TAP bez tilta: virtuāls segments ar maršrutētu augšupielādes kanālu

TAP nodod Ethernet kadrus operētājsistēmai, kas ir vairāk iespēju, nekā vajag lielākajai daļai attālinātās piekļuves projektu, un mazāk nekā tilts. Kodols tam var piešķirt adresi, maršrutēt caur to un aizsargāt to ar ugunsmūri, nepiesaistot to nevienam fiziskam segmentam. Šo izkārtojumu ir vērts vispirms saprast: izolēts virtuāls Ethernet segments, kura serveris darbojas kā maršrutētājs pretī reālam LAN. Tas dod otrā slāņa uzvedību tuneļa iekšpusē un parastu IP pāradresāciju ārpusē, un tās ir divas dažādas solījumi. Pārējais ir būvēšana, maršruts, atgriešanās ceļš un atritināšana.

Uzbūvējiet izolēto segmentu

Linux sistēmā saskarne saņem trīs komandas: izveidojiet to, paceliet to, piešķiriet tai adresi paredzētā segmenta iekšpusē. Izvēlieties prefiksu, kas nesaduras ar biroja LAN, un pierakstiet to, jo sadursme ir neredzama, līdz atbild saimnieks, kuram nevajadzētu eksistēt.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Nekas šeit neprasa tiltu, un nekas netraucē vēlāk to pievienot. Kodola TUN/TAP dokumentācija apraksta pašu saskarni; piederība tiltam un pāradresācijas politika ir atsevišķi lēmumi, ko pieņemat vēlāk.

Maršrutējiet pāri robežai

Iespējojiet pāradresāciju, atļaujiet divus prefiksus pāradresācijas ķēdē, un pievienojiet maršrutu pretī biroja prefiksam, izmantojot LAN maršrutētāju kā nākamo lēcienu. Tad VPN puse sūta uz biroju vērsto trafiku serverim kā savai vārtejai, un serveris pārsūta šos paketes kā pats sevi, nevis kā tilts. TAP saskarne ar izslēgtu pāradresāciju ir segments, kas atbild lokāli un neko aiz tā nesasniedz, un tas ir parastais pusgatavais stāvoklis. Vēlāk pārbaudiet saskarnes skaitītājus abās pusēs, jo augošs uztveršanas skaitītājs ar plakanu sūtīšanas skaitītāju LAN pusē nozīmē kritienu pāradresācijas ķēdē, nevis sliktu maršrutu.

Pierakstiet maršrutu un ugunsmūra noteikumu kā vienu izmaiņu, jo katrs atsevišķi rada stāvokli, kas no klienta puses izskatās kā maršrutēšanas kļūme.

Izlemiet atgriešanās ceļu

Vai nu LAN maršrutētājs iemācās atgriešanās maršrutu uz VPN prefiksu, vai arī serveris izejā pārtulko avota adreses. Tulkošana padara atgriešanās ceļu triviālu un iznīcina avota identitāti, tāpēc galamērķa žurnāli rādīs servera adresi katram klientam aiz tā. Maršrutēts prefikss saglabā identitāti un prasa izmaiņas aprīkojumā, ko jūs varbūt nepārvaldāt.

Izvēlieties apzināti, nevis pēc tā, ko ātrāk ierakstīt. Viens maršrutēts prefikss parasti ir tīrāks par tulkošanu, un tulkošana parasti ir labāka nekā mācīt nepārvaldītam maršrutētājam jaunu prefiksu vienas laboratorijas dēļ.

Uzturiet apraides apjomu apzinātu

Virtuālā segmenta iekšpusē DHCP, atklāšana un kaimiņu paziņošana uzvedas kā komutatorā, jo tā ir viena saite. Aiz maršrutētās robežas tie tā neuzvedas, tāpēc biroja DHCP un pakalpojumu atklāšanai vajag skaidru projektējumu, nevis pieņēmumu, ka TAP tos ietver. Saskarnes tips nav retranslators pakalpojumiem, kas dzīvo citur.

Tas ir godīgais iemesls vispār izvēlēties TAP: kaut kam virtuālajā segmentā vajag saites lokālu uzvedību. Ja nekam to nevajag, TUN ierīce ar maršrutētu prefiksu ir mazāka, un ir mazāk ko paskaidrot, kad tā sabojājas.

Pārbaudiet, tad pierakstiet atritināšanu

No VPN klienta pingojiet LAN maršrutētāju, pingojiet saimnieku un atveriet vienu svarīgu pakalpojumu pa TCP. Pēc tam pārbaudiet skaitītājus un pāradresācijas ķēdi, jo politikas kritiens no attāluma izskatās tieši kā trūkstošs maršruts. Atritināšana ir būvēšanas pretstats un pieder izmaiņu žurnālam pirms sākšanas: noņemiet maršrutu, noņemiet adresi, izdzēsiet saskarni.

Ja prasība tiešām ir viens Ethernet segments, kas aptver divas vietas, tilts ir godīgā atbilde un citāds projekts ar citu ietekmes rādiusu. Ja prasība ir sasniedzamība, izolētais segments ar maršrutētu augšupielādes kanālu paveic darbu ar mazāk paskaidrojumiem vēlāk.