TAP be tilto: virtualus segmentas su maršrutizuotu išėjimo kanalu

TAP perduoda Ethernet kadrus operacinei sistemai, o tai yra daugiau galimybių, nei reikia daugumai nuotolinės prieigos projektų, ir mažiau nei tiltas. Branduolys gali jam priskirti adresą, maršrutizuoti per jį ir apsaugoti jį užkarda neprijungdamas jo prie jokio fizinio segmento. Šią tvarką verta suprasti pirmiausia: izoliuotas virtualus Ethernet segmentas, kurio serveris veikia kaip maršrutizatorius tikrojo LAN link. Jis suteikia antrojo sluoksnio elgseną tunelio viduje ir įprastą IP persiuntimą už jo ribų, o tai yra du skirtingi pažadai. Likusioji dalis yra statyba, maršrutas, grįžimo kelias ir atšaukimas.

Sukurkite izoliuotą segmentą

Linux sistemoje sąsaja priima tris komandas: sukurkite ją, pakelkite ją, suteikite jai adresą numatomo segmento viduje. Pasirinkite prefiksą, kuris nesusiduria su biuro LAN, ir užsirašykite jį, nes susidūrimas nematomas tol, kol neatsako hostas, kurio neturėtų būti.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Niekas čia nereikalauja tilto, ir niekas netrukdo vėliau jį pridėti. Branduolio TUN/TAP dokumentacija aprašo pačią sąsają; priklausymas tiltui ir persiuntimo politika yra atskiri sprendimai, kuriuos priimate vėliau.

Maršrutizuokite per sieną

Įjunkite persiuntimą, leiskite du prefiksus persiuntimo grandinėje ir pridėkite maršrutą link biuro prefikso, LAN maršrutizatorių naudodami kaip kitą šuolį. Tada VPN pusė siunčia biuro krypties srautą serveriui kaip savo tinklų sietuvui, o serveris persiunčia tuos paketus kaip pats save, o ne kaip tiltas. TAP sąsaja su išjungtu persiuntimu yra segmentas, kuris atsako vietoje ir nieko už savęs nepasiekia, o tai yra įprasta pusiau baigta būsena. Vėliau patikrinkite sąsajos skaitiklius abiejose pusėse, nes augantis priėmimo skaitiklis su plokščiu siuntimo skaitikliu LAN pusėje reiškia kritimą persiuntimo grandinėje, o ne blogą maršrutą.

Parašykite maršrutą ir užkardos taisyklę kaip vieną pakeitimą, nes kiekvienas atskirai sukuria būseną, kuri iš kliento pusės atrodo kaip maršrutizavimo gedimas.

Nuspręskite grįžimo kelią

Arba LAN maršrutizatorius išmoksta grįžimo maršrutą link VPN prefikso, arba serveris išėjimo kelyje verčia šaltinio adresus. Vertimas padaro grįžimo kelią trivialiu ir sunaikina šaltinio tapatybę, todėl paskirties žurnalai rodys serverio adresą kiekvienam klientui už jo. Maršrutizuotas prefiksas išsaugo tapatybę ir reikalauja pakeitimo įrangoje, kurios galbūt nevaldote.

Rinkitės tyčia, o ne pagal tai, ką greičiau įvesti. Vienas maršrutizuotas prefiksas paprastai yra švaresnis už vertimą, o vertimas paprastai yra geriau nei mokyti nevaldomą maršrutizatorių naujo prefikso dėl vienos laboratorijos.

Išlaikykite transliacijos aprėptį tyčinę

Virtualaus segmento viduje DHCP, aptikimas ir kaimynų skelbimas elgiasi kaip komutatoriuje, nes tai viena jungtis. Už maršrutizuotos sienos jie taip nesielgia, todėl biuro DHCP ir paslaugų aptikimas reikalauja aiškaus projektavimo, o ne prielaidos, kad TAP juos apima. Sąsajos tipas nėra retransliatorius paslaugoms, kurios gyvena kitur.

Tai sąžininga priežastis apskritai rinktis TAP: kažkam virtualiame segmente reikia jungties vietinės elgsenos. Jei niekam to nereikia, TUN įrenginys su maršrutizuotu prefiksu yra mažesnis, ir mažiau ką paaiškinti, kai jis sugenda.

Patikrinkite, tada parašykite atšaukimą

Iš VPN kliento pinginkite LAN maršrutizatorių, pinginkite hostą ir atidarykite vieną svarbią paslaugą per TCP. Tada patikrinkite skaitiklius ir persiuntimo grandinę, nes politikos kritimas iš tolo atrodo būtent kaip trūkstamas maršrutas. Atšaukimas yra statybos priešingybė ir priklauso pakeitimų įrašui prieš pradedant: pašalinkite maršrutą, pašalinkite adresą, ištrinkite sąsają.

Jei reikalavimas tikrai yra vienas Ethernet segmentas, apimantis dvi vietas, tiltas yra sąžiningas atsakymas ir kitoks projektas su kitu poveikio spinduliu. Jei reikalavimas yra pasiekiamumas, izoliuotas segmentas su maršrutizuotu išėjimo kanalu atlieka darbą su mažiau paaiškinimų vėliau.