Pont TAP iżolat bejn żewġ boards permezz ta' OpenVPN

Żewġ boards tal-iżvilupp jeħtieġu jaqsmu segment Ethernet wieħed waqt li l-bankijiet tagħhom jinsabu fi bini differenti. It-tunnel diġà jeżisti u diġà jġorr Ethernet, għalhekk ix-xogħol li jifdal jidher bħal tliet kmandi u mhuwiex. X'jagħmel il-host b'frame li għadda mill-pont, fejn jappartjeni l-indirizz tal-kompjuter stess, u liema fruntiera l-pont ma joħloqx huma tliet fatti separati, u li żbalja fit-tieni waħda hija r-raġuni tas-soltu għaliex laboratorju jaħdem b'mod intermittenti u l-aċċess tal-amministrazzjoni tiegħu jiddeterjora bil-kwiet. Ħadd minn dawn it-tliet fatti mhuwa viżibbli fi dijagramma tat-topoloġija.

It-triq hawn taħt tassumi konnessjoni TAP awtentikata bejn żewġ kompjuters Linux, port bil-fili dedikat għal kull bank, u interface tal-amministrazzjoni li mhix parti mill-esperiment. L-ordni hija importanti: l-ewwel frejms, imbagħad indirizzi, fl-aħħar il-fruntiera.

X'jiċċaqlaq il-pont fil-verità

Pont huwa switch implimentat fis-software. Jitgħallem liema indirizz MAC jidher wara liema port membru u jgħaddi l-frejms bejn il-membri mingħajr ma jikkonsulta tabella tal-irouting IP. Xejn f'dik id-deskrizzjoni ma jinvolvi subnetwork, gateway jew rotta default, u għalhekk l-attivazzjoni tal-forwarding IP ma toħloqx dan il-konnessjoni u għalhekk ping jista' jirnexxi waqt li traffiku ieħor għadu jonqos. Board jista' jasal għall-imsieħeb tiegħu bla ebda rotta default konfigurata, li tissorprendi lil dawk li jistennew li t-tieni saff iġib ruħu bħat-tielet.

Kull kompjuter jagħti port bil-fili wieħed lill-pont u l-apparat TAP lill-istess pont, għalhekk frame minn board jidħol fil-port lokali, jiġi mgħoddi lill-apparat TAP, jaqsam it-tunnel, jasal fl-apparat TAP tal-imsieħeb u jiġi mgħoddi lill-board tal-imsieħeb. It-tunnel huwa port membru bħal kull ieħor, u l-pont ma jafx u ma jimpurtahx li hemm VPN warajh. Din is-simmetrija hija li tagħmel l-eżempju faċli biex wieħed jirraġuna dwaru: kull naħa għandha port wieħed li jħares lejn il-laboratorju u port wieħed tat-tunnel, u l-ebda naħa mhija speċjali.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

L-istess ismijiet fuq iż-żewġ kompjuters huma ismijiet lokali, mhux oġġetti maqsuma. Bejn il-bankijiet hemm triq Ethernet waħda, mingħajr tieni kejbil u mingħajr tieni tunnel li jagħlaq ċirku; pont li jara l-istess MAC jasal fuq żewġ portijiet se jgħaddi bil-ferħ fiċ-ċrieki.

Indirizza l-pont, mhux il-portijiet membri tiegħu

L-identità tal-kompjuter fis-segment tal-laboratorju tappartjeni lill-apparat tal-pont. Il-portijiet membri jibqgħu bla numru, għax port huwa membru li jgħaddi u indirizz fuqu joħloq it-tieni sid kompetitur tal-istess segment. Din hija l-korrezzjoni li l-biċċa l-kbira tar-riċetti magħmula bl-idejn jiżbaljaw: jindirizzaw l-apparat TAP u l-pont, u mbagħad jistaqsu liema minnhom l-imsieħeb tassew jilħaq.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

L-imsieħeb juża l-istess forma b'indirizz tal-host differenti, u l-boards jieħdu indirizzi fl-istess firxa bl-indirizz tal-pont tal-kompjuter bħala l-qabża li jmiss jekk ikollhom bżonn wieħed. Uża firxiet tad-dokumentazzjoni sakemm il-pjan jiġi miftiehem, u rriżerva l-firxa sabiex ma taħbitx ma' xejn li l-uffiċċju diġà jirrotta. Qabel ma tmexxi xi parti minnha, ikkonferma li l-portijiet membri ma jġorrux indirizz li fadal, klijent DHCP u sħubija fi pont ieħor, u armonizza l-indirizzar tal-apparat TAP permezz ta' dak li jippossjedi l-konfigurazzjoni tat-tunnel sabiex ma jirrestawrax indirizz aktar tard.

