OpenVPN വഴി രണ്ട് ബോർഡുകൾക്കിടയിലുള്ള ഒറ്റപ്പെട്ട TAP ബ്രിഡ്ജ്

രണ്ട് വികസന ബോർഡുകൾ ഒരു Ethernet സെഗ്മെന്റ് പങ്കിടേണ്ടതുണ്ട്, അതേസമയം അവയുടെ ബെഞ്ചുകൾ വ്യത്യസ്ത കെട്ടിടങ്ങളിലാണ്. ടണൽ ഇതിനകം നിലവിലുണ്ട്, ഇതിനകം Ethernet വഹിക്കുന്നു, അതിനാൽ ബാക്കിയുള്ള ജോലി മൂന്ന് കമാൻഡുകൾ പോലെ തോന്നുന്നു, പക്ഷേ അല്ല. ഹോസ്റ്റ് ബ്രിഡ്ജ് ചെയ്ത ഫ്രെയിമിനോട് എന്ത് ചെയ്യുന്നു, കമ്പ്യൂട്ടറിന്റെ സ്വന്തം വിലാസം എവിടെയാണ്, ബ്രിഡ്ജ് ഏത് അതിർത്തി സൃഷ്ടിക്കുന്നില്ല എന്നിവ മൂന്ന് വ്യത്യസ്ത വസ്തുതകളാണ്, രണ്ടാമത്തേതിൽ പിഴവ് വരുത്തുന്നതാണ് ലാബ് ഇടയ്ക്കിടെ പ്രവർത്തിക്കുന്നതിനും അതിന്റെ മാനേജ്മെന്റ് ആക്സസ് നിശബ്ദമായി മോശമാകുന്നതിനും സാധാരണ കാരണം. ഈ മൂന്ന് വസ്തുതകളിൽ ഒന്നും ടോപ്പോളജി ഡയഗ്രാമിൽ കാണുന്നില്ല.

താഴെയുള്ള വഴി രണ്ട് Linux കമ്പ്യൂട്ടറുകൾക്കിടയിലുള്ള പ്രാമാണീകരിച്ച TAP കണക്ഷൻ, ഓരോ ബെഞ്ചിനും ഒരു സമർപ്പിത വയർ പോർട്ട്, പരീക്ഷണത്തിന്റെ ഭാഗമല്ലാത്ത ഒരു മാനേജ്മെന്റ് ഇന്റർഫേസ് എന്നിവ അനുമാനിക്കുന്നു. ക്രമം പ്രധാനമാണ്: ആദ്യം ഫ്രെയിമുകൾ, പിന്നെ വിലാസങ്ങൾ, അവസാനം അതിർത്തി.

ബ്രിഡ്ജ് യഥാർത്ഥത്തിൽ എന്താണ് നീക്കുന്നത്

ബ്രിഡ്ജ് സോഫ്റ്റ്വെയറിൽ നടപ്പാക്കിയ ഒരു സ്വിച്ചാണ്. ഏത് MAC വിലാസം ഏത് അംഗ പോർട്ടിന് പിന്നിൽ പ്രത്യക്ഷപ്പെടുന്നു എന്ന് ഇത് പഠിക്കുന്നു, IP റൂട്ടിംഗ് ടേബിൾ പരിശോധിക്കാതെ അംഗങ്ങൾക്കിടയിൽ ഫ്രെയിമുകൾ കൈമാറുന്നു. ആ വിവരണത്തിൽ സബ്നെറ്റ്, ഗേറ്റ്വേ അല്ലെങ്കിൽ ഡിഫോൾട്ട് റൂട്ട് ഒന്നുമില്ല, അതിനാലാണ് IP ഫോർവേഡിംഗ് പ്രവർത്തനക്ഷമമാക്കുന്നത് ഈ ബന്ധം സൃഷ്ടിക്കാത്തതും ping വിജയിക്കുമ്പോൾ മറ്റ് ട്രാഫിക് ഇപ്പോഴും പരാജയപ്പെടുന്നതും. ഒരു ബോർഡിന് ഡിഫോൾട്ട് റൂട്ട് ഒന്നും കോൺഫിഗർ ചെയ്യാതെ തന്നെ അതിന്റെ പങ്കാളിയിലേക്ക് എത്താൻ കഴിയും, ഇത് ലേയർ രണ്ട് ലേയർ മൂന്ന് പോലെ പെരുമാറുമെന്ന് പ്രതീക്ഷിക്കുന്നവരെ അത്ഭുതപ്പെടുത്തുന്നു.

