OpenVPN-ээр дамжуулан хоёр хавтангийн хоорондох тусгаарлагдсан TAP гүүр

Хоёр хөгжүүлэлтийн хавтан нэг Ethernet сегментийг хуваалцах шаардлагатай бөгөөд тэдгээрийн стендүүд өөр өөр байшинд байна. Туннель аль хэдийн байгаа бөгөөд Ethernet дамжуулж байгаа тул үлдсэн ажил гурван команд шиг харагдаж байгаа ч тийм биш. Хост гүүрээр дамжуулсан хүрээг юу хийдэг, компьютер өөрийн хаяг хаана хамаарах, гүүр ямар хил хязгаар үүсгэдэггүй нь гурван тусдаа баримт бөгөөд хоёр дахьд нь алдах нь лабораторийн доголдолтой ажиллах, түүний удирдлагын хандалт чимээгүй доройтох ердийн шалтгаан юм. Эдгээр гурван баримтын аль нь ч топологийн диаграм дээр харагдахгүй.

Доорх зам нь хоёр Linux компьютер хоорондын баталгаажсан TAP холболт, стенд бүрт нэг зориулалтын утаслаг порт, туршилтын хэсэг биш удирдлагын интерфейсийг таамаглаж байна. Дараалал чухал: эхлээд хүрээ, дараа нь хаяг, эцэст нь хил.

Гүүр бодитоор юу зөөдөг

Гүүр нь програм хангамжид хэрэгжүүлсэн шилжүүлэгч юм. Аль MAC хаяг аль гишүүн портын ард гарч байгааг сурч, IP чиглүүлэлтийн хүснэгтгүйгээр гишүүдийн хооронд хүрээ дамжуулдаг. Тэр тайлбарт дэд сүлжээ, гарц, анхдагч зам байхгүй тул IP дамжуулалтыг идэвхжүүлэх нь энэ холболтыг үүсгэхгүй, ping амжилттай болсон ч бусад урсгал бүтэлгүйтсээр байж болно. Хавтан анхдагч зам огт тохируулалгүйгээр түншдээ хүрч чадна, энэ нь хоёрдугаар давхарга гуравдугаар давхарга шиг ажиллана гэж хүлээж буй хүмүүсийг гайхшруулдаг.

Компьютер бүр гүүрт нэг утаслаг порт, TAP төхөөрөмжийг мөн адил гүүрт өгдөг тул хавтангаас хүрээ локал порт руу орж, TAP төхөөрөмж рүү дамжиж, туннелийг гаталж, түншийн TAP төхөөрөмж дээр ирж, түншийн хавтан руу дамждаг. Туннель нь бусад гишүүн порт шиг л гишүүн порт бөгөөд гүүр ард нь VPN байгааг мэдэхгүй, хамаагүй. Энэ тэгш хэм нь жишээг ойлгоход хялбар болгодог: тал бүр лаборатори руу харсан нэг порт, нэг туннелийн порттой, аль ч тал онцгой биш.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Хоёр компьютер дээрх ижил нэрүүд нь локал нэр, хуваалцсан объект биш. Стендүүдийн хооронд нэг Ethernet зам байгаа бөгөөд хоёр дахь кабель, гогцоо хаах хоёр дахь туннель байхгүй; ижил MAC хоёр порт дээр ирж байгааг харсан гүүр баяртайгаар тойрог хэлбэрээр дамжуулна.

Гүүрэнд хаяг өг, гишүүн портуудад нь биш

Лабораторийн сегмент дэх компьютерийн таних тэмдэг нь гүүр төхөөрөмжид хамаарна. Гишүүн портууд дугааргүй хэвээр байдаг, учир нь порт нь дамжуулагч гишүүн бөгөөд түүн дээрх хаяг ижил сегментийн хоёр дахь, өрсөлдөгч эзэмшигчийг үүсгэх болно. Энэ бол гарын авлагаар бичсэн жоруудын ихэнх нь буруу хийдэг засвар: тэд TAP төхөөрөмж болон гүүрэнд хоёуланд нь хаяг өгөод, дараа нь түнш аль руу нь бодитоор хүрдэг гэж гайхдаг.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Түнш өөр хост хаягтай ижил хэлбэрийг ашигладаг бөгөөд хавтангууд ижил мужид хаяг авч, шаардлагатай бол компьютерийн гүүрний хаягийг дараагийн үсрэлт болгон ашигладаг. Төлөвлөгөө зөвшилцөх хүртэл баримт бичгийн мужийг ашиглаж, оффис аль хэдийн чиглүүлж байгаа зүйлтэй мөргөлдөхгүйн тулд мужийг нөөцөл. Аль нэг хэсгийг ажиллуулахын өмнө гишүүн портуудад үлдэгдэл хаяг, DHCP клиент, өөр гүүрэд гишүүнчлэл байхгүйг баталж, TAP төхөөрөмжийн хаяглалтыг туннелийн тохиргоог эзэмшдэг зүйлээр дамжуулан зохицуул, дараа нь хаяг сэргээхгүйн тулд.

