OpenVPN TUN protiv TAP-a: tri uvjeta koja odlučuju

Dva tunela mogu prenositi isti prijenos datoteke, a ipak se potpuno razlikovati u onome što stavljaju na žicu. Jedan prenosi IP pakete između dvije adrese; drugi prenosi Ethernet okvire i može se premostiti u segment. Ta razlika odlučuje koje aplikacije rade, koji se klijenti mogu povezati i koliko ćete mrežnog dizajna preuzeti na sebe.

Tri uvjeta to u praksi rješavaju. Prođite ih redom jer prvi obično završava raspravu.

Što svako sučelje zapravo prenosi

TUN uređaj je točka-na-točku sučelje sloja 3: jezgra mu predaje IP pakete, a tunel ih prenosi na adresu partnera. TAP uređaj je sučelje sloja 2 koje prenosi Ethernet okvire, što uopće omogućuje premošćivanje, kako opisuje dokumentacija jezgre. Niti jedno ne mijenja način na koji se korisni teret šifrira i niti jedno nije postavka snage. Izbor se odnosi na ono što krajnje točke moraju razmijeniti, a ne na to koliko je promet dobro zaštićen.

Jedna posljedica slijedi odmah: oba se kraja moraju složiti. Klijent konfiguriran za jednu vrstu uređaja ne može se pridružiti poslužitelju konfiguriranom za drugu, što god drugo odgovaralo.

Uvjet jedan: treba li išta sloj dva?

Premošćivanje zaslužuje svoju složenost kad protokol stvarno treba istu broadcast domenu: ne-IP promet, otkrivanje koje ne može prijeći usmjerivač ili aplikacija koja inzistira na istom segmentu. Sve ostalo je problem usmjeravanja, a usmjeravanje ga rješava s mnogo manje mehanike. Proširenje segmenta preko širokog područja proširuje i njegove broadcast pakete, pa sprječavanje petlji, planiranje adresa i domene kvara postaju dio dizajna. To je mnogo toga prihvatiti za zahtjev koji bi zadovoljila jedna ruta.

Test je konkretan: navedite aplikaciju koja ne uspijeva na usmjerenom tunelu i recite zašto. Ako je odgovor da joj treba broadcast, sloj dva je iskren odgovor. Ako je odgovor da netko nije mogao doći do jednog poslužitelja, zahtjev je ruta ili pravilo vatrozida.

Uvjet dva: mogu li klijenti to?

Podrška nije jednaka. Stolni klijenti uglavnom nude obje vrste uređaja, dok mobilni i ugrađeni klijenti često primjenjuju samo usmjereni način rada, a profil koji se uvozi bez prigovora ipak može zakazati kad pokuša stvoriti sučelje. Provjerite konkretnog klijenta i verziju umjesto da skup značajki zaključujete iz naziva platforme.

Pogreška nepodržane opcije nije poziv da brišete nepoznate retke dok uvoz ne uspije. Znači da se profil i klijent ne slažu oko toga što je moguće, a popravak pripada operateru koji je izdao profil. Uklanjanje opcije da bi se validator ušutkao može stvoriti vezu koja izgleda da radi dok tiho izostavlja svojstvo zbog kojeg je postojala.

Uvjet tri: je li ovo doista pitanje sučelja?

Dva susjedna izbora krive se za probleme sa sučeljem. Virtualni uređaj odlučuje što ulazi u tunel, dok UDP ili TCP odlučuje kako se vanjski prijevoz ponaša, a nijedno ne liječi prijenose koji zapnu. Kad veliki prijenosi vise, a mali uspijevaju, pozornost zaslužuju veličina paketa i MTU.

Klijent koji se poveže i zatim ne može doći do jednog unutarnjeg hosta obično gleda usmjeravanje, pravilo vatrozida ili povratni put koji nedostaje.

Za upravljane usluge upotrijebite raspored sučelja koji propisuje operaterov profil jer je strana poslužitelja već izgrađena oko njega. Za privatnu implementaciju odaberite prema stvarnom zahtjevu aplikacije i zapišite razlog uz izbor.

Pitanje nije koja je opcija jača. Pitanje je koja prometu doista treba.