OpenVPN TUN verzus TAP: tri podmienky, ktoré rozhodujú

Dva tunely môžu prenášať ten istý prenos súboru a napriek tomu sa úplne líšiť v tom, čo kladú na drôt. Jeden presúva IP pakety medzi dvoma adresami; druhý presúva Ethernet rámce a možno ho premostiť do segmentu. Práve tento rozdiel rozhoduje o tom, ktoré aplikácie fungujú, ktorí klienti sa môžu pripojiť a koľko sieťového dizajnu na seba beriete.

V praxi to rozhodujú tri podmienky. Prejdite ich po poradí, pretože prvá zvyčajne ukončí diskusiu.

Čo každé rozhranie skutočne prenáša

Zariadenie TUN je bod-bod rozhranie vrstvy 3: jadro mu odovzdáva IP pakety a tunel ich nesie na adresu partnera. Zariadenie TAP je rozhranie vrstvy 2, ktoré prenáša Ethernet rámce, a práve to vôbec umožňuje most, ako opisuje dokumentácia jadra. Ani jedno nemení spôsob šifrovania užitočného zaťaženia a ani jedno nie je nastavenie sily. Voľba sa týka toho, čo si musia konce vymeniť, nie toho, ako dobre je prevádzka chránená.

Jeden dôsledok nasleduje okamžite: oba konce musia súhlasiť. Klient nakonfigurovaný pre jeden typ zariadenia sa nemôže pripojiť k serveru nakonfigurovanému pre druhý, nech sa zhoduje čokoľvek iné.

Prvá podmienka: potrebuje niečo vrstvu dva?

Most si zaslúži svoju zložitosť, keď protokol skutočne potrebuje tú istú doménu vysielania: prevádzku, ktorá nie je IP, objavovanie, ktoré neprejde cez router, alebo aplikáciu, ktorá trvá na jednom segmente. Všetko ostatné je problém smerovania a smerovanie ho rieši s oveľa menším strojovým vybavením. Rozšírenie segmentu na veľkú oblasť rozširuje aj jeho vysielanie, takže prevencia slučiek, plánovanie adries a domény zlyhania sa stávajú súčasťou návrhu. To je veľa na prijatie za požiadavku, ktorú by splnila jediná trasa.

Test je konkrétny: pomenujte aplikáciu, ktorá zlyhá na smerovanom tuneli, a povedzte prečo. Ak je odpoveďou, že potrebuje vysielanie, vrstva dva je čestná odpoveď. Ak je odpoveďou, že niekto nedokázal dosiahnuť jeden server, požiadavkou je trasa alebo pravidlo firewallu.

Druhá podmienka: dokážu to klienti?

Podpora nie je jednotná. Desktopoví klienti zvyčajne ponúkajú oba typy zariadení, kým mobilní a vstavaní klienti často implementujú iba smerovaný režim, a profil importovaný bez sťažností môže napriek tomu zlyhať, keď sa pokúsi vytvoriť rozhranie. Skontrolujte konkrétneho klienta a verziu, namiesto odvodzovania funkcií z názvu platformy.

Chyba o nepodporovanej možnosti nie je pozvaním mazať neznáme riadky, kým import neprejde. Znamená, že profil a klient sa nezhodujú v tom, čo je možné, a oprava patrí operátorovi, ktorý profil vydal. Odstránenie možnosti na utíšenie validátora môže vytvoriť pripojenie, ktoré vyzerá funkčné, no potichu vynecháva vlastnosť, pre ktorú existovalo.

Tretia podmienka: je to naozaj otázka rozhrania?

Za problémy s rozhraním sa obviňujú dve susedné voľby. Virtuálne zariadenie rozhoduje, čo vstúpi do tunela, kým UDP alebo TCP rozhoduje, ako sa správa vonkajší transport, a ani jedno nelieči prenosy, ktoré sa zaseknú. Keď veľké prenosy visia a malé prechádzajú, pozornosť si zaslúži veľkosť paketu a MTU.

Klient, ktorý sa pripojí a potom nedosiahne jeden interný hostiteľ, sa zvyčajne pozerá na smerovanie, pravidlo firewallu alebo chýbajúcu spätnú cestu.

Pri spravovanej službe použite usporiadanie rozhraní, ktoré určuje profil operátora, pretože serverová strana je už okolo neho postavená. Pri súkromnom nasadení vyberte podľa skutočnej požiadavky aplikácie a napíšte dôvod vedľa voľby.

Otázka nie je, ktorá možnosť je silnejšia. Ale ktorú prevádzka naozaj potrebuje.