ഓരോ കമ്പ്യൂട്ടറും ബ്രിഡ്ജിലേക്ക് ഒരു വയർ പോർട്ടും TAP ഉപകരണവും അതേ ബ്രിഡ്ജിലേക്കും നൽകുന്നു, അതിനാൽ ബോർഡിൽ നിന്നുള്ള ഫ്രെയിം പ്രാദേശിക പോർട്ടിലേക്ക് പ്രവേശിച്ച് TAP ഉപകരണത്തിലേക്ക് കൈമാറപ്പെടുന്നു, ടണൽ കടന്ന് പങ്കാളിയുടെ TAP ഉപകരണത്തിൽ എത്തി പങ്കാളിയുടെ ബോർഡിലേക്ക് കൈമാറപ്പെടുന്നു. ടണൽ മറ്റേതൊരു അംഗ പോർട്ട് പോലെയാണ്, ബ്രിഡ്ജിന് പിന്നിൽ VPN ഉണ്ടെന്ന് അറിയില്ല, വിഷമവുമില്ല. ഈ സമമിതിയാണ് ഉദാഹരണം മനസ്സിലാക്കാൻ എളുപ്പമാക്കുന്നത്: ഓരോ വശത്തിനും ലാബിലേക്ക് അഭിമുഖീകരിക്കുന്ന ഒരു പോർട്ടും ഒരു ടണൽ പോർട്ടും ഉണ്ട്, ഒരു വശവും പ്രത്യേകമല്ല.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

രണ്ട് കമ്പ്യൂട്ടറുകളിലെയും ഒരേ പേരുകൾ പ്രാദേശിക പേരുകളാണ്, പങ്കിട്ട വസ്തുക്കളല്ല. ബെഞ്ചുകൾക്കിടയിൽ ഒരു Ethernet പാതയുണ്ട്, രണ്ടാമത്തെ കേബിളും ലൂപ്പ് അടയ്ക്കുന്ന രണ്ടാമത്തെ ടണലും ഇല്ല; ഒരേ MAC രണ്ട് പോർട്ടുകളിൽ വരുന്നത് കാണുന്ന ബ്രിഡ്ജ് സന്തോഷത്തോടെ വൃത്തത്തിൽ കൈമാറും.

ബ്രിഡ്ജിന് വിലാസം നൽകുക, അതിന്റെ അംഗ പോർട്ടുകൾക്കല്ല

ലാബ് സെഗ്മെന്റിൽ കമ്പ്യൂട്ടറിന്റെ അടയാളം ബ്രിഡ്ജ് ഉപകരണത്തിനുള്ളതാണ്. അംഗ പോർട്ടുകൾ നമ്പറില്ലാതെ തുടരുന്നു, കാരണം പോർട്ട് ഒരു കൈമാറ്റ അംഗമാണ്, അതിൽ ഒരു വിലാസം അതേ സെഗ്മെന്റിന്റെ രണ്ടാമത്തെ, മത്സരിക്കുന്ന ഉടമയെ സൃഷ്ടിക്കും. ഇതാണ് മിക്ക കൈയെഴുത്ത് പാചകക്കുറിപ്പുകളും തെറ്റിക്കുന്ന തിരുത്ത്: അവർ TAP ഉപകരണത്തിനും ബ്രിഡ്ജിനും വിലാസം നൽകുന്നു, പിന്നീട് പങ്കാളി യഥാർത്ഥത്തിൽ ഏതിലേക്ക് എത്തുന്നു എന്ന് ആലോചിക്കുന്നു.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

പങ്കാളി മറ്റൊരു ഹോസ്റ്റ് വിലാസത്തോടെ അതേ രൂപം ഉപയോഗിക്കുന്നു, ബോർഡുകൾ അതേ ശ്രേണിയിൽ വിലാസങ്ങൾ എടുക്കുന്നു, ആവശ്യമെങ്കിൽ കമ്പ്യൂട്ടറിന്റെ ബ്രിഡ്ജ് വിലാസം അടുത്ത ഹോപ്പായി ഉപയോഗിക്കുന്നു. പ്ലാൻ അംഗീകരിക്കുന്നതുവരെ ഡോക്യുമെന്റേഷൻ ശ്രേണികൾ ഉപയോഗിക്കുക, ഓഫീസ് ഇതിനകം റൂട്ട് ചെയ്യുന്ന ഒന്നുമായി കൂട്ടിയിടിക്കാതിരിക്കാൻ ശ്രേണി റിസർവ് ചെയ്യുക. ഏതെങ്കിലും പ്രവർത്തിപ്പിക്കുന്നതിന് മുമ്പ് അംഗ പോർട്ടുകളിൽ ബാക്കി വിലാസം, DHCP ക്ലയന്റ്, മറ്റൊരു ബ്രിഡ്ജിലെ അംഗത്വം എന്നിവയില്ലെന്ന് ഉറപ്പാക്കുക, കൂടാതെ ടണൽ കോൺഫിഗറേഷൻ കൈവശമുള്ളതിലൂടെ TAP ഉപകരണത്തിന്റെ വിലാസം ഏകോപിപ്പിക്കുക, പിന്നീട് വിലാസം പുനഃസ്ഥാപിക്കാതിരിക്കാൻ.

