Éin TAP-server eller fleire? OpenVPN-klientar på ei bru

Fleire TAP-klientar krev ikkje éin serverprosess, éin UDP-port og éi TAP-eining på verten kvar. Éin OpenVPN-server i Ethernet-modus kan ta imot mange autentiserte klientar og knyte dei til éi bru, og det er den dokumenterte måten å utvide eit segment på lag 2. Designet med éin prosess er det manualen dokumenterer, og det er vanlegvis rett standard.

Det eigentlege spørsmålet er om desse klientane bør dele det segmentet. Talet på prosessar svarar ikkje på det, fordi isolasjonseigenskapane kjem frå topologien og ikkje frå kor mange daemonar som køyrer. Resten av denne samanlikninga handlar om dei to topologiane og om kva kvar av dei gjer enkelt.

To arkitekturer, ikkje to innstillingar

Ei ruta TUN-utrulling gjev kvar klient ei punkt-til-punkt-samband inn i rutingsdomenet til serveren. Kringkasting stoppar ved serveren, klientane kan ikkje sjå rammene til kvarandre, og trafikk mellom klientar, om det finst, må rutast og filtrerast eksplisitt.

Ei brua TAP-utrulling gjer klientane til medlemmer av eitt Ethernet-segment. Dei ser kringkasting, kan slå kvarandre opp med ARP og er avhengige av bru- og brannmurpolitikk i staden for ruting for å halde seg åtskilde. Det er nyttig når klientane må sjå ut som om dei er kopla til den same svitsjen.

Samanlikninga handlar derfor om kva klientane må nå, ikkje om yting. Vel laget først, og avgjer deretter kor mange prosessar som tener det.

Kva server-bridge-hjelparen gjer

Hjelparen server-bridge konfigurerer Ethernet-modus for fleire klientar. Adressebassengforma tek gatewayen, nettverksmaska og eit eige område inne i det brua subnettet, til dømes ein gateway på 192.168.50.1 med eit basseng frå 192.168.50.160 til 192.168.50.199.

Reserver det området utanfor kvar annan DHCP- eller statisk tildeling. Hjelparen tildeler adresser derifrå, men han koordinerer ikkje med ein annan tildelar på same segment, og to basseng som overlappar gjev dupliserte adresser som ser ut som tilfeldige tilkoplingstilfelle. Skriv det reserverte området inn i adresseplanen til staden slik at neste person ikkje brukar det på nytt. Ein kommentar i serverkonfigurasjonen er ein dårleg erstatning for den registreringa.

Det finst ei DHCP-proxyform for utrullingar der ein ekstern server deler ut adresser. Ho har sine eigne føresetnader, og å blande dei to formene gjev nøyaktig den konflikten som dokumentasjonen åtvarar mot. Vel éin tildelar for det brua subnettet.

Isolasjon kjem ikkje frå talet på prosessar

Åtte OpenVPN-prosessar knytte til den same ubegrensa brua deler framleis eitt kringkastingsdomene. Klientane kan senda ARP til kvarandre over brua, og talet på lyttarar endra ingenting ved det.

Viss kravet er at grupper av klientar ikkje skal sjå kvarandre på lag 2, treng designet separate bruer eller VLAN-tilkoplingar saman med tilgangsreglane som høyrer til. Det er eit vedtak om nettverksdesign, og det er det same vedtaket anten éin serverprosess eller åtte er involvert. Brufiltrering kan avgrense noko trafikk, men ho skapar ikkje separate kringkastingsdomenen. Handsaming: eit tillegg til segmentering, ikkje ein erstatning for ho.

Viss kravet berre er at klientar når visse IP-tenester, er eit ruta TUN-design vanlegvis enklare enn bru pluss filtrering. Kvar klient får si eiga samband, og politikken bur i rute- og brannmurreglar i staden for inne i brua.

Når fleire prosessar likevel er rett

Separate prosessar kan grunngjevast med driftsbehov: ulike autentiseringsbakgrunnar, ulike sertifikatstyresmakter, separate oppgraderingssyklusar eller inkompatible valsett. Det er reelle grunnar, og dei er uavhengige av talet på klientar.

Viss du brukar fleire, gje kvar sin lyttar og einingseige, og koordiner adresseområda. To serverar som begge trur dei eig det same bassenget på den same brua, vil før eller sidan dele ut den same adressa.

Stadfest deretter designet med fleire klientar samstundes. Kontroller at adressene er unike, at den tiltenkte trafikken mellom klientar verkar, og at eit par som ikkje skal kommunisere ikkje kan. Ein vellukka ping frå éin klient prøver ingenting av designet for fleire klientar.

Les brua og servermodusen frå den køyrande verten før du stolar på diagrammet. Konfigurasjonen som betyr noko, er den kjernen og daemonen faktisk lasta, og det er òg den ein omtalar kan kontrollere.