TAP гүүргүйгээр: чиглүүлсэн дээд холбоос бүхий виртуал сегмент

TAP нь Ethernet фрэймүүдийг үйлдлийн системд шилжүүлдэг бөгөөд энэ нь ихэнх алсын хандалтын төслүүдэд хэрэгтэйгээс илүү чадвар, гүүрээс бага юм. Цөм нь түүнд хаяг өгч, түүгээр чиглүүлж, ямар ч физик сегментэд холбохгүйгээр галт ханын хамгаалалтад оруулж чадна. Энэ зохион байгуулалтыг эхлээд ойлгох нь зүйтэй: сервер нь бодит LAN руу чиглүүлэгч үүрэг гүйцэтгэдэг тусгаарлагдсан виртуал Ethernet сегмент. Энэ нь туннелийн дотор хоёрдугаар давхаргын зан төлөв, гадна энгийн IP дамжуулалтыг өгдөг бөгөөд эдгээр нь хоёр өөр амлалт юм. Үлдсэн нь бүтээн байгуулалт, чиглэл, буцах зам, буцаалт юм.

Тусгаарлагдсан сегментийг байгуул

Linux дээр интерфэйс гурван команд авдаг: үүсгэ, өргө, зорьсон сегментийнхээ дотор түүнд хаяг өг. Оффисын LAN-тай мөргөлдөхгүй префикс сонгож, бичиж аваарай, учир нь мөргөлдөөн нь байх ёсгүй хост хариу өгөх хүртэл үл үзэгдэнэ.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Энд юу ч гүүр шаарддаггүй, дараа нь нэмэхийг юу ч хориглодоггүй. Цөмийн TUN/TAP баримт бичиг интерфэйсийг өөрөө тайлбарладаг; гүүрт гишүүн байх, дамжуулалтын бодлого нь дараа гаргах тусдаа шийдвэр юм.

Хилийн цаана чиглүүл

Дамжуулалтыг идэвхжүүлж, дамжуулалтын гинжид хоёр префиксийг зөвшөөрч, LAN чиглүүлэгчийг дараагийн алхам болгон оффисын префикс рүү чиглэл нэм. Дараа нь VPN тал оффис руу чиглэсэн урсгалыг өөрийн гарц гэж сервер рүү илгээдэг, сервер тэдгээр пакетыг гүүр биш, өөрөөрөө дамжуулдаг. Дамжуулалт унтарсан TAP интерфэйс нь орон нутагт хариу өгч, цааш юунд ч хүрдэггүй сегмент бөгөөд энэ нь ердийн хагас дууссан байдал юм. Дараа нь хоёр талын интерфэйсийн тоолуурыг шалга, учир нь LAN талд тогтмол илгээлтийн тоолууртайгаар өсөж буй хүлээн авалтын тоолуур нь муу чиглэл биш, дамжуулалтын гинжин дэх уналт гэсэн үг.

Чиглэл ба галт ханын дүрмийг нэг өөрчлөлт болгон бич, учир нь тус бүр нь дангаараа клиентийн талаас чиглүүлэлтийн алдаа мэт харагддаг байдлыг үүсгэдэг.

Буцах замыг шийд

Эсвэл LAN чиглүүлэгч VPN префикс рүү буцах чиглэл сурдаг, эсвэл сервер гарцын замд эх хаягийг хөрвүүлдэг. Хөрвүүлэлт буцах замыг энгийн болгож, эх сурвалжийн таних тэмдгийг устгадаг тул очих газрын бүртгэлүүд түүний арын клиент бүрд серверийн хаягийг харуулна. Чиглүүлсэн префикс нь таних тэмдгийг хадгалж, таны удирдахгүй байж болох тоног төхөөрөмжид өөрчлөлт шаарддаг.

Аль нь бичихэд хурдан вэ гэдгээр бус, санаатайгаар сонго. Ганц чиглүүлсэн префикс нь ихэвчлэн хөрвүүлэлтээс цэвэр, нэг лабораторийн төлөө удирдлагагүй чиглүүлэгчид шинэ префикс заахыг бодвол хөрвүүлэлт ихэвчлэн дээр.

Нэвтрүүлгийн хүрээг санаатайгаар хадгал

Виртуал сегментийн дотор DHCP, илрүүлэлт, хөршийн зарлал нь свитч дээрх шиг ажилладаг, учир нь энэ нэг холбоос юм. Чиглүүлсэн хилээс цаана тэд тийм болдоггүй тул оффисын DHCP болон үйлчилгээний илрүүлэлтэд TAP тэдгээрийг агуулна гэсэн таамаглал биш, тодорхой зохион байгуулалт хэрэгтэй. Интерфэйсийн төрөл нь өөр газар амьдардаг үйлчилгээнд зориулсан реле биш.

TAP-г сонгох шударга шалтгаан энэ: виртуал сегмент дэх ямар нэгэн зүйлд холбоосын орон нутгийн зан төлөв хэрэгтэй. Хэрэв юунд ч хэрэггүй бол чиглүүлсэн префикс бүхий TUN төхөөрөмж жижиг бөгөөд эвдрэх үед тайлбарлах зүйл бага.

Шалгаад, дараа нь буцаалтыг бич

VPN клиентээс LAN чиглүүлэгч рүү пинг хий, хост руу пинг хий, TCP дээр чухал нэг үйлчилгээг нээ. Дараа нь тоолуур болон дамжуулалтын гинжийг шалга, учир нь алсаас бодлогын уналт яг алга болсон чиглэл мэт харагддаг. Буцаалт нь бүтээн байгуулалтын эсрэг бөгөөд эхлэхийн өмнө өөрчлөлтийн бүртгэлд байх ёстой: чиглэлийг хас, хаягийг хас, интерфэйсийг устга.

Хэрэв шаардлага үнэхээр хоёр байршлыг хамарсан нэг Ethernet сегмент бол, гүүр бол шударга хариулт бөгөөд өөр нөлөөний радиустай өөр зохион байгуулалт. Хэрэв шаардлага хүртээмж бол, чиглүүлсэн дээд холбоос бүхий тусгаарлагдсан сегмент дараа нь бага тайлбартайгаар ажлыг хийнэ.