Jedan TAP server ili više? OpenVPN klijenti na mostu

Više TAP klijenata ne zahtijeva po jedan serverski proces, jedan UDP port i jedan TAP uređaj na hostu za svakoga. Jedan OpenVPN server u Ethernet režimu može primiti mnogo autentifikovanih klijenata i priključiti ih na jedan most, i to je dokumentovani način proširenja segmenta sloja 2. Dizajn s jednim procesom je onaj koji priručnik dokumentuje i obično je ispravan podrazumijevani izbor.

Pravo pitanje je da li ti klijenti treba da dijele taj segment. Broj procesa na to ne odgovara, jer svojstva izolacije dolaze iz topologije, a ne iz toga koliko demona radi. Ostatak ovog poređenja tiče se dvije topologije i onoga što svaka olakšava.

Dvije arhitekture, ne dvije postavke

Rutirano TUN postavljanje daje svakom klijentu tačku-na-tačku vezu u rutirajući domen servera. Broadcast se zaustavlja na serveru, klijenti ne mogu vidjeti okvire jedni drugih, a saobraćaj između klijenata, ako ga ima, mora se eksplicitno rutirati i filtrirati.

Premosno TAP postavljanje čini klijente članovima jednog Ethernet segmenta. Oni vide broadcast, mogu se međusobno razriješiti pomoću ARP-a i zavise od politike mosta i firewall-a, a ne od rutiranja, da bi ostali odvojeni. To je korisno kada klijenti moraju izgledati kao da su uključeni u isti switch.

Poređenje je zato o tome do čega klijenti moraju doći, a ne o performansama. Prvo odaberi sloj, pa odluči koliko procesa ga opslužuje.

Šta radi pomoćnik server-bridge

Pomoćnik server-bridge konfiguriše Ethernet režim za više klijenata. Njegov oblik s bazenom adresa prima gateway, mrežnu masku i namjenski raspon unutar premosne podmreže, na primjer gateway 192.168.50.1 s bazenom od 192.168.50.160 do 192.168.50.199.

Rezerviši taj raspon izvan svake druge DHCP ili statičke dodjele. Pomoćnik dodjeljuje adrese iz njega, ali se ne usklađuje s drugim dodjeljivačem na istom segmentu, a dva bazena koja se preklapaju daju duplikate adresa koji izgledaju kao slučajni prekidi povezanosti. Upiši rezervisani raspon u adresni plan lokacije da ga sljedeća osoba ne iskoristi ponovo. Komentar u konfiguraciji servera loša je zamjena za takav zapis.

Postoji oblik s DHCP proxyjem za postavljanja u kojima adrese dijeli vanjski server. On ima svoje preduslove, a miješanje dvaju oblika stvara upravo sukob na koji dokumentacija upozorava. Odaberi jedan dodjeljivač za premosnu podmrežu.

Izolacija ne dolazi od broja procesa

Osam OpenVPN procesa priključenih na isti neograničeni most i dalje dijeli jednu broadcast domenu. Klijenti mogu slati ARP jedni drugima preko mosta, a broj slušalaca na tome nije ništa promijenio.

Ako je zahtjev da grupe klijenata ne vide jedna drugu na sloju 2, dizajnu trebaju odvojeni mostovi ili VLAN priključci uz pristupna pravila koja idu s njima. To je odluka o dizajnu mreže i ista je bez obzira na to učestvuje li jedan serverski proces ili osam. Filtriranje mosta može ograničiti dio saobraćaja, ali ne stvara odvojene broadcast domene. Tretiraj ga kao dopunu segmentaciji, a ne kao njenu zamjenu.

Ako je zahtjev samo da klijenti dođu do određenih IP servisa, rutirani TUN dizajn obično je jednostavniji od premošćivanja s filtriranjem. Svaki klijent dobija svoju vezu, a politika živi u pravilima rutiranja i firewall-a umjesto u unutrašnjosti mosta.

Kada je više procesa ipak ispravno

Odvojeni procesi mogu se opravdati operativnim potrebama: različiti pozadinski sistemi autentifikacije, različita tijela za izdavanje certifikata, odvojeni ciklusi nadogradnje ili nekompatibilni skupovi opcija. To su stvarni razlozi i ne zavise od broja klijenata.

Ako ih koristiš više, daj svakome vlastiti slušalac i vlasništvo nad uređajem te uskladi raspone adresa. Dva servera koja oba vjeruju da posjeduju isti bazen na istom mostu prije ili kasnije će dodijeliti istu adresu.

Zatim provjeri dizajn s više klijenata istovremeno. Provjeri da su adrese jedinstvene, da namjeravani saobraćaj između klijenata radi i da par koji ne smije komunicirati to ne može. Uspješan ping jednog klijenta ne provjerava ništa od dizajna za više klijenata.

Pročitaj most i režim servera s hosta koji radi prije nego što povjeruješ dijagramu. Konfiguracija koja je važna jest ona koju su kernel i demon zaista učitali, a to je i ona koju recenzent može provjeriti.