі, және бір сервер процесі немесе сегізі қатысса да шешім бірдей. Көпір сүзгісі трафиктің бір бөлігін шектей алады, бірақ бөлек хабар тарату домендерін жасамайды. Оны сегментацияның толықтырғышы деп қараңыз, оның орнын басушысы деп емес.
Егер талап тек клиенттердің белгілі IP қызметтеріне жетуі болса, маршрутталған TUN дизайны әдетте көпірлеу мен сүзуден қарапайым. Әр клиент өз байланысын алады, ал саясат көпірдің ішінде емес, маршруттау мен брандмауэр ережелерінде өмір сүреді.
Бірнеше процесс қашан әлі дұрыс
Бөлек процестерді операциялық қажеттіліктермен ақтауға болады: әртүрлі аутентификациялық артқы жүйелер, әртүрлі сертификат органдары, бөлек жаңарту циклдері немесе үйлесімсіз опциялар жиынтығы. Бұл нақты себептер және клиент санына тәуелсіз.
Егер бірнешеуін қолдансаңыз, әрқайсысына өз тыңдаушысын және құрылғы иелігін беріп, мекенжай диапазондарын үйлестіріңіз. Сол көпірдегі сол пулды өздеріне тиесілі деп санайтын екі сервер ақыр соңында бір мекенжайды береді.
Содан кейін дизайнды бір уақытта бірнеше клиентпен тексеріңіз. Мекенжайлардың бірегей екенін, клиенттер арасындағы көзделген трафиктің жұмыс істейтінін және байланыспауы керек жұптың байланыса алмайтынын тексеріңіз. Бір клиенттің сәтті ping-і көпклиенттік дизайнның ештеңесін сынамайды.
Диаграммаға сенбес бұрын көпірді және сервер режимін жұмыс істеп тұрған хосттан оқыңыз. Маңызды конфигурация — ядро мен демон нақты жүктеген конфигурация, және рецензент тексере алатын да сол.