OpenVPN TUN géint TAP: dräi Konditiounen, déi entscheeden

Zwee Tunnelen kënnen déiselwecht Fichierstransfer droen an awer komplett ënnerschiddlech sinn an deem, wat se op den Draht setzen. Ee beweegt IP-Paketen tëschent zwou Adressen; deen aneren beweegt Ethernet-Framen a ka an ee Segment gebréckt ginn. Dee Ënnerscheed entscheet, wéi eng Applikatiounen funktionéieren, wéi eng Clienten sech kënnen ustécken an wéi vill Netzwierkdesign Dir iwwerhëlt.

An der Praxis entscheeden dräi Konditiounen dat. Gitt se der Rei no duerch, well déi éischt meeschtens d'Diskussioun ofschléisst.

Wat all Schnëttstell tatsächlech transportéiert

En TUN-Apparat ass eng Punkt-zu-Punkt-Schnëttstell op Layer 3: de Kernel gëtt him IP-Paketen an den Tunnel transportéiert se op eng Peer-Adress. En TAP-Apparat ass eng Schnëttstell op Layer 2, déi Ethernet-Framen transportéiert, an dat ass et, wat Bridging iwwerhaapt méiglech mécht, wéi d'Kernel-Dokumentatioun beschreift. Keen vun deenen zwee ännert, wéi d'Payload verschlësselt gëtt, an keen ass eng Kraaftastellung. D'Wiel geet drëm, wat d'Ennpunkten austausche mussen, net drëm, wéi gutt den Trafik geschützt ass.

Eng Konsequenz folgt direkt: béid Enden mussen ewech een sinn. E Client, deen op eng Apparatetyp agestallt ass, kann net engem Server bäitrieden, deen op déi aner agestallt ass, egal wat soss alles passt.

Éischt Konditioun: brauch eppes Layer zwee?

Bridging verdéngt seng Komplexitéit, wann e Protokoll wierklech déiselwecht Broadcast-Domän brauch: Net-IP-Trafik, Entdeckung, déi net iwwer e Router ka goen, oder eng Applikatioun, déi drop behaart, an engem Segment ze sinn. Alles anescht ass eng Routingaufgab, a Routing léist se mat vill manner Maschinen. E Segment iwwer e grousst Gebitt ausdehnen dehnt och seng Broadcasten aus, sou datt Loopverhënnerung, Adressplanung a Feelerdomänen all Deel vum Design ginn. Dat ass vill ze akzeptéieren fir eng Ufuerderung, déi eng eenzeg Route erfëllt hätt.

Den Test ass konkreet: nennt d'Applikatioun, déi op engem gerouteten Tunnel feelt, a sot firwat. Wann d'Äntwert ass, datt se Broadcast brauch, ass Layer zwee déi éierlech Äntwert. Wann d'Äntwert ass, datt een ee Server net konnt erreechen, ass d'Ufuerderung eng Route oder eng Firewallregel.

Zweet Konditioun: kënne se d'Clienten?

D'Ënnerstëtzung ass net eenheetlech. Desktopclienten ubidden allgemeng béid Apparatetypen, wärend mobil an agebaut Clienten dacks nëmmen de geroutete Modus ëmsetzen, an e Profil, deen ouni Beschwéierde importéiert gëtt, kann awer feelen, wann en d'Schnëttstell versicht ze schafen. Préift de spezifesche Client an d'Versioun, amplaz d'Funktiounen aus dem Plattformnumm ofzeleeden.

E Feeler bei enger net ënnerstëtzter Optioun ass keng Invitatioun, onbekannt Zeilen ze läschen, bis den Import geléngt. Et heescht, datt de Profil an de Client sech net eens sinn, wat méiglech ass, an d'Reparatur gehéiert bei den Operateur, deen de Profil ausgestallt huet. Eng Optioun ewechhuelen, fir e Validator roueg ze stellen, kann eng Verbindung erginn, déi schéngt ze funktionéieren, awer déi Eegenschaft, fir déi se do war, stillschweigend ewechléisst.

Drëtt Konditioun: ass dat wierklech eng Fro vun der Schnëttstell?

Zwou ugrenzend Wielen kréien d'Schold fir Schnëttstellproblemer. Den virtuelle Apparat entscheet, wat an den Tunnel geet, wärend UDP oder TCP entscheet, wéi den äusseren Transport sech verhält, an keen vun deenen zwee heelt Transfere, déi hänken. Wa grouss Transfere hänken an kleng geléngen, verdéngen d'Paketgréisst an d'MTU éischter Opmierksamkeet.

E Client, deen sech ustéckt an dann een internen Host net erreecht, kuckt meeschtens op Routing, eng Firewallregel oder e fehlenden Zréckwee.

Fir eng geréiert Servicer benotzt d'Schnëttstell-Anuerdnung, déi de Profil vum Operateur virschreift, well d'Serversäit scho ronderëm se gebaut ass. Fir eng privat Déployement, wielt aus der richteger Ufuerderung vun der Applikatioun an schreift de Grond nieft d'Wiel.

D'Fro ass net, wéi eng Optioun méi staark ass. Se ass, wéi eng den Trafik tatsächlech brauch.