Vienas TAP serveris ar keli? OpenVPN klientai tiltu
TAP klientai dalijasi vienu tiltu ir vienu serverio procesu, o tai reiškia ir vieną transliacijos domeną. Prieš rinkdamiesi palyginkite tiltinį Ethernet su maršrutizuotu TUN.
Keli TAP klientai nereikalauja po vieną serverio procesą, vieną UDP prievadą ir vieną TAP įrenginį hoste kiekvienam. Vienas OpenVPN serveris Ethernet režimu gali priimti daug autentifikuotų klientų ir prijungti juos prie vieno tilto, ir tai yra dokumentuotas būdas išplėsti 2-ojo sluoksnio segmentą. Vieno proceso sprendimas yra tas, kurį dokumentuoja vadovas, ir dažniausiai tai yra teisinga numatytoji reikšmė.
Tikrasis klausimas – ar tie klientai turėtų dalytis tuo segmentu. Procesų skaičius į jį neatsako, nes izoliacijos savybės kyla iš topologijos, o ne iš to, kiek tarnybų veikia. Likusi šio palyginimo dalis – apie dvi topologijas ir tai, ką kiekviena palengvina.
Dvi architektūros, o ne du nustatymai
Maršrutizuotas TUN diegimas kiekvienam klientui suteikia taškas-taškas jungtį į serverio maršruto sritį. Transliacijos sustoja ties serveriu, klientai nemato vienas kito kadrų, o srautas tarp klientų, jei jo yra, turi būti aiškiai maršrutizuojamas ir filtruojamas.
Tiltinis TAP diegimas klientus padaro vieno Ethernet segmento nariais. Jie mato transliacijas, gali rasti vienas kitą per ARP ir, kad liktų atskirti, remiasi tilto ir ugniasienės politika, o ne maršrutizavimu. Tai naudinga, kai klientai turi atrodyti taip, tarsi būtų įjungti į tą patį komutatorių.
Taigi palyginimas yra apie tai, ką klientai turi pasiekti, o ne apie našumą. Pirmiausia pasirinkite sluoksnį, tada nuspręskite, kiek procesų jį aptarnaus.
Ką daro server-bridge pagalbinė priemonė
server-bridge pagalbinė priemonė sukonfigūruoja kelių klientų Ethernet režimą. Jos adresų telkinio forma priima tinklų sietuvą, tinklo kaukę ir skirtą intervalą tiltinio potinklio viduje, pavyzdžiui, sietuvą 192.168.50.1 adresu su telkiniu nuo 192.168.50.160 iki 192.168.50.199.
Rezervuokite tą intervalą už bet kokio kito DHCP ar statinio priskyrimo ribų. Priemonė iš jo skiria adresus, bet nesuderina veiksmų su kitu skirstytuvu tame pačiame segmente, o du persidengiantys telkiniai sukuria pasikartojančius adresus, kurie atrodo kaip atsitiktiniai ryšio sutrikimai. Įrašykite rezervuotą intervalą į vietos adresų planą, kad kitas žmogus jo nebenaudotų. Komentaras serverio konfigūracijoje yra prastas to įrašo pakaitalas.
Yra forma su DHCP tarpine serveriu diegimams, kur adresus dalija išorinis serveris. Ji turi savo prielaidas, o abiejų formų maišymas sukuria būtent tą konfliktą, apie kurį įspėja dokumentacija. Pasirinkite vieną skirstytuvą tiltiniam potinkliui.
Izoliacija neatsiranda iš procesų skaičiaus
Aštuoni OpenVPN procesai, prijungti prie to paties neriboto tilto, vis tiek dalijasi vienu transliacijos domenu. Klientai gali siųsti ARP vienas kitam per tiltą, ir klausytojų skaičius to nepakeitė.
Jei reikalavimas yra, kad klientų grupės nematytų viena kitos 2-ajame sluoksnyje, projektui reikia atskirų tiltų arba VLAN prijungimų kartu su atitinkamomis prieigos taisyklėmis. Tai tinklo projektavimo sprendimas, ir jis yra tas pats nepriklausomai nuo to, ar dalyvauja vienas serverio procesas, ar aštuoni. Tilto filtravimas gali apriboti dalį srauto, bet nesukuria atskirų transliacijos domenų. Traktuokite jį kaip segmentavimo papildymą, o ne pakaitalą.
Jei reikalavimas yra tik tai, kad klientai pasiektų tam tikras IP paslaugas, maršrutizuotas TUN sprendimas paprastai yra paprastesnis nei tiltinimas su filtravimu. Kiekvienas klientas gauna savo jungtį, o politika gyvena maršrutizavimo ir ugniasienės taisyklėse, o ne tilto viduje.
Kada keli procesai vis tiek yra teisingi
Atskirus procesus galima pateisinti eksploataciniais poreikiais: skirtingos autentifikavimo pagrindinės sistemos, skirtingos sertifikatų institucijos, atskiri atnaujinimo ciklai arba nesuderinami parinkčių rinkiniai. Tai tikros priežastys, ir jos nepriklauso nuo klientų skaičiaus.
Jei naudojate kelis, suteikite kiekvienam savo klausytoją ir įrenginio nuosavybę bei suderinkite adresų intervalus. Du serveriai, kurie abu mano turintys tą patį telkinį tame pačiame tilte, galiausiai išduos tą patį adresą.
Tada patikrinkite projektą su keliais klientais vienu metu. Patikrinkite, ar adresai unikalūs, ar numatytas srautas tarp klientų veikia ir ar pora, kuri neturi bendrauti, to negali. Vieno kliento sėkmingas ping neišbando nieko iš kelių klientų sprendimo.
Perskaitykite tiltą ir serverio režimą iš veikiančio hosto prieš pasitikėdami schema. Svarbi konfigūracija yra ta, kurią branduolys ir tarnyba iš tikrųjų įkėlė, ir būtent ją gali patikrinti recenzentas.