Яагаад стенд бүрт нэг зориулалтын порт

Зориулалтын утаслаг порт нь туршилтыг бүх оффисын өөрчлөлт болохоос сэргийлдэг. Удирдлагын интерфейс SSH, анхдагч зам, гадаад VPN холболтыг зөөдөг бөгөөд эдгээрийн аль нь ч лабораторийн хүрээ зөөх зорилготой гүүрэнд хамаарахгүй.

Удирдлагын адаптер холбох нь оффисын LAN-ыг хөгжүүлэлтийн хавтангаас нэг дамжуулалтын шийдвэрийн зайд тавьдаг бөгөөд хоёрдугаар давхаргад муу ажилладаг хавтан бол тэр сегмент дээр таны хүсэхгүй төхөөрөмжийн төрөл юм. Wi-Fi адаптер улам дорд: дэд бүтцийн горимд утасгүй интерфейсийг гүүрлэх нь Ethernet гүүрлэх шиг ажиллахгүй, алдаа нь цэвэр биш, будлиантай.

Лабораторийн мужийг ямар ч үйлдвэрлэлийн DHCP мужаас гадуур байлга. Хэрэв хавтангуудад дараа нь динамик хаяглалт хэрэгтэй бол нэг сан бүхий нэг эрх бүхий хуваарилагч л урьдчилан таамаглах боломжтой хэвээр байх зохицуулалт юм; нэг сегмент дээр хариулдаг хоёр газрын энгийн чиглүүлэгчид хэн ч тайлбарлаж чадахгүй хаяг үүсгэдэг.

Гүүр үүсгэдэггүй хил

Гүүрлэх нь чиглүүлэлт биш бөгөөд тусгаарлалт ч биш. Гүүрийг гаталж буй хүрээ нь суулгасан bridge-netfilter замаас хамааран хостны шүүлтүүрийн дэгээнд хүрч чадна, тиймээс үр дүнтэй бодлогыг таамаглахгүйгээр шалгах ёстой. Нэг хүрээ алдагдсанаас галт ханыг унтраах нь тодорхой алдааг ерөнхий алдаагаар сольдог.

Гүүр болон удирдлага эсвэл uplink интерфейс бүрийн хоорондын IP дамжуулалт унтарсан эсвэл тодорхой хориглосон хэвээр байх ёстой бөгөөд энэ нь гүүрийн гишүүнчлэлээс тусдаа хяналт юм. Компьютерийн лабораторийн хаягийг гарц болгон сонгосон хавтан яг үүнийг шалгадаг: удирдлагын дамжилт амжилттай бол таны зорьсон хил хэзээ ч байгаагүй.

Өшөө хоёр гэр бүл тодорхой шийдвэр хүртэх ёстой. Хаягийн төлөвлөгөө гүүрийг зөвхөн IPv4 болгодоггүй тул IPv6 болон бусад EtherType-д өөрийн төлөвлөгөө эсвэл шүүлтүүр хэрэгтэй. Амжилттай ping нь хавтангийн нээлтийн өргөн нэвтрүүлэг, multicast бүлэг эсвэл jumbo хүрээ замаар гарах эсэх талаар юу ч хэлэхгүй, учир нь эдгээр нь өөр өөр анхдагчтай өөр өөр урсгалын ангиуд юм.

Эцэст нь, тээвэрлэлт ба нууцлал нь хоёр өөр худалдан авалт. TAP Ethernet зөөдөг; OpenVPN үйлчилгээ түүний эргэн тойронд хамгаалалт өгдөг. VXLAN давхарга мөн Ethernet зөөдөг бөгөөд өөрөө нууцлал өгдөггүй тул нэгийг нөгөөгөөр солих нь топологийн диаграм ижил харагдаж байсан ч аюулгүй байдлын шинж чанарыг өөрчилдөг.

Тогтвортой байдал ба үүнийг нотлох туршилтууд

Холбогдсоны дараа нэг удаа бичсэн команд нь тохиргоо биш. Гүүр, портын гишүүнчлэл, ганц хост хаягийг компьютерийн одоо байгаа сүлжээний менежерээр дамжуулан тогтвортой болгож, холболтыг TAP төхөөрөмжийн гарч ирэхтэй холбо, дахин холбогдоход гишүүн нь алга болсон гүүр үлдэхгүйн тулд.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Дараа нь хавтангуудад хоёр чиглэлд бодитоор юу хэрэгтэйг шалгаж, туннелийг дахин холбож, батлагдсан сэргээх төлөвлөгөөний дагуу нэг компьютер restart хий. Дараа нь гурван зүйлийг батал: удирдлагын хандалт бие даан ажиллаж байна, давхардсан лабораторийн хаяг гарахгүй, ямар ч гэнэтийн үйлдвэрлэлийн интерфейс гүүрт нэгдээгүй. Энэ хослол нь туршилт өөрийн стендийн дотор үлдсэний нотолгоо юм.