Isoléiert TAP-Bréck tëschent zwee Boerder iwwer OpenVPN

Zwee Entwécklungsboerder mussen een Ethernet-Segment deelen, während hir Bänk an ënnerschiddleche Gebaier stinn. Den Tunnel gëtt et schonn an hie transportéiert schonn Ethernet, dofir gesäit déi reschtlech Aarbecht aus wéi dräi Kommandos an ass et net. Wat den Host mat engem gebréckte Frame mécht, wou d’Adress vum PC selwer gehéiert, a wéi eng Grenz d’Bréck net schaaft sinn dräi getrennte Fakten, an deen zweeten falsch ze maachen ass de gewéinleche Grond, firwat eng Laboratoire intermitterend funktionéiert an hire Verwaltungszougang stëll verschlechtert. Kee vun deenen dräi Fakten ass an engem Topologiediagramm ze gesinn.

De Wee hei drënner setzt eng authentifizéiert TAP-Verbindung tëschent zwee Linux-PCen, een dedizéierte Kabelport pro Bank an eng Verwaltungsschnittstell vir, déi net Deel vum Experiment ass. D’Reiefolleg ass wichteg: éischt Frames, dann Adressen, zum Schluss d’Grenz.

Wat d’Bréck tatsächlech beweegt

Eng Bréck ass en Switch, dee a Software implementéiert ass. Si léiert wéi eng MAC-Adress hannert wéi engem Memberport erschéngt a leet Frames tëschent Memberen weider, ouni eng IP-Routingtabell ze consultéieren. Näischt an där Beschreiwung enthält en Subnetz, eng Gateway oder eng Standardroute, dofir bréngt d’Aktivéiere vun IP-Weiderleitung dës Verbindung net, an dofir kann e Ping geléngen, während aneren Trafik nach ëmmer feelt. E Boerd kann säi Partner ganz ouni konfiguréiert Standardroute erreechen, wat Leit iwwerrascht, déi erwaarden, datt Layer zwee sech wéi Layer dräi verhält.

Jiddwer PC bitt eng Kabelport un d’Bréck an den TAP-Apparat un déiselwecht Bréck, also geet e Frame vun engem Boerd an de lokale Port, gëtt un den TAP-Apparat weidergeleet, iwwerquiert den Tunnel, kënnt um TAP-Apparat vum Partner un a gëtt op de Boerd vum Partner weidergeleet. Den Tunnel ass e Memberport wéi all aneren, an d’Bréck weess net a këmmert sech net dorëm, datt hannert him eng VPN ass. Genau déi Symmetrie mécht d’Beispill einfach ze iwwerleeën: jiddwer Säit huet ee Port no der Laboratoire an ee Tunnelport, an keng Säit ass speziell.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Déi identesch Nimm op béide PCen si lokal Nimm, keng gedeelt Objeten. Tëschent de Bänk gëtt et ee Ethernet-Wee, ouni zweet Kabel an ouni zweeten Tunnel, deen eng Schläif schléisst; eng Bréck, déi déiselwecht MAC op zwee Porten ukommen gesäit, leet gäre Kräis weider.

Adresséiert d’Bréck, net hir Memberporten

D’Identitéit vum PC am Laboratoiresegment gehéiert zum Bréckapparat. Memberporte bleiwen ouni Nummer, well e Port en weiderleitende Member ass an eng Adress drop een zweete, konkurréierende Besëtzer vum selwechte Segment géif schafen. Dat ass déi Korrektur, déi déi meescht handgeschriwwe Rezepter falsch maachen: si adresséieren den TAP-Apparat an d’Bréck a froen sech dann, wéien en de Partner tatsächlech erreecht.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

De Partner benotzt déiselwecht Form mat enger anerer Hostadress, an d’Boerder huelen Adressen am selwechte Beräich mat der Bréckadress vum PC als nächste Sprong, wann se eng brauchen. Benotzt Dokumentatiounsberäicher, bis de Plang ofgestëmmt ass, a reservéiert de Beräich, datt en net mat eppes kollidéiert, wat d’Büro schonn routéiert. Ier Dir eppes dovu lafe looss, bestätegt, datt d’Memberporte keng Reschtadress, keen DHCP-Client a keng Mitgliedschaft an enger anerer Bréck droen, a gläicht d’Adresséierung vum TAP-Apparat iwwer dat of, wat d’Tunnelkonfiguratioun besëtzt, datt se spéider keng Adress restauréiert.

