Izolovaný most TAP medzi dvoma doskami cez OpenVPN

Dve vývojové dosky musia zdieľať jeden ethernetový segment, hoci ich pracovné stoly stoja v rôznych budovách. Tunel už existuje a už prenáša Ethernet, takže zvyšná práca vyzerá ako tri príkazy a nie je. Čo hostiteľ robí s rámcom, ktorý prešiel mostom, kam patrí vlastná adresa počítača a akú hranicu most nevytvára, sú tri oddelené fakty, a chyba v druhom z nich je obvyklým dôvodom, prečo laboratórium funguje prerušovane a jeho prístup správy potichu degraduje. Žiadny z týchto troch faktov nie je viditeľný na diagrame topológie.

Postup nižšie predpokladá autentizované TAP spojenie medzi dvoma počítačmi s Linuxom, jeden vyhradený káblový port na pracovný stôl a rozhranie správy, ktoré nie je súčasťou experimentu. Poradie je dôležité: najprv rámce, potom adresy, nakoniec hranica.

Čo most skutočne prenáša

Most je prepínač implementovaný v softvéri. Učí sa, ktorá MAC adresa sa objavuje za ktorým členským portom, a preposiela rámce medzi členmi bez toho, aby sa pýtal IP smerovacej tabuľky. Nič v tomto opise nezahŕňa podsiet, bránu ani predvolenú trasu, a preto zapnutie IP preposielania nevytvorí toto pripojenie a preto ping môže uspieť, kým iná prevádzka stále zlyháva. Doska sa dostane k svojmu partnerovi úplne bez nakonfigurovanej predvolenej trasy, čo prekvapuje ľudí, ktorí očakávajú, že sa druhá vrstva bude správať ako tretia.

Každý počítač pridá mostu jeden káblový port a zariadenie TAP do toho istého mosta, takže rámec z dosky vstúpi do miestneho portu, prepošle sa na zariadenie TAP, prejde tunelom, dorazí na zariadenie TAP partnera a prepošle sa na jeho dosku. Tunel je členský port ako ktorýkoľvek iný a most nevie ani sa nestará o to, že za ním stojí VPN. Práve táto symetria robí príklad ľahko premýšľateľným: každá strana má jeden port otočený do laboratória a jeden tunelový port a žiadna strana nie je výnimočná.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Rovnaké názvy na oboch počítačoch sú miestne názvy, nie zdieľané objekty. Medzi pracovnými stolmi vedie jedna ethernetová cesta, bez druhého kábla a bez druhého tunela, ktorý by uzavrel slučku; most, ktorý vidí rovnakú MAC prichádzať na dva porty, bude s chuťou preposielať v kruhoch.

Adresujte most, nie jeho členské porty

Identita počítača v laboratórnom segmente patrí zariadeniu mosta. Členské porty zostávajú bez čísla, pretože port je preposielajúci člen a adresa na ňom by vytvorila druhého, konkurujúceho vlastníka toho istého segmentu. Toto je oprava, ktorú väčšina ručne písaných receptov robí nesprávne: adresujú zariadenie TAP aj most a potom sa čudujú, ku ktorému z nich partner skutočne dosiahne.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Partner používa rovnaký tvar s inou adresou hostiteľa a dosky berú adresy v rovnakom rozsahu s adresou mosta počítača ako ďalším skokom, ak ho potrebujú. Kým nie je plán odsúhlasený, používajte dokumentačné rozsahy a rozsah rezervujte, aby nekolidoval s ničím, čo kancelária už smeruje. Pred spustením čohokoľvek overte, že členské porty nenesú zvyškovú adresu, DHCP klienta ani členstvo v inom moste, a zlaďte adresovanie zariadenia TAP cez to, čo vlastní konfiguráciu tunela, aby adresu neskôr neobnovilo.

Prečo jeden vyhradený port na pracovný stôl

Vyhradený káblový port je to, čo bráni experimentu stať sa zmenou pre celú kanceláriu. Rozhranie správy nesie SSH, predvolenú trasu a vonkajšie VPN spojenie, a nič z toho nepatrí na most, ktorého účelom je prenášať laboratórne rámce.

Pripojenie adaptéra správy stavia kancelársku LAN na jediné rozhodnutie o preposielaní od vývojovej dosky, a doska, ktorá sa na druhej vrstve správa zle, je presne ten typ zariadenia, ktorý v tom segmente nechcete. Adaptér Wi-Fi je horší: prepájanie bezdrôtového rozhrania v infraštruktúrnom režime sa nespráva ako prepájanie Ethernetu a zlyhanie je mätúce, nie čisté.

Držte laboratórny rozsah mimo akéhokoľvek produkčného rozsahu DHCP. Ak dosky neskôr budú potrebovať dynamické adresovanie, jediné usporiadanie, ktoré zostane predvídateľné, je jeden autorizovaný prideľovač s jedným poolom; bežné routery dvoch lokalít odpovedajúce v tom istom segmente vytvárajú adresy, ktoré nikto nedokáže vysvetliť.

Hranica, ktorú most nevytvára

Prepájanie nie je smerovanie a nie je ani izolácia. Rámce, ktoré prejdú mostom, sa stále môžu dostať k filtrovacím hákom hostiteľa, v závislosti od nainštalovanej cesty bridge-netfilter, takže efektívnu politiku treba preskúmať, nie predpokladať. Vypnutie firewallu preto, že sa stratil jeden rámec, mení konkrétnu chybu za všeobecnú.

IP preposielanie medzi mostom a každým rozhraním správy alebo uplinku by malo zostať vypnuté alebo byť výslovne zakázané, a to je samostatná kontrola od členstva v moste. Doska, ktorá si vyberie laboratórnu adresu počítača ako svoju bránu, testuje presne toto: ak tranzit správy uspeje, zamýšľaná hranica tam nikdy nebola.

Ešte dve rodiny si zaslúžia výslovné rozhodnutie. Plán adresovania nerobí most iba IPv4, takže IPv6 a ďalšie EtherType potrebujú vlastný plán alebo filter. A úspešný ping nič nehovorí o tom, či objavovacie vysielania dosky, multicastové skupiny alebo jumbo rámce prejdú cestou, pretože to sú rôzne triedy prevádzky s rôznymi predvolenými hodnotami.

Nakoniec, prenos a dôvernosť sú dva rôzne nákupy. TAP prenáša Ethernet; služba OpenVPN poskytuje ochranu okolo neho. VXLAN prekrytie tiež prenáša Ethernet a samo o sebe neposkytuje dôvernosť, takže nahradenie jedného druhým mení bezpečnostné vlastnosti, aj keď diagram topológie vyzerá rovnako.

Trvalosť a testy, ktoré ju dokazujú

Príkaz napísaný raz po pripojení nie je konfigurácia. Zabezpečte trvalosť mosta, členstva portov a jedinej adresy hostiteľa cez existujúceho správcu siete počítača a pripojenie zviažte s výskytom zariadenia TAP, aby po opätovnom pripojení nezostal most so zmiznutým členom.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Potom otestujte, čo dosky v oboch smeroch skutočne potrebujú, znova pripojte tunel a reštartujte jeden počítač podľa schváleného plánu obnovy. Následne potvrďte tri veci: prístup správy stále funguje nezávisle, neobjavuje sa duplicitná laboratórna adresa a k mostu sa nepripojilo žiadne neočakávané produkčné rozhranie. Práve táto kombinácia je dôkazom, že experiment zostal vnútri svojho pracovného stola.