د OpenVPN له لارې د دوو بورډونو ترمنځ جلا TAP پل

دوه پراختیایي بورډونه باید یو Ethernet برخه شریکه کړي، په داسې حال کې چې د دوی بینچونه په بیلابیلو ودانۍ کې دي۔ تونل لا دمخه شته او لا دمخه Ethernet لیږدوي، نو پاتې کار د درې کمانډونو په څیر ښکاري او داسې نه دی۔ کوربه د پل شوي فریم سره څه کوي، د کمپیوټر خپله پته چیرته اړه لري، او پل کومه پوله نه جوړوي درې جلا حقیقتونه دي، او په دوهم کې تېروتنه کول هغه عادي لامل دی چې لابراتوار په وقفه ای توګه کار کوي او د هغې مدیریت لاسرسی په خاموشۍ سره خرابیږي۔ له دې درېو حقیقتونو څخه هیڅ یو هم د ټوپولوژي په ډیاګرام کې نه ښکاري۔

لاندې لار د دوو Linux کمپیوټرونو ترمنځ تصدیق شوې TAP اړیکه، د هر بینچ لپاره یو ځانګړی تار لرونکی پورټ، او د مدیریت هغه انټرفیس چې د ازموینې برخه نه ده، فرضوي۔ ترتیب مهم دی: لومړی فریمونه، بیا پتې، او په پای کې پوله۔

پل واقعیا څه لیږدوي

پل هغه سویچ دی چې په سافټویر کې تطبیق شوی۔ دا زده کوي چې کوم MAC پته د کوم غړي پورټ شاته ښکاري او فریمونه د غړو ترمنځ لیږدوي پرته له دې چې د IP روټینګ جدول ته مراجعه وکړي۔ په دې توضیح کې هیڅ فرعي شبکه، ګیټوې یا ډیفالټ لار نشته، له همدې امله د IP لیږد فعالول دا اړیکه نه جوړوي او له همدې امله ping کیدای شي بریالی شي پداسې حال کې چې نور ټرافیک لاهم ناکام دی۔ بورډ کیدای شي له خپل سیال سره پرته له کومې تنظیم شوې ډیفالټ لارې اړیکه ونیسي، کوم چې هغه خلک حیرانوي چې تمه لري دوهمه طبقه د دریمې طبقې په څیر چلند وکړي۔

هر کمپیوټر پل ته یو تار لرونکی پورټ او TAP وسیله هماغه پل ته ورکوي، نو له بورډ څخه فریم محلي پورټ ته ننوځي، TAP وسیلې ته لیږدول کیږي، تونل تیریږي، د سیال TAP وسیلې ته رسیږي او د سیال بورډ ته لیږدول کیږي۔ تونل د هر بل غړي پورټ په څیر دی، او پل نه پوهیږي او نه یې پروا ده چې له شا یې VPN دی۔ همدا همغږي مثال د پوهیدو لپاره اسانه کوي: هر اړخ یو لابراتوار ته مخامخ پورټ او یو تونل پورټ لري، او هیڅ اړخ ځانګړی نه دی۔

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

په دواړو کمپیوټرونو ورته نومونه محلي نومونه دي، نه شریک شوي توکي۔ د بینچونو ترمنځ یوه Ethernet لار ده، پرته له دوهم کیبل او پرته له دوهم تونل چې حلقه وتړي؛ هغه پل چې ورته MAC په دوو پورټونو راتلل ویني، په خوښۍ به په دایره کې لیږدوي۔

پل ته پته ورکړئ، نه د هغې غړو پورټونو ته

په لابراتوار برخه کې د کمپیوټر هویت د پل وسیلې پورې اړه لري۔ غړي پورټونه پرته له شمیرې پاتې کیږي، ځکه چې پورټ لیږدونکی غړی دی او پر هغه پته به د هماغې برخې دوهم، سیال مالک جوړ کړي۔ دا هغه سمون دی چې ډیری په لاس لیکل شوي ترکیبونه یې غلط کوي: دوی TAP وسیلې او پل دواړو ته پته ورکوي، بیا حیرانیږي چې سیال واقعیا کوم ته رسیږي۔

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

سیال د بل کوربه پتې سره هماغه بڼه کاروي، او بورډونه په هماغه حد کې پتې اخلي، که اړتیا وي د کمپیوټر د پل پته د خپل راتلونکي ټوپ په توګه کاروي۔ تر هغې چې پلان موافق نه شي د اسنادو حدونه وکاروئ، او حد وساتئ تر څو له هغه څه سره ټکر ونه کړي چې دفتر دمخه یې روټینګ کوي۔ د هرې برخې له چلولو دمخه تایید کړئ چې غړي پورټونه پاتې پته، DHCP کلاینټ او په بل پل کې غړیتوب نه لري، او د TAP وسیلې پته د هغه څه له لارې همغږي کړئ چې د تونل ترتیبات لري، تر څو وروسته پته بیا نه جوړه کړي۔

