TAP ouni Bréck: e virtuelle Segment mat enger gerouteter Uplink

TAP iwwergëtt Ethernet-Frames un d’Betribssystem, wat méi Capacitéit ass wéi déi meescht Fernzougrëffs-Designen brauchen a manner wéi eng Bréck. De Kernel kann et adresséieren, duerch et routeren an et mat enger Firewall schützen ouni et un e physescht Segment ze verbannen. Dës Anuerdnung ass et wäert, als éischt ze verstoen: en isoléiert virtuellt Ethernet-Segment, deem säi Server als Router Richtung engem richtegen LAN wierkt. Et gëtt Verhalen vun der zweeter Schicht bannent dem Tunnel a gewéinlech IP-Weiderleedung dobaussen, wat zwee verschidde Versprieche sinn. De Rescht ass de Bau, d’Route, de Réckwee an de Réckbau.

Baut dat isoléiert Segment

Op Linux hëlt d’Interface dräi Kommanden: erstellt et, hieft et, gitt him eng Adress bannent dem Segment, dat dir virgesinn hutt. Wielt e Prefix, deen net mam Büro-LAN kollidéiert, a schreift en op, well d’Kollisioun onsiichtbar ass bis en Host äntwert, deen net sollt existéieren.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Näischt hei brauch eng Bréck, an näischt verhënnert eng méi spéit derbäizesetzen. D’Kernel-Dokumentatioun zu TUN/TAP beschreift d’Interface selwer; Briedderschaft an der Bréck an d’Weiderleedungspolitik sinn getrennte Entscheidungen, déi dir duerno hëlt.

Rout iwwer d’Grenz

Aktivéiert d’Weiderleedung, erlaabt déi zwee Prefixen an der Weiderleedungskette, a füügt eng Route Richtung Büro-Prefix derbäi mam LAN-Router als nächsten Hop. D’VPN-Säit schéckt dann de Büro-gerichteten Traffic un de Server als säi Gateway, an de Server leet déi Pakete weider als sech selwer, net als Bréck. Eng TAP-Interface mat desaktivéierter Weiderleedung ass e Segment, dat lokal äntwert an näischt doriwwer eraus erreecht, wat de gewéinlechen hallef fäerdege Zoustand ass. Préift duerno d’Interface-Zähler op béide Säiten, well en klammenden Empfangs-Zähler mat engem flaachen Sende-Zähler op der LAN-Säit en Ofstuerz an der Weiderleedungskette bedeit, net eng schlecht Route.

Schreift d’Route an d’Firewall-Reeg als eng eenzeg Ännerung, well jiddwereen eleng en Zoustand produzéiert, deen aus der Client-Säit wéi e Routing-Feeler ausgesäit.

Entscheet de Réckwee

Entweder léiert de LAN-Router eng Route zréck zum VPN-Prefix, oder de Server iwwersetzt Quelladressen um Wee eraus. D’Iwwersetzung mécht de Réckwee trivial an zerstéiert d’Identitéit vun der Quell, dofir wäerten d’Destinatiounsloggen d’Adress vum Server fir all Client hannendrun weisen. E geroutete Prefix behält d’Identitéit a verlaangt eng Ännerung op Ausrüstung, déi dir vläicht net verwalt.

Wielt bewosst a net no deem, wat méi séier ze tippen ass. Ee geroutete Prefix ass meeschtens méi propper wéi d’Iwwersetzung, an d’Iwwersetzung ass meeschtens besser wéi engem net verwaltete Router en neie Prefix fir ee Labor bäizebréngen.

Haalt de Broadcast-Bereich bewosst

Bannent dem virtuelle Segment verhalen sech DHCP, Entdeckung an Noper-Annonce wéi op engem Switch, well et eng eenzeg Verbindung ass. Iwwer d’geroutet Grenz maachen se dat net, dofir brauchen de Büro-DHCP an d’Service-Entdeckung en expliziten Design an net d’Unamehme, datt TAP se enthält. Den Interface-Typ ass keen Relais fir Servicer, déi sossdor wunnen.

Dat ass dee éierleche Grond, iwwerhaapt TAP ze wielen: eppes um virtuelle Segment brauch verbindungs-lokalt Verhalen. Wann näischt et brauch, ass en TUN-Apparat mat engem geroutete Prefix méi kleng, an et ass manner ze erklären, wann en briecht.

Verifizéiert, da schreift de Réckbau

Vun engem VPN-Client aus, pingt de LAN-Router, pingt en Host, an öffnet ee Service, deen zielt, iwwer TCP. Préift dann d’Zähler an d’Weiderleedungskette, well en Politik-Ofstuerz aus der Distanz genee wéi eng fehlend Route ausgesäit. De Réckbau ass d’Ëmkeerung vum Bau an gehéiert an d’Ännerungsjournal, ier dir ufänkt: huelt d’Route ewech, huelt d’Adress ewech, läscht d’Interface.

Wann d’Ufuerderung wierklech een Ethernet-Segment iwwer zwee Standplaze ass, ass eng Bréck déi éierlech Äntwert an en aneren Design mat engem aneren Impaktradius. Wann d’Ufuerderung Erreechbarkeet ass, mécht dat isoléiert Segment mat enger gerouteter Uplink d’Aarbecht mat manner Erklärungen duerno.