Firwat een dedizéierte Port pro Bank

Een dedizéierte Kabelport ass dat, wat verhënnert, datt d’Experiment eng Ännerung fir de ganze Büro gëtt. D’Verwaltungsschnittstell dréit SSH, d’Standardroute an d’äusser VPN-Verbindung, an näischt dovu gehéiert op eng Bréck, där hiren Zweck et ass, Laboratoirsframes ze beweegen.

E Verwaltungsadapter unzeschléissen setzt d’Büro-LAN eng Weiderleitungsentscheedung wäit vun engem Entwécklungsboerd, an e Boerd, dat sech op Layer zwee schlecht behëlt, ass genau déi Zort Apparat, déi Dir net op deem Segment wëllt. E Wi-Fi-Adapter ass méi schlëmm: eng drahtlos Schnittstell am Infrastrukturmodus ze brécken behëlt sech net wéi Ethernet ze brécken, an de Feeler ass verwirrend amplaz propper.

Hält de Laboratoiresberäich aus all Produktiouns-DHCP-Beräich eraus. Wann d’Boerder spéider dynamesch Adresséierung brauchen, ass een autoriséierten Zouteiler mat engem Pool déi eenzeg Arrangement, déi viraussobar bleift; gewéinlech Router vun zwou Standplazen, déi am selwechte Segment äntweren, produzéieren Adressen, déi keen erkläre kann.

D’Grenz, déi d’Bréck net schaaft

Brécken ass keen Routing, an et ass och keng Isolatioun. Frames, déi d’Bréck iwwerquieren, kënnen nach ëmmer dem Host seng Filterhooken erreechen, jee no installéiertem bridge-netfilter-Wee, dofir muss déi effektiv Politik iwwerpréift an net ugeholl ginn. D’Firewall ausschalten, well een Frame verluer gaangen ass, tauscht e spezifesche Feeler géint en allgemengen.

IP-Weiderleitung tëschent der Bréck an all Verwaltungs- oder Uplink-Schnittstell soll aus bleiwen oder ausdrécklech verweigert ginn, an dat ass eng Kontroll getrennt vun der Bréckmitgliedschaft. E Boerd, dat d’Laboratoiresadress vum PC als Gateway wielt, test genau dat: wann den Verwaltungstransit geléngt, war déi geduecht Grenz ni do.

Zwee weider Familljen verdéngen eng ausdrécklech Entscheedung. Den Adressplang mécht d’Bréck net nëmmen IPv4, dofir brauchen IPv6 an aner EtherTypes hiren eegene Plang oder Filter. An e gelungene Ping seet näischt doriwwer, ob dem Boerd seng Entdeckungsbroadcasten, Multicastgruppen oder Jumbo-Frames de Wee iwwerquieren, well dat verschidde Verkéiersklassen mat verschiddene Standardwäerter sinn.

Zum Schluss sinn Transport a Vertraulechkeet zwee verschidde Käufe. TAP dréit Ethernet; den OpenVPN-Service liwwert de Schutz ronderëm. En VXLAN-Overlay dréit och Ethernet a liwwert vu sech aus keng Vertraulechkeet, dofir ännert d’Ersetze vum engem duerch dat anert d’Sécherheetseigenschaften, och wann den Topologiediagramm identesch ausgesäit.

Bestännegkeet an d’Tester, déi se beweisen

E Kommando, deen een Kéier no der Verbindung agetippt gëtt, ass keng Konfiguratioun. Maacht d’Bréck, d’Portmitgliedschaft an déi eenzeg Hostadress bestänneg iwwer de bestehenden Netzwierkmanager vum PC, a bunn d’Verbindung un d’Erscheinen vum TAP-Apparat, datt eng Reconnect keng Bréck mat engem verschwonnene Member hannerléisst.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Test duerno, wat d’Boerder a béide Richtungen tatsächlech brauchen, verbënnt den Tunnel nei a startt een PC no dem guddgeheeschen Restauratiounsplang nei. Bestätegt duerno dräi Saachen: de Verwaltungszougang funktionéiert nach ëmmer onofhängeg, keng duebel Laboratoiresadress erschéngt, an keng onerwaart Produktiounsschnittstell ass der Bréck bäigetrueden. Déi Kombinatioun ass de Beweis, datt d’Experiment bannent senger Bank bliwwen ass.