TAP без мост: виртуелен сегмент со рутиран нагорен канал

TAP ги предава Ethernet рамките на оперативниот систем, што е поголема можност отколку што бараат повеќето проекти за далечински пристап и помала од мост. Јадрото може да му даде адреса, да рутира низ него и да го заштити со огнен ѕид без да го поврзе со ниту еден физички сегмент. Вреди прво да се разбере овој распоред: изолиран виртуелен Ethernet сегмент чиј сервер дејствува како рутер кон вистинска локална мрежа. Тој дава однесување на второто ниво внатре во тунелот и обично IP препраќање надвор од него, а тоа се две различни ветувања. Останатото е изградбата, рутата, повратниот пат и враќањето.

Изградете го изолираниот сегмент

На Linux интерфејсот прима три команди: создадете го, подигнете го, дајте му адреса внатре во сегментот што го имате намера. Изберете префикс што не се судира со локалната мрежа на канцеларијата и запишете го, бидејќи судирот е невидлив додека не одговори домаќин што не би требало да постои.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Ништо овде не бара мост, и ништо не спречува подоцна да додадете еден. Документацијата на јадрото за TUN/TAP го опишува самиот интерфејс; членството во мостот и политиката за препраќање се одделни одлуки што ги носите подоцна.

Рутирајте преку границата

Вклучете препраќање, дозволете двата префикси во синџирот за препраќање, и додадете рута кон префиксот на канцеларијата со рутерот на локалната мрежа како следен скок. Тогаш страната на VPN ја испраќа сообраќајот кон канцеларијата до серверот како своја порта, а серверот ги препраќа тие пакети како себеси, а не како мост. Интерфејс TAP со исклучено препраќање е сегмент што одговара локално и не допира ништо надвор од него, што е вообичаената полузавршена состојба. Подоцна проверете ги бројачите на интерфејсот од двете страни, бидејќи растечки бројач на прием со рамничен бројач на испраќање на страната на локалната мрежа значи пад во синџирот за препраќање, а не лоша рута.

Напишете ја рутата и правилото на огнениот ѕид како една промена, бидејќи секое само по себе создава состојба што од страната на клиентот изгледа како неуспех на рутирањето.

Одлучете го повратниот пат

Или рутерот на локалната мрежа учи рута назад кон VPN префиксот, или серверот ги преведува изворните адреси на излезот. Преводот го прави повратниот пат тривијален и ја уништува идентитетот на изворот, така што дневниците на одредиштето ќе ја покажуваат адресата на серверот за секој клиент зад него. Рутираниот префикс го зачувува идентитетот и бара промена на опрема што можеби не ја управувате.

Изберете намерно, а не според тоа што е побрзо за пишување. Еден рутиран префикс обично е почист од преводот, а преводот обично е подобар отколку да научите неуправуван рутер на нов префикс за една лабораторија.

Одржувајте го опсегот на емитување намерен

Внатре во виртуелниот сегмент, DHCP, откривањето и објавувањето на соседи се однесуваат како на комутатор, бидејќи тоа е една врска. Надвор од рутираната граница тие не го прават тоа, па затоа DHCP на канцеларијата и откривањето услуги бараат експлицитен дизајн, а не претпоставка дека TAP ги вклучува. Типот на интерфејс не е реле за услуги што живеат на друго место.

Тоа е чесната причина воопшто да се избере TAP: нешто на виртуелниот сегмент бара врска-локално однесување. Ако ништо не бара, уред TUN со рутиран префикс е помал и има помалку да се објаснува кога ќе се расипе.

Проверете, потоа напишете го враќањето

Од VPN клиент, пингнете го рутерот на локалната мрежа, пингнете домаќин и отворете една услуга што е важна преку TCP. Потоа проверете ги бројачите и синџирот за препраќање, бидејќи пад по политика од далечина изгледа точно како рута што недостига. Враќањето е спротивно на изградбата и припаѓа во записот за промени пред да започнете: отстранете ја рутата, отстранете ја адресата, избришете го интерфејсот.

Ако барањето навистина е еден Ethernet сегмент што опфаќа две локации, мостот е чесниот одговор и поинаков дизајн со поинаков радиус на влијание. Ако барањето е достапност, изолираниот сегмент со рутиран нагорен канал ја врши работата со помалку објаснувања подоцна.