ഓരോ ബെഞ്ചിനും ഒരു സമർപ്പിത പോർട്ട് എന്തുകൊണ്ട്

സമർപ്പിത വയർ പോർട്ടാണ് പരീക്ഷണം ഓഫീസ് മുഴുവൻ ഉള്ള മാറ്റമാകുന്നത് തടയുന്നത്. മാനേജ്മെന്റ് ഇന്റർഫേസ് SSH, ഡിഫോൾട്ട് റൂട്ട്, പുറത്തുള്ള VPN കണക്ഷൻ എന്നിവ വഹിക്കുന്നു, അവയൊന്നും ലാബ് ഫ്രെയിമുകൾ നീക്കുക എന്ന ലക്ഷ്യമുള്ള ബ്രിഡ്ജിനുള്ളതല്ല.

മാനേജ്മെന്റ് അഡാപ്റ്റർ ബന്ധിപ്പിക്കുന്നത് ഓഫീസ് LAN-നെ വികസന ബോർഡിൽ നിന്ന് ഒരു ഫോർവേഡിംഗ് തീരുമാനത്തിന്റെ ദൂരത്തിലാക്കുന്നു, ലേയർ രണ്ടിൽ മോശമായി പെരുമാറുന്ന ബോർഡ് ആ സെഗ്മെന്റിൽ നിങ്ങൾ ആഗ്രഹിക്കാത്ത തരം ഉപകരണമാണ്. Wi-Fi അഡാപ്റ്റർ അതിലും മോശമാണ്: ഇൻഫ്രാസ്ട്രക്ചർ മോഡിൽ വയർലെസ് ഇന്റർഫേസ് ബ്രിഡ്ജ് ചെയ്യുന്നത് Ethernet ബ്രിഡ്ജ് ചെയ്യുന്നതുപോലെ പെരുമാറുന്നില്ല, പരാജയം വ്യക്തമല്ല, ആശയക്കുഴപ്പമാണ്.

ലാബ് ശ്രേണി ഏതെങ്കിലും പ്രൊഡക്ഷൻ DHCP സ്കോപ്പിൽ നിന്ന് പുറത്ത് നിർത്തുക. ബോർഡുകൾക്ക് പിന്നീട് ചലനാത്മക വിലാസം ആവശ്യമായാൽ, ഒരു പൂളുള്ള ഒരു അധികാരമുള്ള അലോക്കേറ്റർ മാത്രമാണ് പ്രവചനാത്മകമായി തുടരുന്നത്; ഒരേ സെഗ്മെന്റിൽ ഉത്തരം നൽകുന്ന രണ്ട് സ്ഥലങ്ങളിലെ സാധാരണ റൂട്ടറുകൾ ആർക്കും വിശദീകരിക്കാൻ കഴിയാത്ത വിലാസങ്ങൾ സൃഷ്ടിക്കുന്നു.

ബ്രിഡ്ജ് സൃഷ്ടിക്കാത്ത അതിർത്തി

ബ്രിഡ്ജിംഗ് റൂട്ടിംഗ് അല്ല, അത് ഒറ്റപ്പെടുത്തലുമല്ല. ബ്രിഡ്ജ് കടക്കുന്ന ഫ്രെയിമുകൾ ഇൻസ്റ്റാൾ ചെയ്ത bridge-netfilter പാത അനുസരിച്ച് ഹോസ്റ്റിന്റെ ഫിൽട്ടറിംഗ് ഹൂക്കുകളിൽ ഇപ്പോഴും എത്താം, അതിനാൽ ഫലപ്രദമായ നയം അനുമാനിക്കാതെ പരിശോധിക്കണം. ഒരു ഫ്രെയിം നഷ്ടപ്പെട്ടതിനാൽ ഫയർവാൾ ഓഫാക്കുന്നത് ഒരു നിർദ്ദിഷ്ട ബഗ്ഗിനെ ഒരു പൊതു ബഗ്ഗുമായി കൈമാറുന്നു.

ബ്രിഡ്ജിനും ഓരോ മാനേജ്മെന്റ് അല്ലെങ്കിൽ അപ്ലിങ്ക് ഇന്റർഫേസിനും ഇടയിലുള്ള IP ഫോർവേഡിംഗ് ഓഫായി തുടരണം അല്ലെങ്കിൽ വ്യക്തമായി നിരസിക്കണം, ഇത് ബ്രിഡ്ജ് അംഗത്വത്തിൽ നിന്ന് വേറിട്ട നിയന്ത്രണമാണ്. കമ്പ്യൂട്ടറിന്റെ ലാബ് വിലാസം ഗേറ്റ്വേയായി തിരഞ്ഞെടുക്കുന്ന ബോർഡ് കൃത്യമായി ഇതാണ് പരിശോധിക്കുന്നത്: മാനേജ്മെന്റ് കടന്നുപോകൽ വിജയിച്ചാൽ, നിങ്ങൾ ഉദ്ദേശിച്ച അതിർത്തി ഒരിക്കലും ഉണ്ടായിരുന്നില്ല.

