OpenVPN TUN lawan TAP: tiga syarat yang menentukan

Dua terowong boleh membawa pemindahan fail yang sama namun berbeza sepenuhnya dalam apa yang diletakkan pada wayar. Satu memindahkan paket IP antara dua alamat; satu lagi memindahkan bingkai Ethernet dan boleh dijambatankan ke dalam segmen. Perbezaan itulah yang menentukan aplikasi mana yang berfungsi, klien mana yang boleh menyambung dan berapa banyak reka bentuk rangkaian yang anda ambil.

Dalam amalan, tiga syarat menyelesaikannya. Layaninya mengikut urutan, kerana yang pertama biasanya menamatkan perbincangan.

Apa yang sebenarnya dibawa oleh setiap antara muka

Peranti TUN ialah antara muka titik-ke-titik lapisan 3: kernel memberinya paket IP dan terowong membawanya ke alamat rakan. Peranti TAP ialah antara muka lapisan 2 yang membawa bingkai Ethernet, dan itulah yang menjadikan penjambatan mungkin sama sekali, seperti yang diterangkan oleh dokumentasi kernel. Kedua-duanya tidak mengubah cara muatan disulitkan, dan kedua-duanya bukan tetapan kekuatan. Pilihan ini tentang apa yang perlu ditukar oleh kedua-dua hujung, bukan tentang seberapa baik trafik dilindungi.

Satu akibat menyusul serta-merta: kedua-dua hujung mesti bersetuju. Klien yang dikonfigurasikan untuk satu jenis peranti tidak boleh menyertai pelayan yang dikonfigurasikan untuk yang lain, walau apa pun yang sepadan.

Syarat pertama: adakah apa-apa memerlukan lapisan dua?

Penjambatan berbaloi dengan kerumitannya apabila protokol benar-benar memerlukan domain siaran yang sama: trafik bukan IP, penemuan yang tidak boleh melintasi penghala, atau aplikasi yang berdegil mahu berada pada satu segmen. Segala-galanya ialah masalah penghalaan, dan penghalaan menyelesaikannya dengan mesin yang jauh lebih sedikit. Memanjangkan segmen merentas kawasan luas juga memanjangkan siarannya, jadi pencegahan gelung, perancangan alamat dan domain kegagalan semuanya menjadi sebahagian daripada reka bentuk. Itu banyak untuk diterima bagi keperluan yang satu laluan sahaja sudah cukup.

Ujiannya konkrit: namakan aplikasi yang gagal pada terowong berpenghala dan katakan mengapa. Jika jawapannya ia memerlukan siaran, lapisan dua ialah jawapan jujur. Jika jawapannya seseorang tidak dapat mencapai satu pelayan, keperluannya ialah laluan atau peraturan tembok api.

Syarat kedua: bolehkah klien melakukannya?

Sokongan tidak seragam. Klien desktop biasanya menawarkan kedua-dua jenis peranti, manakala klien mudah alih dan terbenam selalunya hanya melaksanakan mod berpenghala, dan profil yang diimport tanpa aduan masih boleh gagal apabila cuba mencipta antara muka. Semak klien dan versi tertentu dan bukan membuat andaian ciri daripada nama platform.

Ralat pilihan tidak disokong bukanlah jemputan untuk memadam baris asing sehingga import berjaya. Ia bermaksud profil dan klien tidak bersetuju tentang apa yang mungkin, dan pembaikan adalah milik pengendali yang mengeluarkan profil. Mengalihkan pilihan untuk mendiamkan pengesah boleh menghasilkan sambungan yang kelihatan berfungsi sambil diam-diam meninggalkan sifat yang sepatutnya disediakan.

Syarat ketiga: adakah ini benar-benar persoalan antara muka?

Dua pilihan bersebelahan dipersalahkan atas masalah antara muka. Peranti maya menentukan apa yang masuk ke terowong, manakala UDP atau TCP menentukan cara pengangkutan luar berkelakuan, dan kedua-duanya tidak menyembuhkan pemindahan yang tersekat. Apabila pemindahan besar tergantung sementara yang kecil berjaya, saiz paket dan MTU lebih wajar diberi perhatian.

Klien yang menyambung dan kemudian tidak dapat mencapai satu hos dalaman biasanya melihat penghalaan, peraturan tembok api atau laluan pulang yang hilang.

Untuk perkhidmatan terurus, gunakan susunan antara muka yang ditetapkan oleh profil pengendali, kerana bahagian pelayan sudah dibina mengelilinginya. Untuk penggunaan persendirian, pilih berdasarkan keperluan sebenar aplikasi dan tulis sebabnya di sebelah pilihan.

Persoalannya bukan pilihan mana yang lebih kuat. Persoalannya ialah mana yang benar-benar diperlukan oleh trafik.