TAP bez mosta: virtuelni segment s rutiranim uzlaznim kanalom

TAP predaje Ethernet okvire operativnom sistemu, što je više mogućnosti nego što većini dizajna daljinskog pristupa treba i manje od mosta. Jezgro ga može adresirati, rutirati kroz njega i zaštititi ga vatrozidom bez pridruživanja bilo kojem fizičkom segmentu. Taj raspored vrijedi prvo razumjeti: izolirani virtuelni Ethernet segment čiji server djeluje kao ruter prema stvarnoj lokalnoj mreži. On daje ponašanje drugog sloja unutar tunela i obično IP prosljeđivanje izvan njega, a to su dva različita obećanja. Ostatak ovoga je izgradnja, ruta, povratni put i vraćanje.

Izgradite izolirani segment

Na Linuxu interfejs prima tri komande: stvorite ga, podignite ga, dajte mu adresu unutar segmenta koji namjeravate. Odaberite prefiks koji se ne sudara s kancelarijskom lokalnom mrežom i zapišite ga, jer je sudar nevidljiv dok ne odgovori host koji ne bi trebao postojati.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Ništa ovdje ne zahtijeva most i ništa ne sprječava da ga kasnije dodate. Dokumentacija jezgra za TUN/TAP opisuje sam interfejs; članstvo u mostu i politika prosljeđivanja odvojene su odluke koje donosite poslije.

Rutirajte preko granice

Uključite prosljeđivanje, dozvolite dva prefiksa u lancu prosljeđivanja i dodajte rutu prema kancelarijskom prefiksu s LAN ruterom kao sljedećim skokom. VPN strana zatim šalje saobraćaj prema kancelariji serveru kao svom mrežnom prolazu, a server prosljeđuje te pakete kao sebe, a ne kao most. TAP interfejs s isključenim prosljeđivanjem segment je koji odgovara lokalno i ne doseže ništa izvan sebe, što je uobičajeno poludovršeno stanje. Poslije provjerite brojače interfejsa na obje strane, jer rastući brojač prijema uz stalan brojač slanja na LAN strani znači ispad u lancu prosljeđivanja, a ne lošu rutu.

Zapišite rutu i pravilo vatrozida kao jednu promjenu, jer svako samo po sebi stvara stanje koje s klijentske strane izgleda kao neuspjeh rutiranja.

Odlučite povratni put

Ili LAN ruter nauči rutu natrag prema VPN prefiksu, ili server prevede izvorne adrese na izlazu. Prevođenje čini povratni put trivijalnim i uništava identitet izvora, pa će zapisnici odredišta pokazivati adresu servera za svakog klijenta iza njega. Rutirani prefiks čuva identitet i zahtijeva promjenu na opremi kojom možda ne upravljate.

Birajte namjerno, a ne prema tome što je brže za tipkanje. Jedan rutirani prefiks obično je čistiji od prevođenja, a prevođenje je obično bolje od učenja neupravljanog rutera novom prefiksu zbog jedne laboratorije.

Držite obuhvat emitovanja namjernim

Unutar virtuelnog segmenta DHCP, otkrivanje i najava susjeda ponašaju se kao na prekidaču, jer je to jedna veza. Preko rutirane granice ne ponašaju se tako, pa kancelarijski DHCP i otkrivanje servisa trebaju izričit dizajn, a ne pretpostavku da ih TAP podrazumijeva. Tip interfejsa nije relej za servise koji žive negdje drugdje.

To je iskren razlog da se uopće odabere TAP: nešto na virtuelnom segmentu treba ponašanje lokalno za vezu. Ako ništa ne treba, TUN uređaj s rutiranim prefiksom manji je i ima manje toga za objašnjavati kad se pokvari.

Provjerite, pa zapišite vraćanje

S VPN klijenta pingajte LAN ruter, pingajte host i otvorite jedan servis koji je važan preko TCP-a. Zatim provjerite brojače i lanac prosljeđivanja, jer ispad po politici izdaleka izgleda točno kao ruta koja nedostaje. Vraćanje je obrnuto od izgradnje i pripada u zapis promjena prije nego što počnete: uklonite rutu, uklonite adresu, izbrišite interfejs.

Ako je zahtjev stvarno jedan Ethernet segment koji obuhvata dvije lokacije, most je iskren odgovor i drugačiji dizajn s drugačijim radijusom uticaja. Ako je zahtjev dostupnost, izolirani segment s rutiranim uzlaznim kanalom obavlja posao s manje objašnjavanja kasnije.