TAP tanpa jambatan: segmen maya dengan pautan naik ter-route

TAP menyerahkan bingkai Ethernet kepada sistem pengendalian, yang merupakan keupayaan lebih besar daripada yang diperlukan oleh kebanyakan reka bentuk akses jauh dan lebih kecil daripada jambatan. Kernel boleh memberi alamat kepadanya, route melaluinya dan melindunginya dengan firewall tanpa menyambungkannya kepada mana-mana segmen fizikal. Susunan itu wajar difahami dahulu: segmen Ethernet maya terasing yang pelayanannya bertindak sebagai penghala ke arah LAN sebenar. Ia memberi tingkah laku lapisan kedua di dalam terowong dan penghantaran IP biasa di luarnya, yang merupakan dua janji berbeza. Selebihnya ialah pembinaan, laluan, laluan balik dan pembatalan.

Bina segmen terasing

Di Linux antara muka menerima tiga arahan: cipta, naikkan, dan beri alamat di dalam segmen yang anda maksudkan. Pilih awalan yang tidak bertembung dengan LAN pejabat dan catatkannya, kerana pertembungan tidak kelihatan sehingga hos yang tidak sepatutnya wujud menjawab.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Tiada apa di sini memerlukan jambatan, dan tiada apa menghalang penambahan satu kemudian. Dokumentasi kernel tentang TUN/TAP menerangkan antara muka itu sendiri; keahlian jambatan dan dasar penghantaran ialah keputusan berasingan yang anda ambil selepas itu.

Route merentas sempadan

Dayakan penghantaran, benarkan kedua-dua awalan dalam rantaian penghantaran, dan tambah laluan ke arah awalan pejabat dengan penghala LAN sebagai hop seterusnya. Sisi VPN kemudian menghantar trafik menuju pejabat kepada pelayan sebagai gerbangnya, dan pelayan menghantar paket itu sebagai dirinya sendiri, bukan sebagai jambatan. Antara muka TAP dengan penghantaran dimatikan ialah segmen yang menjawab secara tempatan dan tidak mencapai apa-apa di luarnya, iaitu keadaan separuh siap yang biasa. Semak pembilang antara muka di kedua-dua sisi selepas itu, kerana pembilang terima yang meningkat dengan pembilang hantar yang mendatar di sisi LAN bermakna penurunan dalam rantaian penghantaran, bukan laluan buruk.

Tulis laluan dan peraturan firewall sebagai satu perubahan, kerana setiap satu sahaja menghasilkan keadaan yang dari sisi klien kelihatan seperti kegagalan penghalaan.

Tentukan laluan balik

Sama ada penghala LAN mempelajari laluan balik ke awalan VPN, atau pelayan menterjemah alamat sumber semasa keluar. Penterjemahan menjadikan laluan balik remeh dan memusnahkan identiti sumber, jadi log destinasi akan menunjukkan alamat pelayan bagi setiap klien di belakangnya. Awalan ter-route mengekalkan identiti dan memerlukan perubahan pada peralatan yang mungkin tidak anda uruskan.

Pilih secara sengaja dan bukan menurut mana yang lebih cepat ditaip. Satu awalan ter-route biasanya lebih bersih daripada penterjemahan, dan penterjemahan biasanya lebih baik daripada mengajar penghala tidak terurus awalan baharu demi satu makmal.

Kekalkan skop siaran secara sengaja

Di dalam segmen maya, DHCP, penemuan dan pengumuman jiran berkelakuan seperti pada suis, kerana ia satu pautan. Di seberang sempadan ter-route ia tidak begitu, jadi DHCP pejabat dan penemuan perkhidmatan memerlukan reka bentuk eksplisit dan bukan andaian bahawa TAP merangkumkannya. Jenis antara muka bukan geganti untuk perkhidmatan yang tinggal di tempat lain.

Itulah sebab jujur memilih TAP sama sekali: sesuatu pada segmen maya memerlukan tingkah laku tempatan pautan. Jika tiada apa memerlukannya, peranti TUN dengan awalan ter-route lebih kecil, dan kurang yang perlu dijelaskan apabila ia rosak.

Sahkan, kemudian tulis pembatalan

Daripada klien VPN, ping penghala LAN, ping hos, dan buka satu perkhidmatan yang penting melalui TCP. Kemudian semak pembilang dan rantaian penghantaran, kerana penurunan dasar dari jauh kelihatan tepat seperti laluan yang hilang. Pembatalan ialah kebalikan pembinaan dan tergolong dalam rekod perubahan sebelum anda bermula: buang laluan, buang alamat, padam antara muka.

Jika keperluan benar-benar satu segmen Ethernet yang merentasi dua tapak, jambatan ialah jawapan jujur dan reka bentuk berbeza dengan jejari kesan berbeza. Jika keperluan ialah kebolehcapaian, segmen terasing dengan pautan naik ter-route melakukan tugasnya dengan kurang penjelasan kemudian.