Jeden server TAP alebo niekoľko? Klienti OpenVPN na moste

Viacerí klienti TAP nevyžadujú jeden proces servera, jeden port UDP a jedno zariadenie TAP na hostiteľovi pre každého. Jeden server OpenVPN v režime Ethernet môže prijať mnoho overených klientov a pripojiť ich k jedinému mostu, a to je dokumentovaný spôsob rozšírenia segmentu vrstvy 2. Návrh s jediným procesom je ten, ktorý dokumentuje príručka, a zvyčajne je správnym predvoleným nastavením.

Skutočnou otázkou je, či majú títo klienti tento segment zdieľať. Počet procesov na to neodpovedá, pretože vlastnosti izolácie vychádzajú z topológie, nie z toho, koľko démonov beží. Zvyšok tohto porovnania je o oboch topológiách a o tom, čo každá uľahčuje.

Dve architektúry, nie dve nastavenia

Smerované nasadenie TUN dáva každému klientovi spojenie bod-bod do smerovacej domény servera. Vysielanie sa zastaví na serveri, klienti nevidia rámce toho druhého a prevádzka medzi klientmi, ak existuje, musí byť výslovne smerovaná a filtrovaná.

Premosťované nasadenie TAP robí klientov členmi jedného segmentu Ethernet. Vidia vysielanie, môžu sa navzájom rozlíšiť pomocou ARP a na oddelenie sa spoliehajú na politiku mosta a firewallu, nie na smerovanie. To je užitočné, keď sa klienti musia javiť, akoby boli zapojení do toho istého prepínača.

Porovnanie je teda o tom, čo musia klienti dosiahnuť, nie o výkone. Najprv zvoľte vrstvu, potom rozhodnite, koľko procesov ju obsluhuje.

Čo robí pomocník server-bridge

Pomocník server-bridge konfiguruje režim Ethernet pre viacerých klientov. Jeho forma s fondom adries preberá bránu, masku siete a vyhradený rozsah v rámci premosťovanej podsiete, napríklad bránu 192.168.50.1 s fondom od 192.168.50.160 do 192.168.50.199.

Vyhraďte tento rozsah mimo akéhokoľvek iného prideľovania DHCP alebo statického priradenia. Pomocník z neho prideľuje adresy, ale nekoordinuje sa s iným prideľovačom v tom istom segmente, a dva prekrývajúce sa fondy vytvárajú duplicitné adresy, ktoré vyzerajú ako náhodné výpadky pripojenia. Zapíšte vyhradený rozsah do adresného plánu lokality, aby ho ďalší človek znova nepoužil. Komentár v konfigurácii servera je zlou náhradou takého záznamu.

Pre nasadenia, kde adresy prideľuje externý server, existuje forma s proxy DHCP. Má svoje vlastné predpoklady a miešanie oboch foriem vytvára presne ten konflikt, pred ktorým dokumentácia varuje. Zvoľte jeden prideľovač pre premosťovanú podsieť.

Izolácia nevychádza z počtu procesov

Osem procesov OpenVPN pripojených k tomu istému neobmedzenému mostu stále zdieľa jednu doménu vysielania. Klienti môžu cez most posielať ARP jeden druhému a počet poslucháčov na tom nič nezmenil.

Ak je požiadavkou, aby skupiny klientov na vrstve 2 nevideli jedna druhú, návrh potrebuje oddelené mosty alebo pripojenia VLAN spolu s prístupovými pravidlami, ktoré k nim patria. To je rozhodnutie o návrhu siete a je rovnaké, či ide o jeden proces servera alebo osem. Filtrovanie mosta môže obmedziť časť prevádzky, ale nevytvára oddelené domény vysielania. Berte ho ako doplnok segmentácie, nie ako jej náhradu.

Ak je požiadavkou len to, aby sa klienti dostali k určitým službám IP, smerovaný návrh TUN je zvyčajne jednoduchší než premosťovanie s filtrovaním. Každý klient dostane svoje vlastné spojenie a politika žije v pravidlách smerovania a firewallu namiesto vnútra mosta.

Kedy je niekoľko procesov stále správne

Oddelené procesy možno odôvodniť prevádzkovými potrebami: rôzne autentizačné rozhrania, rôzne certifikačné autority, oddelené cykly aktualizácie alebo nekompatibilné sady volieb. To sú skutočné dôvody a sú nezávislé od počtu klientov.

Ak ich používate viac, dajte každému vlastný naslúchač a vlastníctvo zariadenia a zosúlaďte rozsahy adries. Dva servery, ktoré oba veria, že vlastnia ten istý fond na tom istom moste, nakoniec pridelia tú istú adresu.

Potom overte návrh s niekoľkými klientmi naraz. Skontrolujte, či sú adresy jedinečné, či zamýšľaná prevádzka medzi klientmi funguje a či dvojica, ktorá komunikovať nesmie, to nedokáže. Úspešný ping jedného klienta nepreverí nič z návrhu pre viacerých klientov.

Prečítajte si most a režim servera z bežiaceho hostiteľa, než uveríte diagramu. Konfigurácia, na ktorej záleží, je tá, ktorú jadro a démon skutočne načítali, a práve tú môže recenzent overiť.