Għaliex port dedikat wieħed għal kull bank

Port bil-fili dedikat huwa dak li jwaqqaf l-esperiment milli jsir bidla fl-uffiċċju kollu. L-interface tal-amministrazzjoni jġorr SSH, ir-rotta default u l-konnessjoni VPN ta' barra, u xejn minn dan ma jappartjeni lil pont li l-iskop tiegħu huwa li jċaqlaq frejms tal-laboratorju.

Li tqabbad adapter tal-amministrazzjoni jqiegħed il-LAN tal-uffiċċju distanza ta' deċiżjoni waħda tal-forwarding minn board tal-iżvilupp, u board li jġib ruħu ħażin fit-tieni saff huwa eżattament it-tip ta' apparat li ma tridx f'dak is-segment. Adapter Wi-Fi huwa agħar: l-ipontjar ta' interface wireless fil-modalità tal-infrastruttura ma jġibx ruħu bħall-ipontjar tal-Ethernet, u l-falliment huwa konfuż minflok nadif.

Żomm il-firxa tal-laboratorju barra minn kull ambitu DHCP tal-produzzjoni. Jekk il-boards ikollhom bżonn indirizzar dinamiku aktar tard, distributur awtorizzat wieħed b'pool wieħed huwa l-uniku arranġament li jibqa' prevedibbli; routers ordinarji ta' żewġ siti li jwieġbu fl-istess segment jipproduċu indirizzi li ħadd ma jista' jispjega.

Il-fruntiera li l-pont ma joħloqx

L-ipontjar mhuwiex routing, u lanqas mhuwa iżolament. Il-frejms li jaqsmu l-pont xorta jistgħu jaslu għall-ganċijiet tal-filtrazzjoni tal-host, skont it-triq bridge-netfilter installata, għalhekk il-politika effettiva trid tiġi spezzjonata u mhux assunta. L-iżattivar tal-firewall għax intilef frame wieħed ibiddel bug speċifiku ma' wieħed ġenerali.

Il-forwarding IP bejn il-pont u kull interface tal-amministrazzjoni jew uplink għandu jibqa' mitfi jew jiġi miċħud b'mod espliċitu, u dan huwa kontroll separat mis-sħubija fil-pont. Board li jagħżel l-indirizz tal-laboratorju tal-kompjuter bħala l-gateway tiegħu jittestja eżattament dan: jekk it-transitu tal-amministrazzjoni jirnexxi, il-fruntiera li kellek f'moħħok qatt ma kienet hemm.

Żewġ familji oħra jixirqilhom deċiżjoni espliċita. Il-pjan tal-indirizzar ma jagħmilx il-pont IPv4 biss, għalhekk IPv6 u EtherTypes oħra jeħtieġu l-pjan jew il-filtru tagħhom stess. U ping li jirnexxi ma jgħid xejn dwar jekk il-broadcasts tal-iskoperta tal-board, il-gruppi multicast jew il-frejms jumbo humiex se jaqsmu t-triq, għax dawk huma klassijiet ta' traffiku differenti b'valuri default differenti.

Fl-aħħar, it-trasport u l-kunfidenzjalità huma żewġ xiri differenti. TAP iġorr Ethernet; is-servizz OpenVPN jipprovdi l-protezzjoni madwaru. Overlay VXLAN ukoll iġorr Ethernet u ma jipprovdi l-ebda kunfidenzjalità waħdu, għalhekk is-sostituzzjoni ta' wieħed bl-ieħor tbiddel il-proprjetajiet tas-sigurtà anke meta d-dijagramma tat-topoloġija tidher identika.

Il-persistenza u t-testijiet li jipprovawha

Kmand ittajpjat darba wara li tqabbad mhuwiex konfigurazzjoni. Agħmel persistenti l-pont, is-sħubija tal-portijiet u l-indirizz uniku tal-host permezz tal-maniġer tan-netwerk eżistenti tal-kompjuter, u orbot il-konnessjoni mal-dehra tal-apparat TAP sabiex konnessjoni mill-ġdid ma tħallix pont b'membru li sparixxa.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Imbagħad ittestja x'għandhom bżonn il-boards tassew fiż-żewġ direzzjonijiet, qabbad mill-ġdid it-tunnel, u erġa' ibda kompjuter wieħed skont il-pjan tal-irkupru approvat. Ikkonferma tliet affarijiet wara: l-aċċess tal-amministrazzjoni għadu jaħdem b'mod indipendenti, ma jidhirx indirizz tal-laboratorju doppju, u l-ebda interface tal-produzzjoni mhux mistenni ma ngħaqad mal-pont. Dik il-kombinazzjoni hija l-prova li l-esperiment baqa' fil-bank tiegħu.