Server TAP wieħed jew diversi? Klijenti OpenVPN fuq pont

Diversi klijenti TAP ma jeħtiġux proċess tas-server, port UDP u apparat TAP tal-host għal kull wieħed. Server OpenVPN wieħed fil-modalità Ethernet jista' jdaħħal ħafna klijenti awtentikati u jqabbadhom ma' pont wieħed, u dan huwa l-mod dokumentat biex testendi segment tal-livell 2. Id-disinn b'proċess wieħed huwa dak dokumentat fil-manwal, u normalment huwa l-valur prestabbilit tajjeb.

Il-mistoqsija vera hija jekk dawk il-klijenti għandhomx jaqsmu dak is-segment. L-għadd tal-proċessi ma jwieġibx għaliha, għax il-proprjetajiet tal-iżolament ġejjin mit-topoloġija u mhux minn kemm qed jaħdmu daemons. Il-bqija ta' dan it-tqabbil huwa dwar iż-żewġ topoloġiji u dwar x'jagħmel faċli kull waħda minnhom.

Żewġ arkitetturi, mhux żewġ settings

Implimentazzjoni TUN bir-rotot tagħti lil kull klijent rabta punt sa punt fid-dominju tar-rotot tas-server. Ix-xandir jieqaf fis-server, il-klijenti ma jistgħux jaraw il-frames ta' xulxin, u t-traffiku bejn il-klijenti, jekk hemm, irid jiġi rrutat u ffiltrat b'mod espliċitu.

Implimentazzjoni TAP bil-pont tagħmel il-klijenti membri ta' segment Ethernet wieħed. Huma jaraw ix-xandir, jistgħu jsibu lil xulxin bl-ARP, u jiddependu fuq il-politika tal-pont u tal-firewall minflok ir-rotot biex jibqgħu separati. Dan huwa utli meta l-klijenti jridu jidhru bħallikieku mqabbda mal-istess switch.

It-tqabbil għalhekk huwa dwar x'għandhom jilħqu l-klijenti, mhux dwar il-prestazzjoni. Agħżel l-ewwel il-livell, imbagħad iddeċiedi kemm proċessi jservuh.

X'jagħmel l-għajnuna server-bridge

L-għajnuna server-bridge tikkonfigura l-modalità Ethernet b'ħafna klijenti. Il-forma tagħha b'pool ta' indirizzi tieħu l-gateway, in-netmask u firxa dedikata ġewwa s-subnet bil-pont, pereżempju gateway f'192.168.50.1 b'pool minn 192.168.50.160 sa 192.168.50.199.

Irriżerva dik il-firxa barra minn kull assenjazzjoni DHCP jew statika oħra. L-għajnuna talloka indirizzi minnha, iżda ma tikkoordinax ma' allokatur ieħor fl-istess segment, u żewġ pools li jaqbżu lil xulxin jipproduċu indirizzi doppji li jidhru bħal fallimenti każwali tal-konnettività. Ikteb il-firxa riżervata fil-pjan tal-indirizzi tas-sit biex il-persuna li jmiss ma terġax tużaha. Kumment fil-konfigurazzjoni tas-server huwa sostitut fqir għal dak ir-rekord.

Teżisti forma b'proxy DHCP għal implimentazzjonijiet fejn server estern iqassam l-indirizzi. Għandha l-prerekwiżiti tagħha, u t-taħlit taż-żewġ forom jipproduċi eżatt il-kunflitt li d-dokumentazzjoni twissi dwaru. Agħżel allokatur wieħed għas-subnet bil-pont.

L-iżolament ma jiġix mill-għadd ta' proċessi

Tmien proċessi OpenVPN imqabbda mal-istess pont bla restrizzjonijiet xorta jaqsmu dominju tax-xandir wieħed. Il-klijenti jistgħu jibagħtu ARP lil xulxin min-naħa għall-oħra tal-pont, u l-għadd ta' semmiegħa ma bidel xejn f'dan.

Jekk ir-rekwiżit huwa li gruppi ta' klijenti ma jarawx lil xulxin fil-livell 2, id-disinn jeħtieġ pontijiet separati jew konnessjonijiet VLAN, flimkien mar-regoli ta' aċċess li jmorru magħhom. Din hija deċiżjoni tad-disinn tan-netwerk, u hija l-istess deċiżjoni kemm jekk ikun involut proċess tas-server wieħed kif ukoll tmienja. Il-filtrazzjoni tal-pont tista' tirrestrinġi parti mit-traffiku, iżda ma toħloqx dominji tax-xandir separati. Ittrattaha bħala suppliment għas-segmentazzjoni, mhux bħala sostitut għaliha.

Jekk ir-rekwiżit huwa biss li l-klijenti jilħqu ċerti servizzi IP, disinn TUN bir-rotot normalment ikun aktar sempliċi mill-pont flimkien mal-filtrazzjoni. Kull klijent jieħu r-rabta tiegħu stess, u l-politika tgħix fir-regoli tar-rotot u tal-firewall minflok ġewwa l-pont.

Meta diversi proċessi xorta jkunu tajbin

Proċessi separati jistgħu jiġu ġġustifikati minn ħtiġijiet operattivi: backends ta' awtentikazzjoni differenti, awtoritajiet taċ-ċertifikati differenti, ċikli ta' aġġornament separati, jew settijiet ta' għażliet inkumpatibbli. Dawn huma raġunijiet reali u huma indipendenti mill-għadd ta' klijenti.

Jekk tuża diversi, agħti lil kull wieħed is-semmiegħa tiegħu u s-sjieda tal-apparat, u kkoordina l-firxiet tal-indirizzi. Żewġ servers li t-tnejn jaħsbu li għandhom l-istess pool fuq l-istess pont eventwalment jagħtu l-istess indirizz.

Imbagħad iċċekkja d-disinn b'diversi klijenti f'daqqa. Iċċekkja li l-indirizzi huma uniċi, li t-traffiku maħsub bejn il-klijenti jaħdem, u li par li ma jridx jikkomunika ma jistax. Ping ta' suċċess minn klijent wieħed ma jipprovax xejn mid-disinn b'ħafna klijenti.

Aqra l-pont u l-modalità tas-server mill-host li qed jaħdem qabel tafda d-dijagramma. Il-konfigurazzjoni li tagħmel differenza hija dik li l-kernel u d-daemon fil-fatt għabbu, u hija wkoll dik li reviżur jista' jiċċekkja.