Satu pelayan TAP atau beberapa? Klien OpenVPN pada jambatan

Beberapa klien TAP tidak memerlukan satu proses pelayan, satu port UDP dan satu peranti TAP hos bagi setiap satu. Satu pelayan OpenVPN dalam mod Ethernet boleh menerima banyak klien yang disahkan dan melampirkan mereka pada satu jambatan, dan itulah cara terdokumen untuk melanjutkan segmen lapisan 2. Reka bentuk satu proses ialah yang didokumenkan oleh manual, dan biasanya itulah lalai yang betul.

Soalan sebenar ialah sama ada klien itu patut berkongsi segmen tersebut. Bilangan proses tidak menjawabnya, kerana sifat pengasingan datang daripada topologi dan bukan daripada berapa banyak daemon yang berjalan. Selebihnya perbandingan ini ialah tentang kedua-dua topologi dan apa yang dipermudahkan oleh masing-masing.

Dua seni bina, bukan dua tetapan

Penggunaan TUN berpenghalaan memberi setiap klien pautan titik-ke-titik ke dalam domain penghalaan pelayan. Siaran berhenti di pelayan, klien tidak dapat melihat bingkai satu sama lain, dan trafik antara klien, jika ada, mesti dihalakan dan ditapis secara jelas.

Penggunaan TAP berjambatan menjadikan klien ahli satu segmen Ethernet. Mereka melihat siaran, boleh menyelesaikan satu sama lain dengan ARP, dan bergantung pada dasar jambatan dan tembok api dan bukannya penghalaan untuk kekal berasingan. Itu berguna apabila klien mesti kelihatan seolah-olah dipasang pada suis yang sama.

Jadi perbandingan ini ialah tentang apa yang perlu dicapai oleh klien, bukan tentang prestasi. Pilih lapisan dahulu, kemudian tentukan berapa banyak proses yang melayaninya.

Apa yang dilakukan pembantu server-bridge

Pembantu server-bridge mengkonfigurasi mod Ethernet berbilang klien. Bentuk kumpulan alamatnya mengambil get laluan, jaring mask dan julat khusus di dalam subnet berjambatan, contohnya get laluan pada 192.168.50.1 dengan kumpulan daripada 192.168.50.160 hingga 192.168.50.199.

Rizab julat itu di luar mana-mana pemberian DHCP atau statik yang lain. Pembantu memperuntukkan alamat daripadanya, tetapi ia tidak menyelaras dengan peruntuk lain pada segmen yang sama, dan dua kumpulan yang bertindih menghasilkan alamat berganda yang kelihatan seperti kegagalan sambungan rawak. Tulis julat yang dirizab dalam pelan alamat tapak supaya orang seterusnya tidak menggunakannya semula. Komen dalam konfigurasi pelayan ialah pengganti yang lemah untuk rekod itu.

Ada bentuk dengan proksi DHCP untuk penggunaan di mana pelayan luar mengagihkan alamat. Ia mempunyai prasyaratnya sendiri, dan mencampurkan kedua-dua bentuk menghasilkan tepat konflik yang diperingatkan oleh dokumentasi. Pilih satu peruntuk untuk subnet berjambatan.

Pengasingan tidak datang daripada bilangan proses

Lapan proses OpenVPN yang dipasang pada jambatan tanpa sekatan yang sama masih berkongsi satu domain siaran. Klien boleh menghantar ARP sesama sendiri merentas jambatan, dan bilangan pendengar tidak mengubah apa-apa tentang itu.

Jika keperluan ialah kumpulan klien tidak boleh melihat satu sama lain pada lapisan 2, reka bentuk memerlukan jambatan berasingan atau sambungan VLAN, bersama peraturan akses yang berkaitan. Itu keputusan reka bentuk rangkaian, dan keputusan itu sama sama ada satu proses pelayan atau lapan terlibat. Penapisan jambatan boleh mengehadkan sebahagian trafik, tetapi ia tidak mencipta domain siaran berasingan. Anggapnya sebagai pelengkap kepada segmentasi, bukan penggantinya.

Jika keperluan hanya agar klien mencapai perkhidmatan IP tertentu, reka bentuk TUN berpenghalaan biasanya lebih mudah daripada penjambatan dengan penapisan. Setiap klien mendapat pautannya sendiri, dan dasar itu hidup dalam peraturan penghalaan dan tembok api dan bukannya di dalam jambatan.

Bila beberapa proses masih betul

Proses berasingan boleh dijustifikasikan oleh keperluan operasi: backend pengesahan yang berbeza, pihak berkuasa sijil yang berbeza, kitaran peningkatan berasingan, atau set pilihan yang tidak serasi. Itu sebab sebenar dan ia bebas daripada bilangan klien.

Jika anda menggunakan beberapa, beri setiap satu pendengarnya sendiri dan pemilikan peranti, dan selaraskan julat alamat. Dua pelayan yang kedua-duanya percaya mereka memiliki kumpulan yang sama pada jambatan yang sama akhirnya akan mengagihkan alamat yang sama.

Kemudian sahkan reka bentuk dengan beberapa klien serentak. Periksa bahawa alamat adalah unik, bahawa trafik antara klien yang dimaksudkan berfungsi, dan bahawa pasangan yang tidak sepatutnya berkomunikasi memang tidak boleh. Ping berjaya satu klien tidak menguji apa-apa daripada reka bentuk berbilang klien.

Baca jambatan dan mod pelayan daripada hos yang berjalan sebelum mempercayai rajah. Konfigurasi yang penting ialah yang benar-benar dimuatkan oleh kernel dan daemon, dan itulah juga yang boleh diperiksa oleh penyemak.