OpenVPN TUN мен TAP: шешім қабылдайтын үш шарт

Екі туннель бірдей файл тасымалын жүргізе алады, бірақ сымға салатын нәрсесі бойынша мүлдем ерекшеленуі мүмкін. Біреуі екі мекенжай арасында IP пакеттерін жылжытады; екіншісі Ethernet кадрларын жылжытады және оны сегментке көпірлеуге болады. Осы айырмашылық қандай қолданбалардың жұмыс істейтінін, қандай клиенттердің қосыла алатынын және қаншалықты желілік жобалауды өзіңізге алатыныңызды шешеді.

Іс жүзінде мұны үш шарт шешеді. Оларды ретімен қарап шығыңыз, өйткені біріншісі әдетте талқылауды аяқтайды.

Әр интерфейс шын мәнінде нені тасымалдайды

TUN құрылғысы — 3-қабаттың нүкте-нүкте интерфейсі: ядро оған IP пакеттерін береді, ал туннель оларды серіктес мекенжайға жеткізеді. TAP құрылғысы — Ethernet кадрларын тасымалдайтын 2-қабаттың интерфейсі, және көпірлеуді жалпы мүмкін ететін дәл осы, ядро құжаттамасы сипаттағандай. Екеуі де пайдалы жүктеменің шифрлану тәсілін өзгертпейді және екеуі де күш параметрі емес. Таңдау ұштарының нені алмасуы керектігі туралы, трафиктің қаншалықты жақсы қорғалғаны туралы емес.

Бір салдар бірден туындайды: екі ұш та келісуі керек. Бір құрылғы түріне конфигурацияланған клиент екіншісіне конфигурацияланған серверге қосыла алмайды, қалғаны қанша сәйкес келсе де.

Бірінші шарт: бірдеңеге екінші қабат керек пе?

Көпірлеу өзінің күрделілігін протокол шынымен бірдей хабар тарату доменін қажет еткенде ақтайды: IP емес трафик, маршрутизатордан өте алмайтын анықтау немесе бір сегментте болуды талап ететін қолданба. Қалғанының бәрі маршруттау мәселесі, ал маршруттау оны әлдеқайда аз механизммен шешеді. Сегментті кең аумаққа созу оның хабар таратуларын да созады, сондықтан циклдың алдын алу, мекенжайларды жоспарлау және ақау домендері жобаның бөлігіне айналады. Бір ғана маршрут қанағаттандыратын талап үшін бұл тым көп.

Сынақ нақты: маршрутталған туннельде сәтсіздікке ұшырайтын қолданбаны атап, себебін айтыңыз. Жауап оған хабар тарату керек деген болса, екінші қабат адал жауап. Жауап біреу бір серверге жете алмады деген болса, талап — маршрут немесе брандмауэр ережесі.

Екінші шарт: клиенттер бұны істей ала ма?

Қолдау біркелкі емес. Десктоп клиенттері әдетте екі құрылғы түрін де ұсынады, ал мобильді және кіріктірілген клиенттер көбіне тек маршрутталған режимді іске асырады, шағымсыз импортталған профиль де интерфейсті құруға тырысқанда сәтсіздікке ұшырауы мүмкін. Платформа атынан функцияларды болжаудың орнына нақты клиент пен нұсқаны тексеріңіз.

Қолдамайтын опция қатесі импорт сәтті болғанша бейтаныс жолдарды жоюға шақыру емес. Ол профиль мен клиенттің ненің мүмкін екендігі туралы келіспейтінін білдіреді, ал түзету профильді шығарған операторға тиесілі. Валидаторды үнсіз қалдыру үшін опцияны алып тастау, жұмыс істеп тұрғандай көрінетін, бірақ өзі болу себебі болған қасиетті үнсіз тастап кететін байланыс тудыруы мүмкін.

Үшінші шарт: бұл шынымен интерфейс мәселесі ме?

Интерфейс мәселелері үшін көршілес екі таңдау кінәланады. Виртуалды құрылғы туннельге ненің кіретінін шешеді, ал UDP немесе TCP сыртқы тасымалдың қалай әрекет ететінін шешеді, және екеуі де тоқтап қалған тасымалдарды емдемейді. Үлкен тасымалдар ілініп, кішілері сәтті болса, пакет өлшемі мен MTU назарға лайық.

Қосылған соң бір ішкі хостқа жете алмайтын клиент әдетте маршруттауды, брандмауэр ережесін немесе жетіспейтін қайтару жолын қарап отырады.

Басқарылатын қызмет үшін оператор профилі көрсеткен интерфейс ретін пайдаланыңыз, өйткені сервер жағы қазірдің өзінде соның айналасында құрылған. Жеке орналастыру үшін қолданбаның нақты талабына сүйеніп таңдаңыз және себебін таңдау жанына жазыңыз.

Мәселе қай опцияның күштірек екенінде емес. Трафикке шын мәнінде қайсысы керектігінде.