Én TAP-server eller flere? OpenVPN-klienter på en bro

Flere TAP-klienter krever ikke én serverprosess, én UDP-port og én TAP-enhet på verten hver. Én OpenVPN-server i Ethernet-modus kan ta imot mange autentiserte klienter og knytte dem til én bro, og det er den dokumenterte måten å utvide et segment på lag 2. Designet med én prosess er det manualen dokumenterer, og det er vanligvis riktig standard.

Det egentlige spørsmålet er om disse klientene bør dele det segmentet. Antall prosesser svarer ikke på det, fordi isolasjonsegenskapene kommer fra topologien og ikke fra hvor mange daemoner som kjører. Resten av denne sammenligningen handler om de to topologiene og om hva hver av dem gjør enkelt.

To arkitekturer, ikke to innstillinger

En rutet TUN-utrulling gir hver klient en punkt-til-punkt-forbindelse inn i serverens rutedomene. Kringkasting stopper ved serveren, klientene kan ikke se hverandres rammer, og trafikk mellom klienter, hvis den finnes, må rutes og filtreres eksplisitt.

En broet TAP-utrulling gjør klientene til medlemmer av ett Ethernet-segment. De ser kringkasting, kan slå hverandre opp med ARP og er avhengige av bro- og brannmurpolitikk i stedet for ruting for å holde seg adskilt. Det er nyttig når klientene må fremstå som om de var koblet til samme svitsj.

Sammenligningen handler derfor om hva klientene må nå, ikke om ytelse. Velg laget først, og avgjør deretter hvor mange prosesser som betjener det.

Hva server-bridge-hjelperen gjør

Hjelperen server-bridge konfigurerer Ethernet-modus for flere klienter. Adressebassengformen tar gatewayen, nettverksmasken og et eget område inne i det broede subnettet, for eksempel en gateway på 192.168.50.1 med et basseng fra 192.168.50.160 til 192.168.50.199.

Reserver det området utenfor enhver annen DHCP- eller statisk tildeling. Hjelperen tildeler adresser derfra, men den koordinerer ikke med en annen tildeler på samme segment, og to bassenger som overlapper gir dupliserte adresser som ser ut som tilfeldige tilkoblingsfeil. Skriv det reserverte området inn i stedets adresseplan slik at neste person ikke gjenbruker det. En kommentar i serverkonfigurasjonen er en dårlig erstatning for den registreringen.

Det finnes en DHCP-proxyform for utrullinger der en ekstern server deler ut adresser. Den har sine egne forutsetninger, og å blande de to formene gir nøyaktig den konflikten som dokumentasjonen advarer mot. Velg én tildeler for det broede subnettet.

Isolasjon kommer ikke fra antall prosesser

Åtte OpenVPN-prosesser knyttet til den samme ubegrensede broen deler fortsatt ett kringkastingsdomene. Klientene kan sende ARP til hverandre over broen, og antall lyttere endret ingenting ved det.

Hvis kravet er at grupper av klienter ikke skal se hverandre på lag 2, trenger designet separate broer eller VLAN-tilkoblinger sammen med tilgangsreglene som hører til. Det er en beslutning om nettverksdesign, og den er den samme enten én serverprosess eller åtte er involvert. Brofiltrering kan begrense noe trafikk, men den skaper ikke separate kringkastingsdomener. Behandle det som et supplement til segmentering, ikke en erstatning for den.

Hvis kravet bare er at klienter når visse IP-tjenester, er et rutet TUN-design vanligvis enklere enn bro pluss filtrering. Hver klient får sin egen forbindelse, og politikken lever i rute- og brannmurregler i stedet for inne i broen.

Når flere prosesser likevel er riktig

Separate prosesser kan begrunnes med driftsbehov: forskjellige autentiseringsbakgrunner, forskjellige sertifikatmyndigheter, separate oppgraderingssykluser eller inkompatible valgsett. Det er reelle grunner, og de er uavhengige av antall klienter.

Hvis du bruker flere, gi hver sin lytter og enhetseierskap, og koordiner adresseområdene. To servere som begge tror de eier det samme bassenget på den samme broen, vil før eller siden dele ut den samme adressen.

Bekreft deretter designet med flere klienter samtidig. Kontroller at adressene er unike, at den tiltenkte trafikken mellom klienter virker, og at et par som ikke skal kommunisere ikke kan. En vellykket ping fra én klient prøver ingenting av designet for flere klienter.

Les broen og servermodusen fra den kjørende verten før du stoler på diagrammet. Konfigurasjonen som betyr noe, er den kjernen og daemonen faktisk lastet, og det er også den en anmelder kan kontrollere.