Изолиран TAP мост помеѓу две плочи преку OpenVPN

Две развојни плочи треба да делат еден Ethernet сегмент, додека нивните тезги се наоѓаат во различни згради. Тунелот веќе постои и веќе пренесува Ethernet, така што преостанатата работа изгледа како три команди и не е. Што прави домаќинот со рамка што поминала низ мостот, каде припаѓа сопствената адреса на сметачот и која граница мостот не ја создава се три одделни факти, а грешката во вториот е вообичаената причина зошто лабораторијата работи со прекини и нејзиниот административен пристап тивко се влошува. Ниту еден од тие три факти не е видлив на дијаграм на топологија.

Патеката подолу претпоставува автентифицирана TAP врска меѓу два Linux сметачи, една наменска жичена порта за секоја тезга и административен интерфејс што не е дел од експериментот. Редоследот е важен: прво рамки, потоа адреси, на крајот граница.

Што всушност пренесува мостот

Мостот е комутатор имплементиран во софтвер. Тој учи која MAC адреса се појавува зад која членска порта и препраќа рамки меѓу членовите без да консултира IP табела за рутирање. Ништо во тој опис не вклучува подмрежа, порта или стандардна рута, затоа овозможувањето IP препраќање не го создава ова поврзување и затоа ping може да успее додека друг сообраќај уште не поминува. Плочата може да стигне до својот партнер без воопшто конфигурирана стандардна рута, што ги изненадува оние што очекуваат вториот слој да се однесува како третиот.

Секој сметач додава една жичена порта на мостот и TAP уредот на истиот мост, така што рамка од плочата влегува во локалната порта, се препраќа на TAP уредот, го поминува тунелот, пристигнува на TAP уредот на партнерот и се препраќа на неговата плоча. Тунелот е членска порта како секоја друга, и мостот не знае ниту го интересира што зад него стои VPN. Токму таа симетрија го прави примерот лесен за размислување: секоја страна има една порта свртена кон лабораторијата и една тунелска порта, и ниту една страна не е посебна.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Идентичните имиња на двата сметачи се локални имиња, а не заеднички објекти. Меѓу тезгите има една Ethernet патека, без втор кабел и без втор тунел што затвора јамка; мост што ќе види истата MAC како пристигнува на две порти со задоволство ќе препраќа во кругови.

Адресирајте го мостот, не неговите членски порти

Идентитетот на сметачот во лабораторискиот сегмент му припаѓа на уредот мост. Членските порти остануваат без број, бидејќи портата е член што препраќа и адреса на неа би создала втор, конкурентен сопственик на истиот сегмент. Ова е исправката што повеќето рачно напишани рецепти ја прават погрешно: тие ја адресираат TAP уредот и мостот, а потоа се прашуваат до кој од двата партнерот всушност стигнува.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Партнерот ја користи истата форма со друга адреса на домаќин, а плочите земаат адреси во истиот опсег користејќи ја адресата на мостот на сметачот како следен скок ако им треба. Користете опсези од документацијата додека планот не се договори и резервирајте го опсегот за да не се судри со нешто што канцеларијата веќе го рутира. Пред да пуштите било што од тоа, потврдете дека членските порти немаат преостаната адреса, DHCP клиент и членство во друг мост, и усогласете го адресирањето на TAP уредот преку тоа што ја поседува конфигурацијата на тунелот за да не врати адреса подоцна.

Зошто една наменска порта за секоја тезга

Наменската жичена порта е тоа што спречува експериментот да стане промена за целата канцеларија. Административниот интерфејс носи SSH, стандардната рута и надворешната VPN врска, и ништо од тоа не припаѓа на мост чија цел е пренесување лабораториски рамки.

Поврзувањето административен адаптер ја става канцелариската LAN на една одлука за препраќање оддалечена од развојна плоча, а плоча што се однесува лошо на вториот слој е токму видот уред што не сакате на тој сегмент. Wi-Fi адаптерот е полош: премостувањето безжичен интерфејс во инфраструктурен режим не се однесува како премостување Ethernet, и дефектот е збунувачки, а не чист.

Држете го лабораторискиот опсег надвор од секој производствен DHCP опсег. Ако на плочите подоцна им треба динамичко адресирање, еден овластен распределувач со еден базен е единствениот распоред што останува предвидлив; обичните рутери на две локации што одговараат на истиот сегмент создаваат адреси што никој не може да ги објасни.

Границата што мостот не ја создава

Премостувањето не е рутирање, а не е ни изолација. Рамките што го поминуваат мостот уште можат да стигнат до куките за филтрирање на домаќинот, зависно од инсталираната bridge-netfilter патека, така што ефективната политика мора да се провери, а не да се претпостави. Исклучувањето на огнениот ѕид затоа што загубила една рамка заменува конкретна грешка со општа.

IP препраќањето меѓу мостот и секој административен или uplink интерфејс треба да остане исклучено или експлицитно забрането, и тоа е одделна контрола од членството во мостот. Плоча што ќе ја избере лабораториската адреса на сметачот како своја порта го проверува токму ова: ако административниот транзит успее, границата што сте ја намериле никогаш не постоела.

Уште две фамилии заслужуваат експлицитна одлука. Планот за адреси не го прави мостот само IPv4, така што IPv6 и другите EtherType бараат свој план или филтер. А успешниот ping не кажува ништо за тоа дали откривачките емитувања на плочата, multicast групите или jumbo рамките ќе ја поминат патеката, бидејќи тоа се различни класи на сообраќај со различни стандардни вредности.

На крајот, транспортот и доверливоста се две различни набавки. TAP пренесува Ethernet; услугата OpenVPN ја обезбедува заштитата околу него. VXLAN слојот исто така пренесува Ethernet и сам по себе не обезбедува доверливост, така што замената на едното со другото ги менува безбедносните својства дури и кога дијаграмот на топологија изгледа идентично.

Трајност и тестовите што ја докажуваат

Командата внесена еднаш по поврзувањето не е конфигурација. Направете ги трајни мостот, членството на портите и единствената адреса на домаќин преку постојниот мрежен менаџер на сметачот, и поврзете го приклучувањето со појавувањето на TAP уредот за повторното поврзување да не остави мост со исчезнат член.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Потоа тестирајте што им е навистина потребно на плочите во двете насоки, повторно поврзете го тунелот и рестартирајте еден сметач според одобрениот план за обновување. Потоа потврдете три работи: административниот пристап уште работи независно, не се појавува дупликат лабораториска адреса и ниту еден неочекуван производствен интерфејс не се приклучил на мостот. Токму таа комбинација е доказот дека експериментот останал во рамките на својата тезга.