കൂടുതൽ രണ്ട് കുടുംബങ്ങൾ വ്യക്തമായ തീരുമാനത്തിന് അർഹമാണ്. വിലാസ പ്ലാൻ ബ്രിഡ്ജിനെ IPv4 മാത്രമാക്കുന്നില്ല, അതിനാൽ IPv6-നും മറ്റ് EtherType-കൾക്കും സ്വന്തം പ്ലാൻ അല്ലെങ്കിൽ ഫിൽട്ടർ വേണം. വിജയകരമായ ping, ബോർഡിന്റെ കണ്ടെത്തൽ ബ്രോഡ്കാസ്റ്റുകൾ, മൾട്ടികാസ്റ്റ് ഗ്രൂപ്പുകൾ അല്ലെങ്കിൽ ജംബോ ഫ്രെയിമുകൾ പാത കടക്കുമോ എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല, കാരണം അവ വ്യത്യസ്ത ഡിഫോൾട്ടുകളുള്ള വ്യത്യസ്ത ട്രാഫിക് ക്ലാസുകളാണ്.

അവസാനമായി, ഗതാഗതവും രഹസ്യാത്മകതയും രണ്ട് വ്യത്യസ്ത വാങ്ങലുകളാണ്. TAP Ethernet വഹിക്കുന്നു; OpenVPN സേവനം അതിന് ചുറ്റുമുള്ള സംരക്ഷണം നൽകുന്നു. VXLAN ഓവർലേയും Ethernet വഹിക്കുന്നു, അത് സ്വയം രഹസ്യാത്മകത നൽകുന്നില്ല, അതിനാൽ ഒന്നിനെ മറ്റൊന്നുമായി മാറ്റുന്നത് ടോപ്പോളജി ഡയഗ്രാം ഒരുപോലെ കാണപ്പെട്ടാലും സുരക്ഷാ ഗുണങ്ങൾ മാറ്റുന്നു.

സ്ഥിരതയും അത് തെളിയിക്കുന്ന പരിശോധനകളും

ബന്ധിപ്പിച്ചതിന് ശേഷം ഒരിക്കൽ ടൈപ്പ് ചെയ്ത കമാൻഡ് കോൺഫിഗറേഷനല്ല. ബ്രിഡ്ജ്, പോർട്ട് അംഗത്വം, ഏക ഹോസ്റ്റ് വിലാസം എന്നിവ കമ്പ്യൂട്ടറിന്റെ നിലവിലുള്ള നെറ്റ്വർക്ക് മാനേജർ വഴി സ്ഥിരമാക്കുക, ബന്ധിപ്പിക്കൽ TAP ഉപകരണത്തിന്റെ രൂപത്തോട് ബന്ധിപ്പിക്കുക, വീണ്ടും ബന്ധിപ്പിക്കുമ്പോൾ അംഗം അപ്രത്യക്ഷമായ ബ്രിഡ്ജ് അവശേഷിക്കാതിരിക്കാൻ.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

തുടർന്ന് ബോർഡുകൾക്ക് ഇരു ദിശകളിലും യഥാർത്ഥത്തിൽ എന്ത് വേണം എന്ന് പരിശോധിക്കുക, ടണൽ വീണ്ടും ബന്ധിപ്പിക്കുക, അംഗീകരിച്ച വീണ്ടെടുക്കൽ പ്ലാൻ പ്രകാരം ഒരു കമ്പ്യൂട്ടർ പുനരാരംഭിക്കുക. ശേഷം മൂന്ന് കാര്യങ്ങൾ സ്ഥിരീകരിക്കുക: മാനേജ്മെന്റ് ആക്സസ് ഇപ്പോഴും സ്വതന്ത്രമായി പ്രവർത്തിക്കുന്നു, തനിപ്പകർപ്പ് ലാബ് വിലാസം പ്രത്യക്ഷപ്പെടുന്നില്ല, അപ്രതീക്ഷിതമായ പ്രൊഡക്ഷൻ ഇന്റർഫേസ് ബ്രിഡ്ജിൽ ചേർന്നിട്ടില്ല. ആ സംയോജനമാണ് പരീക്ഷണം അതിന്റെ ബെഞ്ചിനുള്ളിൽ തന്നെ തുടർന്നു എന്ന തെളിവ്.