Een TAP-Server oder méi? OpenVPN-Clienten op enger Bréck

Méi TAP-Clienten brauchen net je een Serverprozess, een UDP-Port an een TAP-Apparat um Host. Een OpenVPN-Server am Ethernet-Modus kann vill authentifizéiert Clienten unhuelen an se un eng eenzeg Bréck upaken, an dat ass de dokumentéierte Wee fir en Layer-2-Segment ze erweideren. D’Design mat engem Prozess ass dat, wat d’Handbuch dokumentéiert, an et ass meeschtens de richtege Standard.

Déi richteg Fro ass, ob dës Clienten dee Segment solle deelen. D’Zuel vun de Prozesser beäntwert se net, well d’Isolatiounseigenschaften aus der Topologie kommen an net doraus, wéi vill Daemone lafen. De Rescht vun dësem Verglach geet ëm déi zwou Topologien an ëm dat, wat jiddwerengem einfach mécht.

Zwou Architekturen, net zwou Astellungen

Eng geroutet TUN-Installatioun gëtt all Client e Punkt-zu-Punkt-Link an d’Routingdomän vum Server. Broadcasts bleiwen um Server stoen, d’Clienten gesinn d’Framen vun deenen aneren net, an den Trafic tëscht Clienten, wann et en gëtt, muss ausdrécklech geroutet a gefiltert ginn.

Eng gebréckt TAP-Installatioun mécht d’Clienten zu Membere vun engem Ethernet-Segment. Si gesinn Broadcasts, kënnen sech géigesäiteg mat ARP opléisen, a si hänken u Brécken- a Firewallpolitik amplaz vu Routing, fir getrennt ze bleiwen. Dat ass nëtzlech, wann d’Clienten esou mussen erschéngen, wéi wann se un dee selwechte Switch ugeschloss wieren.

De Verglach geet deemno dorëms, wou d’Clienten erreeche mussen, an net ëm d’Performance. Wielt fir d’éischt d’Schicht an entscheet dann, wéi vill Prozesser se déngschtleescht.

Wat den server-bridge-Helfer mécht

Den server-bridge-Helfer konfiguréiert den Ethernet-Modus fir méi Clienten. Seng Form mat Adresspool hëlt de Gateway, d’Netmask an e spezielle Beräich bannent dem gebréckten Subnetz, zum Beispill e Gateway op 192.168.50.1 mat engem Pool vun 192.168.50.160 bis 192.168.50.199.

Reservéiert dee Beräich ausserhalb vun all anerer DHCP- oder statescher Zousetzung. Den Helfer deelt Adressen dovun aus, awer hien harmoneséiert sech net mat engem aneren Zousetzer um selwechte Segment, an zwee Pools, déi sech iwwerschneiden, ginn duebel Adressen, déi wéi zoufälleg Verbindungsfehler ausgesinn. Schreift de reservéierte Beräich an den Adressplang vum Site, sou datt déi nächst Persoun en net nach eng Kéier notzt. E Kommentar an der Serverkonfiguratioun ass e schlechten Ersatz fir dee Rekord.

Et gëtt eng Form mat DHCP-Proxy fir Installatiounen, wou en externe Server Adressen ausgëtt. Si huet hir eegen Viraussetzungen, an d’Vermësche vun deenen zwou Formen erzeugt genau de Konflikt, virun deem d’Dokumentatioun warnt. Wielt een Zousetzer fir de gebréckte Subnetz.

Isolatioun kënnt net aus der Zuel vu Prozesser

Aacht OpenVPN-Prozesser, déi un déi selwecht onbeschränkt Bréck ugeschloss sinn, deelen nach ëmmer eng Broadcast-Domän. D’Clienten kënnen iwwer d’Bréck ARP fireneen schécken, an d’Zuel vun de Lauschterer huet dorun näischt geännert.

Wann d’Fuerderung ass, datt Clientgruppen sech op Layer 2 net gesinn, brauch d’Design separat Brécken oder VLAN-Uschlëss zesumme mat den Zougriffsregelen, déi dozou gehéieren. Dat ass eng Entscheedung iwwer d’Netzdesign, an et ass déi selwecht Entscheedung, egal ob een Serverprozess oder aacht bedeelegt sinn. D’Bréckenfilterung kann en Deel vum Trafic aschränken, awer si schaaft keng separat Broadcast-Domänen. Betruecht se als Ergänzung zur Segmentéierung, net als Ersatz dofir.

Wann d’Fuerderung just ass, datt d’Clienten bestëmmten IP-Servicer erreechen, ass en geroutet TUN-Design meeschtens méi einfach wéi Brécken a Filteren. All Client kritt säin eegene Link, an d’Politik lieft an de Routing- a Firewallregelen amplaz am Banneschten vun der Bréck.

Wéini méi Prozesser awer richteg sinn

Separat Prozesser kënnen duerch operationell Bedierfnesser gerechtfäerdegt ginn: verschidde Authentifikatiouns-Backends, verschidden Zertifizéierungsautoritéiten, separat Upgrade-Zyklen oder inkompatibel Optiounssätz. Dat sinn richteg Grënn a si sinn onofhängeg vun der Zuel vun de Clienten.

Wann Dir der méi notzt, gitt jiddwerengem säin eegene Lauschterer an d’Apparatsbesëtz a koordinéiert d’Adressberäicher. Zwee Server, déi allebéid mengen, si beséizen dee selwechte Pool op der selwechter Bréck, ginn iergendwann déiselwecht Adress aus.

Da verifizéiert d’Design mat méi Clienten gläichzäiteg. Kontrolléiert, datt d’Adressen eenzegaarteg sinn, datt den ugedaachten Trafic tëscht Clienten funktionéiert, an datt e Puer, dat net soll kommunizéieren, et net kann. Ee gelungene Ping vun engem eenzegen Client probéiert näischt vum Design fir méi Clienten.

Liest d’Bréck an de Servermodus vum lafenden Host of, ier Dir dem Diagramm vertraut. D’Konfiguratioun, déi zielt, ass déi, déi de Kernel an den Daemon tatsächlech gelueden hunn, an et ass och déi, déi en Iwwerpréifer kontrolléiere kann.