Jeden serwer TAP czy kilka? Klienci OpenVPN na moście

Wiele klientów TAP nie wymaga po jednym procesie serwera, jednym porcie UDP i jednym urządzeniu TAP na hoście dla każdego. Jeden serwer OpenVPN w trybie Ethernet może przyjąć wielu uwierzytelnionych klientów i podłączyć ich do jednego mostu, a to jest udokumentowany sposób rozszerzania segmentu warstwy 2. Projekt z jednym procesem jest tym, który dokumentuje podręcznik, i zwykle jest właściwym ustawieniem domyślnym.

Prawdziwym pytaniem jest, czy ci klienci powinni dzielić ten segment. Liczba procesów tego nie rozstrzyga, ponieważ właściwości izolacji wynikają z topologii, a nie z tego, ile demonów działa. Reszta tego porównania dotyczy obu topologii i tego, co każda z nich ułatwia.

Dwie architektury, nie dwa ustawienia

Wdrożenie routowanego TUN daje każdemu klientowi łącze punkt-punkt do domeny routingu serwera. Rozgłaszanie zatrzymuje się na serwerze, klienci nie widzą swoich ramek, a ruch między klientami, jeśli istnieje, musi być jawnie routowany i filtrowany.

Wdrożenie mostkowanego TAP czyni klientów członkami jednego segmentu Ethernet. Widzą rozgłaszanie, mogą się wzajemnie odnajdywać przez ARP i aby pozostać rozdzieleni, polegają na polityce mostu i zapory sieciowej, a nie na routingu. Jest to przydatne, gdy klienci muszą wyglądać tak, jakby byli podłączeni do tego samego przełącznika.

Porównanie dotyczy więc tego, do czego klienci muszą dotrzeć, a nie wydajności. Najpierw wybierz warstwę, potem zdecyduj, ile procesów ją obsługuje.

Co robi pomocnik server-bridge

Pomocnik server-bridge konfiguruje tryb Ethernet dla wielu klientów. Jego forma z pulą adresów przyjmuje bramę, maskę sieci i wydzielony zakres wewnątrz mostkowanej podsieci, na przykład bramę pod 192.168.50.1 z pulą od 192.168.50.160 do 192.168.50.199.

Zarezerwuj ten zakres poza wszelkim innym przydziałem DHCP lub statycznym. Pomocnik przydziela z niego adresy, ale nie koordynuje się z innym przydzielaczem w tym samym segmencie, a dwie nakładające się pule dają zduplikowane adresy, które wyglądają jak losowe awarie łączności. Zapisz zarezerwowany zakres w planie adresacji witryny, aby następna osoba go nie użyła ponownie. Komentarz w konfiguracji serwera jest słabym zamiennikiem takiego zapisu.

Istnieje forma z proxy DHCP dla wdrożeń, w których adresy rozdaje zewnętrzny serwer. Ma własne warunki wstępne, a mieszanie obu form daje dokładnie ten konflikt, przed którym ostrzega dokumentacja. Wybierz jednego przydzielacza dla mostkowanej podsieci.

Izolacja nie wynika z liczby procesów

Osiem procesów OpenVPN podłączonych do tego samego nieograniczonego mostu nadal dzieli jedną domenę rozgłaszania. Klienci mogą wysyłać do siebie ARP przez most, a liczba nasłuchujących niczego w tym nie zmieniła.

Jeśli wymaganiem jest, aby grupy klientów nie widziały się w warstwie 2, projekt potrzebuje osobnych mostów lub przyłączy VLAN wraz z towarzyszącymi im regułami dostępu. To decyzja projektowa dotycząca sieci i jest taka sama niezależnie od tego, czy uczestniczy jeden proces serwera, czy osiem. Filtrowanie mostu może ograniczyć część ruchu, ale nie tworzy odrębnych domen rozgłaszania. Traktuj je jako uzupełnienie segmentacji, a nie jej zamiennik.

Jeśli wymaganiem jest tylko, aby klienci docierali do określonych usług IP, projekt routowanego TUN jest zwykle prostszy niż mostkowanie z filtrowaniem. Każdy klient otrzymuje własne łącze, a polityka żyje w regułach routingu i zapory sieciowej zamiast wewnątrz mostu.

Kiedy kilka procesów jest nadal właściwych

Osobne procesy można uzasadnić potrzebami operacyjnymi: różne systemy uwierzytelniania, różne urzędy certyfikacji, odrębne cykle aktualizacji lub niezgodne zestawy opcji. To realne powody i są niezależne od liczby klientów.

Jeśli używasz kilku, daj każdemu własny nasłuch i własność urządzenia oraz uzgodnij zakresy adresów. Dwa serwery, które oba uważają, że posiadają tę samą pulę na tym samym moście, prędzej czy później przydzielą ten sam adres.

Następnie zweryfikuj projekt z kilkoma klientami jednocześnie. Sprawdź, czy adresy są unikalne, czy zamierzony ruch między klientami działa i czy para, która nie powinna się komunikować, nie może tego zrobić. Udany ping jednego klienta nie sprawdza niczego z projektu dla wielu klientów.

Odczytaj most i tryb serwera z działającego hosta, zanim zaufasz schematowi. Konfiguracja, która ma znaczenie, to ta, którą jądro i demon faktycznie załadowały, i właśnie ją może sprawdzić recenzent.