TAP көпірсіз: маршрутталған жоғары арнасы бар виртуалды сегмент

TAP Ethernet кадрларын операциялық жүйеге береді, бұл көптеген қашықтан қатынау жобаларына қажет мүмкіндіктен артық және көпірден кем. Ядро оған мекенжай бере алады, ол арқылы маршруттай алады және оны ешбір физикалық сегментке қоспай-ақ от қабырғасымен қорғай алады. Бұл құрылымды алдымен түсіну керек: сервері нақты жергілікті желіге қарай маршрутизатор ретінде әрекет ететін оқшауланған виртуалды Ethernet сегменті. Ол туннель ішінде екінші деңгей мінезін, оның сыртында қарапайым IP жіберуді береді, бұл екі түрлі уәде. Қалғаны — құрылыс, маршрут, қайтару жолы және кері қайтару.

Оқшауланған сегментті құрыңыз

Linux-та интерфейс үш команда қабылдайды: оны құрыңыз, оны көтеріңіз, оған көздеген сегментіңіздің ішінде мекенжай беріңіз. Кеңсе жергілікті желісімен соқтығыспайтын префикс таңдап, оны жазып қойыңыз, өйткені соқтығыс болмауы тиіс хост жауап бермейінше көрінбейді.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Мұнда ешнәрсе көпірді талап етпейді және кейін оны қосуға ешнәрсе кедергі жасамайды. Ядроның TUN/TAP құжаттамасы интерфейстің өзін сипаттайды; көпірге мүшелік және жіберу саясаты — кейін қабылдайтын жеке шешімдер.

Шекара арқылы маршруттаңыз

Жіберуді қосыңыз, жіберу тізбегінде екі префикске рұқсат беріңіз және жергілікті желі маршрутизаторын келесі секіріс етіп, кеңсе префиксіне қарай маршрут қосыңыз. Содан кейін VPN жағы кеңсеге бағытталған трафикті өз шлюзі ретінде серверге жібереді, ал сервер бұл пакеттерді көпір ретінде емес, өзі ретінде жібереді. Жіберу өшірілген TAP интерфейсі — жергілікті жауап беретін және одан әрі ешнәрсеге жетпейтін сегмент, бұл әдеттегі жартылай біткен күй. Кейін екі жақтағы интерфейс санауыштарын тексеріңіз, өйткені жергілікті желі жағында тұрақты жіберу санауышымен өсіп келе жатқан қабылдау санауышы жаман маршрутты емес, жіберу тізбегіндегі түсуді білдіреді.

Маршрут пен от қабырғасы ережесін бір өзгеріс ретінде жазыңыз, өйткені олардың әрқайсысы жеке-жеке клиент жағынан маршруттау ақауына ұқсайтын күй тудырады.

Қайтару жолын шешіңіз

Не жергілікті желі маршрутизаторы VPN префиксіне қарай қайтару маршрутын үйренеді, не сервер шығу жолында бастапқы мекенжайларды аударады. Аудару қайтару жолын тривиалды етеді және бастапқы идентичті жояды, сондықтан межелік журналдары оның артындағы әрбір клиент үшін сервердің мекенжайын көрсетеді. Маршрутталған префикс идентичті сақтайды және сіз басқармайтын жабдықта өзгеріс талап етеді.

Қайсысын теру жылдамырақ екеніне қарай емес, әдейі таңдаңыз. Бір маршрутталған префикс әдетте аударудан таза, ал аудару әдетте бір зертхана үшін басқарылмайтын маршрутизаторға жаңа префикс үйретуден жақсы.

Хабар тарату аясын әдейі сақтаңыз

Виртуалды сегменттің ішінде DHCP, анықтау және көрші жариялау коммутатордағыдай әрекет етеді, өйткені бұл бір байланыс. Маршрутталған шекараның арғы жағында олар олай етпейді, сондықтан кеңсе DHCP-і мен қызмет анықтауы TAP оларды қамтиды деген болжамды емес, айқын жобалауды қажет етеді. Интерфейс түрі басқа жерде тұратын қызметтер үшін реле емес.

TAP таңдаудың адал себебі осы: виртуалды сегменттегі бірдеңеге байланысқа жергілікті мінез қажет. Егер ешнәрсеге қажет болмаса, маршрутталған префиксі бар TUN құрылғысы кішірек, ал сынғанда түсіндіретін аз болады.

Тексеріңіз, содан кейін кері қайтаруды жазыңыз

VPN клиентінен жергілікті желі маршрутизаторына пинг жасаңыз, хостқа пинг жасаңыз және TCP арқылы маңызды бір қызметті ашыңыз. Содан кейін санауыштар мен жіберу тізбегін тексеріңіз, өйткені саясаттық түсу алыстан дәл жоғалған маршрутқа ұқсайды. Кері қайтару — құрылыстың керісі және бастамас бұрын өзгерістер жазбасында болуы тиіс: маршрутты алып тастаңыз, мекенжайды алып тастаңыз, интерфейсті жойыңыз.

Егер талап шынымен екі орынды қамтитын бір Ethernet сегменті болса, көпір — адал жауап және әсер ету радиусы басқа жоба. Егер талап қолжетімділік болса, маршрутталған жоғары арнасы бар оқшауланған сегмент кейін аз түсіндірумен жұмысты атқарады.