Бир TAP сервериби же бир нечеби? Көпүрөдөгү OpenVPN кардарлары

Бир нече TAP кардар үчүн ар бирине бир сервер процесси, бир UDP порту жана хосттогу бир TAP түзмөгү талап кылынбайт. Ethernet режиминдеги бир OpenVPN сервери көптөгөн аутентификацияланган кардарларды кабыл алып, аларды бир көпүрөгө туташтыра алат, жана бул 2-катмардын сегментин кеңейтүүнүн документтелген жолу. Бир процесстүү дизайн — колдонмо документтеген дизайн, жана адатта бул туура демейки маани.

Чыныгы суроо — бул кардарлар ошол сегментти бөлүшүшү керекпи. Процесстердин саны буга жооп бербейт, анткени обочолонуу касиеттери топологиядан келет, канча демон иштеп жатканынан эмес. Бул салыштыруунун калганы эки топология жана алардын ар бири эмнени жеңилдеткени тууралуу.

Эки архитектура, эки жөндөө эмес

Маршрутталган TUN жайгаштыруу ар бир кардарга сервердин маршруттоо доменине чекит-чекит байланышын берет. Жарыялоолор серверде токтойт, кардарлар бири-биринин кадрларын көрө албайт, ал эми кардарлар ортосундагы трафик болсо, ал ачык маршрутталып, чыпкаланышы керек.

Көпүрөлүү TAP жайгаштыруу кардарларды бир Ethernet сегментинин мүчөлөрү кылат. Алар жарыялоолорду көрүшөт, ARP менен бири-бирин таба алышат жана өзүнчө бөлүнүү үчүн маршруттоого эмес, көпүрө менен брандмауэрдин саясатына таянышат. Бул кардарлар бир эле коммутаторго туташкандай көрүнүшү керек болгондо пайдалуу.

Демек, салыштыруу кардарлар эмнеге жетүүгө тийиш экени тууралуу, өндүрүмдүүлүк тууралуу эмес. Адегенде катмарды тандаңыз, анан ага канча процесс кызмат кыларын чечиңиз.

server-bridge жардамчысы эмне кылат

server-bridge жардамчысы көп кардарлуу Ethernet режимин конфигурациялайт. Анын дарек пулунун формасы шлюзди, тармактык масканы жана көпүрөлүү ички тармактын ичиндеги атайын диапазонду алат, мисалы 192.168.50.1 дарегиндеги шлюз жана 192.168.50.160тан 192.168.50.199га чейинки пул.

Бул диапазонду башка ар кандай DHCP же статикалык бөлүштүрүүлөрдөн тышкары кармаңыз. Жардамчы андан даректерди бөлөт, бирок ошол эле сегменттеги башка бөлүштүрүүчү менен шайкештештирбейт, ал эми катмарланган эки пул кокустан пайда болгон туташуу каталарына окшош кайталанма даректерди жаратат. Бөлүнгөн диапазонду сайттын дарек планына жазыңыз, кийинки адам аны кайра колдонбосун. Сервер конфигурациясындагы комментарий ошол жазуунун начар орду.

Даректерди сырткы сервер бөлүштүргөн жайгаштыруулар үчүн DHCP-прокси формасы бар. Анын өз алдын ала шарттары бар, ал эми эки форманы аралаштыруу документтер эскерткен так ошол жаңжалды жаратат. Көпүрөлүү ички тармак үчүн бир бөлүштүрүүчүнү тандаңыз.

Обочолонуу процесстердин санынан келбейт

Ошол эле чектелбеген көпүрөгө туташкан сегиз OpenVPN процесси дагы эле бир жарыялоо доменин бөлүшөт. Кардарлар көпүрө аркылуу бири-бирине ARP жөнөтө алышат, жана угуучулардын саны буга эч нерсе өзгөрткөн жок.

Эгер талап кардар топтору 2-катмарда бири-бирин көрбөшү болсо, дизайнга өзүнчө көпүрөлөр же VLAN туташуулары жана алар менен кошо келген кирүү эрежелери керек. Бул тармактык дизайндын чечими, жана бир сервер процесси же сегизи катышса да чечим ошол эле. Көпүрөнүн чыпкалоосу трафиктин бир бөлүгүн чектей алат, бирок өзүнчө жарыялоо домендерин түзбөйт. Аны сегментациянын толуктоочусу деп караңыз, анын ордун басуучусу деп эмес.

Эгер талап кардарлар белгилүү IP кызматтарына жетүүсү гана болсо, маршрутталган TUN дизайны адатта көпүрөлөө жана чыпкалоодон жөнөкөй. Ар бир кардар өз байланышын алат, ал эми саясат көпүрөнүн ичинде эмес, маршруттоо жана брандмауэр эрежелеринде жашайт.

Бир нече процесс качан дагы туура

Өзүнчө процесстерди операциялык муктаждыктар менен актоого болот: ар башка аутентификациялык арткы системалар, ар башка сертификат органдары, өзүнчө жаңыртуу циклдери же шайкеш келбеген опциялар топтому. Булар чыныгы себептер жана кардарлардын санына көз каранды эмес.

Эгер бир нечесин колдонсоңуз, ар бирине өз угуучусун жана түзмөк ээлигин берип, дарек диапазондорун шайкештештириңиз. Ошол көпүрөдөгү ошол пулду өздүкү деп эсептеген эки сервер акыры ошол эле даректи берет.

Анан дизайнды бир убакта бир нече кардар менен текшериңиз. Даректердин уникалдуу экенин, кардарлар ортосундагы көздөлгөн трафиктин иштешин жана байланышпашы керек болгон жуптун байланыша албашын текшериңиз. Бир кардардын ийгиликтүү ping'и көп кардарлуу дизайндын эч нерсесин сынабайт.

Диаграммага ишенүүдөн мурун иштеп жаткан хосттон көпүрөнү жана сервер режимин окуңуз. Маанилүү конфигурация — ядро менен демон чындап жүктөгөн конфигурация, жана рецензент текшере алган нерсе да ошол.