Еден TAP сервер или повеќе? OpenVPN клиенти на мост

Повеќе TAP клиенти не бараат по еден серверски процес, еден UDP порт и еден TAP уред на домаќинот за секој. Еден OpenVPN сервер во Ethernet режим може да прими многу автентификувани клиенти и да ги прикачи на еден мост, и тоа е документираниот начин да се прошири сегмент од слој 2. Дизајнот со еден процес е оној што го документира прирачникот и обично е правилната стандардна поставка.

Вистинското прашање е дали тие клиенти треба да го делат тој сегмент. Бројот на процеси не одговара на тоа, зашто својствата за изолација доаѓаат од топологијата, а не од тоа колку демони работат. Остатокот од оваа споредба е за двете топологии и за тоа што ја олеснува секоја од нив.

Две архитектури, а не две поставки

Рутирано распоредување на TUN му дава на секој клиент точка-до-точка врска во рутирачката домена на серверот. Емитувањата запираат кај серверот, клиентите не можат да ги видат рамките еден на друг, а сообраќајот меѓу клиенти, ако го има, мора експлицитно да се рутира и филтрира.

Мостено распоредување на TAP ги прави клиентите членови на еден Ethernet сегмент. Тие гледаат емитувања, можат да се пронајдат еден со друг преку ARP и за да останат одвоени зависат од политиката на мостот и огнениот ѕид, а не од рутирањето. Тоа е корисно кога клиентите треба да изгледаат како да се приклучени на истиот преклопник.

Споредбата значи е за тоа до што треба да стигнат клиентите, а не за перформанси. Прво изберете го слојот, потоа одлучете колку процеси ќе го опслужуваат.

Што прави помошникот server-bridge

server-bridge помошникот го конфигурира Ethernet режимот за повеќе клиенти. Неговата форма со базен од адреси ги зема портата, мрежната маска и посветен опсег внатре во мостената подмрежа, на пример порта на 192.168.50.1 со базен од 192.168.50.160 до 192.168.50.199.

Резервирајте го тој опсег надвор од секое друго DHCP или статичко доделување. Помошникот доделува адреси од него, но не се координира со друг доделувач на истиот сегмент, а два базени што се преклопуваат создаваат дупликати адреси што изгледаат како случајни прекини на поврзувањето. Запишете го резервираниот опсег во планот за адреси на локацијата за следниот човек да не го користи повторно. Коментарот во конфигурацијата на серверот е слаба замена за тој запис.

Постои форма со DHCP посредник за распоредувања каде надворешен сервер доделува адреси. Таа има свои предуслови, а мешањето на двете форми го создава токму конфликтот за кој предупредува документацијата. Изберете еден доделувач за мостената подмрежа.

Изолацијата не доаѓа од бројот на процеси

Осум OpenVPN процеси прикачени на истиот неограничен мост и понатаму делат една домена за емитување. Клиентите можат да праќаат ARP еден до друг преку мостот, а бројот на слушатели не промени ништо во тоа.

Ако барањето е групи клиенти да не се гледаат на слој 2, дизајнот бара одделни мостови или VLAN приклучоци заедно со правилата за пристап што одат со нив. Тоа е одлука за мрежен дизајн и е истата одлука без разлика дали учествува еден серверски процес или осум. Филтрирањето на мостот може да ограничи дел од сообраќајот, но не создава одделни домени за емитување. Третирајте го како дополнување на сегментацијата, а не како нејзина замена.

Ако барањето е само клиентите да стигнат до одредени IP услуги, рутираниот TUN дизајн обично е поедноставен од мостење со филтрирање. Секој клиент добива своја врска, а политиката живее во правилата за рутирање и огнениот ѕид наместо внатре во мостот.

Кога повеќе процеси сепак се правилни

Одделните процеси можат да се оправдаат со оперативни потреби: различни системи за автентикација, различни тела за сертификати, одделни циклуси на надградба или некомпатибилни множества опции. Тоа се вистински причини и тие се независни од бројот на клиенти.

Ако користите повеќе, дајте му на секој свој слушател и сопственост на уредот и усогласете ги опсезите на адреси. Два сервера што и двата веруваат дека го поседуваат истиот базен на истиот мост на крајот ќе ја доделат истата адреса.

Потоа проверете го дизајнот со повеќе клиенти истовремено. Проверете дали адресите се единствени, дали предвидениот сообраќај меѓу клиенти работи и дали пар што не треба да комуницира не може тоа да го направи. Успешен ping од еден клиент не проверува ништо од дизајнот за повеќе клиенти.

Прочитајте ги мостот и режимот на серверот од домаќинот што работи пред да му верувате на дијаграмот. Конфигурацијата што е важна е онаа што јадрото и демонот навистина ја вчитале, а тоа е и онаа што рецензентот може да ја провери.