Izolovani TAP most između dvije ploče preko OpenVPN-a

Dvije razvojne ploče moraju dijeliti jedan Ethernet segment, dok se njihovi radni stolovi nalaze u različitim zgradama. Tunel već postoji i već prenosi Ethernet, pa preostali posao izgleda kao tri komande i nije. Šta host radi sa okvirom koji je prešao most, gdje pripada vlastita adresa računara i koju granicu most ne stvara tri su odvojene činjenice, a greška u drugoj je uobičajen razlog zašto laboratorija radi s prekidima i zašto joj pristup upravljanju tiho slabi. Nijedna od te tri činjenice nije vidljiva na dijagramu topologije.

Putanja ispod pretpostavlja autentificiranu TAP vezu između dva Linux računara, jedan namjenski žični port po radnom stolu i interfejs za upravljanje koji nije dio eksperimenta. Redoslijed je važan: prvo okviri, zatim adrese, na kraju granica.

Šta most zapravo prenosi

Most je prekidač implementiran u softveru. Uči koja se MAC adresa pojavljuje iza kojeg članskog porta i prosljeđuje okvire između članova bez konsultovanja IP tabele rutiranja. Ništa u tom opisu ne uključuje podmrežu, gateway ili zadanu rutu, zato omogućavanje IP prosljeđivanja ne stvara ovaj priključak i zato ping može uspjeti dok drugi saobraćaj i dalje ne prolazi. Ploča može doći do svog partnera bez ikakve konfigurisane zadane rute, što iznenađuje ljude koji očekuju da se drugi sloj ponaša kao treći.

Svaki računar daje mostu jedan žični port i TAP uređaj istom mostu, pa okvir sa ploče ulazi na lokalni port, prosljeđuje se na TAP uređaj, prelazi tunel, stiže na TAP uređaj partnera i prosljeđuje se na partnerovu ploču. Tunel je članski port kao i svaki drugi, a most ne zna niti ga zanima da iza njega stoji VPN. Upravo ta simetrija čini primjer lakim za razmišljanje: svaka strana ima jedan port prema laboratoriji i jedan tunelski port, i nijedna strana nije posebna.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Identična imena na oba računara su lokalna imena, a ne zajednički objekti. Između radnih stolova postoji jedna Ethernet putanja, bez drugog kabla i bez drugog tunela koji zatvara petlju; most koji vidi isti MAC kako stiže na dva porta rado će prosljeđivati u krug.

Adresirajte most, a ne njegove članske portove

Identitet računara na laboratorijskom segmentu pripada uređaju mosta. Članski portovi ostaju bez adresa, jer je port član koji prosljeđuje i adresa na njemu stvorila bi drugog, konkurentskog vlasnika istog segmenta. To je ispravka koju većina ručno napisanih recepata pogrešno izvede: adresiraju TAP uređaj i most, a zatim se pitaju do kojeg partner zapravo dolazi.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Partner koristi isti oblik s drugom adresom hosta, a ploče uzimaju adrese u istom rasponu koristeći adresu mosta računara kao svoj sljedeći skok ako im je potreban. Koristite dokumentacijske raspone dok se plan ne dogovori i rezervišite raspon da se ne sudari s nečim što ured već rutira. Prije nego što pokrenete bilo šta od toga, potvrdite da članski portovi nemaju zaostalu adresu, DHCP klijenta ni članstvo u drugom mostu, i uskladite adresiranje TAP uređaja kroz ono što posjeduje konfiguraciju tunela da kasnije ne vrati adresu.

Zašto jedan namjenski port po radnom stolu

Namjenski žični port je ono što sprječava da eksperiment postane promjena na nivou cijelog ureda. Interfejs za upravljanje nosi SSH, zadanu rutu i vanjsku VPN vezu, a ništa od toga ne pripada mostu čija je svrha prenos laboratorijskih okvira.

Priključivanje adaptera za upravljanje stavlja uredsku LAN na jednu odluku prosljeđivanja od razvojne ploče, a ploča koja se loše ponaša na drugom sloju upravo je vrsta uređaja koju ne želite na tom segmentu. Wi-Fi adapter je gori: premošćavanje bežičnog interfejsa u infrastrukturnom režimu ne ponaša se kao premošćavanje Etherneta, a kvar je zbunjujući, a ne čist.

Držite laboratorijski raspon izvan svakog proizvodnog DHCP opsega. Ako pločama kasnije zatreba dinamičko adresiranje, jedan ovlašteni alokator s jednim poolom jedini je raspored koji ostaje predvidljiv; obični ruteri dvije lokacije koji odgovaraju na istom segmentu stvaraju adrese koje niko ne može objasniti.

Granica koju most ne stvara

Premošćavanje nije rutiranje, a nije ni izolacija. Okviri koji prelaze most i dalje mogu doći do hostovih filter hookova, zavisno od instalirane bridge-netfilter putanje, pa se efektivna politika mora pregledati, a ne pretpostaviti. Isključivanje firewall-a jer je jedan okvir nestao mijenja konkretan bug za opći.

IP prosljeđivanje između mosta i svakog interfejsa za upravljanje ili uplink treba ostati isključeno ili biti izričito zabranjeno, i to je odvojena kontrola od članstva u mostu. Ploča koja odabere laboratorijsku adresu računara kao svoj gateway testira upravo ovo: ako tranzit upravljanja uspije, granica koju ste namjeravali nikada nije ni postojala.

Još dvije porodice zaslužuju izričitu odluku. Plan adresiranja ne čini most samo IPv4, pa IPv6 i drugi EtherType-ovi trebaju vlastiti plan ili filter. A uspješan ping ne govori ništa o tome hoće li discovery broadcasti ploče, multicast grupe ili jumbo okviri proći putanjom, jer su to različite klase saobraćaja s različitim zadanim vrijednostima.

Konačno, transport i povjerljivost su različite kupovine. TAP prenosi Ethernet; OpenVPN servis pruža zaštitu oko njega. VXLAN overlay također prenosi Ethernet i sam po sebi ne pruža povjerljivost, pa zamjena jednog drugim mijenja sigurnosna svojstva čak i kada dijagram topologije izgleda identično.

Trajnost i testovi koji je dokazuju

Komanda otipkana jednom nakon povezivanja nije konfiguracija. Učinite trajnim most, članstvo portova i jednu adresu hosta kroz postojeći mrežni menadžer računara i vežite priključak za pojavljivanje TAP uređaja da ponovno povezivanje ne ostavi most s nestalim članom.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Zatim testirajte šta pločama zapravo treba u oba smjera, ponovo povežite tunel i restartujte jedan računar prema odobrenom planu oporavka. Nakon toga potvrdite tri stvari: pristup upravljanju i dalje radi neovisno, ne pojavljuje se duplikat laboratorijske adrese i nijedan neočekivani proizvodni interfejs nije se pridružio mostu. Ta kombinacija je dokaz da je eksperiment ostao unutar svog radnog stola.