ولې د هر بینچ لپاره یو ځانګړی پورټ

ځانګړی تار لرونکی پورټ هغه څه دی چې ازموینه د ټول دفتر بدلون کیدو مخه نیسي۔ د مدیریت انټرفیس SSH، ډیفالټ لار او بهرنۍ VPN اړیکه لیږدوي، او له دې هیڅ یو هم د هغه پل پورې اړه نه لري چې هدف یې د لابراتوار فریمونو لیږدول دي۔

د مدیریت اډاپټر نښلول د دفتر LAN له پراختیایي بورډ څخه د یو لیږد پریکړې په فاصله کې ږدي، او هغه بورډ چې په دوهمه طبقه کې بد چلند کوي په حقیقت کې هغه ډول وسیله ده چې تاسو یې په هغه برخه کې نه غواړئ۔ Wi-Fi اډاپټر لا خراب دی: په زیربنايي حالت کې د بې تارې انټرفیس پل کول د Ethernet د پل کولو په څیر چلند نه کوي، او ناکامي ګډوډونکې ده نه پاکه۔

د لابراتوار حد له هر تولیدي DHCP ساحې بهر وساتئ۔ که بورډونو وروسته متحرک پتې ته اړتیا ولري، یو مجاز تخصیص کوونکی چې یوه حوضه ولري یوازینی ترتیب دی چې وړاندوینه کیدونکی پاتې کیږي؛ د دوو ځایونو عادي روټرونه چې په یوه برخه کې ځواب وايي هغه پتې جوړوي چې هیڅوک یې تشریح کولای نه شي۔

هغه پوله چې پل نه جوړوي

پل کول روټینګ نه دی، او جلا کول هم نه دی۔ هغه فریمونه چې پل تیریږي لاهم کیدای شي د کوربه فلټر کولو هنګانو ته ورسیږي، د نصب شوي bridge-netfilter لارې پورې اړه لري، نو مؤثره پالیسي باید معاینه شي نه فرض۔ د یو فریم د ورکیدو له امله د فایر وال بندول یوه مشخصه تېروتنه په یوه عمومي تېروتنه بدلوي۔

د پل او هر مدیریت یا uplink انټرفیس ترمنځ IP لیږد باید بند پاتې شي یا په څرګنده توګه رد شي، او دا د پل غړیتوب څخه جلا کنټرول دی۔ هغه بورډ چې د کمپیوټر لابراتوار پته د خپل ګیټوې په توګه غوره کوي دقیقا همدا ازموي: که مدیریت تیریدل بریالي شي، هغه پوله چې تاسو یې فکر کاوه هیڅکله نه وه۔

دوه نورې کورنۍ څرګندې پریکړې ته مستحقې دي۔ د پتو پلان پل یوازې IPv4 نه جوړوي، نو IPv6 او نور EtherType خپل پلان یا فلټر ته اړتیا لري۔ او بریالی ping هېڅ نه وایي چې ایا د بورډ کشف خپرونې، multicast ډلې یا jumbo فریمونه به لاره تیره کړي، ځکه چې هغه د بیلابیلو ډیفالټونو سره بیلابیل ټرافیک ټولګي دي۔

په پای کې، لیږد او محرمیت دوه بیلې پیرودنې دي۔ TAP Ethernet لیږدوي؛ د OpenVPN خدمت د هغې شاوخوا ساتنه برابروي۔ VXLAN پوښ هم Ethernet لیږدوي او پخپله هیڅ محرمیت نه برابروي، نو یو په بل بدلول د امنیت ځانګړتیاوې بدلوي حتی کله چې د ټوپولوژي ډیاګرام ورته ښکاري۔

دوام او هغه ازموینې چې دا ثابتوي

هغه کمانډ چې یو ځل د نښلولو وروسته ټایپ شي ترتیبات نه دي۔ پل، د پورټ غړیتوب او یوازینۍ کوربه پته د کمپیوټر د موجود شبکې مدیر له لارې دوامداره کړئ، او نښلول د TAP وسیلې د ښکاریدو سره وتړئ تر څو بیا نښلول د ورک شوي غړي سره پل نه پریږدي۔

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

بیا ازموئ چې بورډونو ته په دواړو لارو کې واقعیا څه ته اړتیا ده، تونل بیا وصل کړئ، او د تصویب شوي بیا رغولو پلان له مخې یو کمپیوټر بیا پیل کړئ۔ وروسته درې شیان تایید کړئ: مدیریت لاسرسی لاهم په خپلواکه توګه کار کوي، دوه چنده لابراتوار پته نه ښکاري، او هیڅ ناڅاپي تولیدي انټرفیس پل ته نه دی یوځای شوی۔ همدا ترکیب هغه ثبوت دی چې ازموینه د خپل بینچ دننه پاتې شوه۔