TAP bez mosta: virtuálny segment s routovaným vzostupným spojom

TAP odovzdáva Ethernet rámce operačnému systému, čo je viac schopností, než potrebuje väčšina návrhov vzdialeného prístupu, a menej než most. Jadro mu môže prideliť adresu, routovať cez neho a chrániť ho firewallom bez toho, aby ho pripojilo k akémukoľvek fyzickému segmentu. Toto usporiadanie stojí za to pochopiť najprv: izolovaný virtuálny Ethernet segment, ktorého server vystupuje ako router smerom k skutočnej LAN. Vo vnútri tunela dáva správanie druhej vrstvy a zvonku obyčajné IP preposielanie, čo sú dva rôzne sľuby. Zvyšok je stavba, trasa, spätná cesta a návrat.

Postavte izolovaný segment

V Linuxe rozhranie prijíma tri príkazy: vytvorte ho, zdvihnite ho, dajte mu adresu vnútri segmentu, ktorý zamýšľate. Vyberte prefix, ktorý nekoliduje s kancelárskou LAN, a zapíšte si ho, pretože kolízia je neviditeľná, kým neodpovie hostiteľ, ktorý by nemal existovať.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Nič tu nevyžaduje most a nič nebráni tomu pridať ho neskôr. Dokumentácia jadra k TUN/TAP opisuje samotné rozhranie; členstvo v moste a politika preposielania sú samostatné rozhodnutia, ktoré robíte potom.

Routujte cez hranicu

Zapnite preposielanie, povoľte dva prefixy v reťazci preposielania a pridajte trasu ku kancelárskemu prefixu s routerom LAN ako ďalším skokom. Strana VPN potom posiela prevádzku smerujúcu do kancelárie na server ako na svoju bránu a server tieto pakety preposiela ako on sám, nie ako most. Rozhranie TAP s vypnutým preposielaním je segment, ktorý odpovedá lokálne a nič za sebou nedosiahne, čo je obvyklý napoly hotový stav. Potom skontrolujte čítače rozhrania na oboch stranách, pretože rastúci čítač príjmu pri plochom čítači odosielania na strane LAN znamená pokles v reťazci preposielania, nie zlú trasu.

Napíšte trasu a pravidlo firewallu ako jednu zmenu, pretože každé samo o sebe vytvára stav, ktorý zo strany klienta vyzerá ako zlyhanie routovania.

Rozhodnite spätnú cestu

Buď sa router LAN naučí trasu späť k prefixu VPN, alebo server prekladá zdrojové adresy na ceste von. Preklad robí spätnú cestu triviálnou a ničí identitu zdroja, takže protokoly cieľa budú pri každom klientovi za ním ukazovať adresu servera. Routovaný prefix zachováva identitu a vyžaduje zmenu na zariadení, ktoré možno nespravujete.

Vyberte zámerne, nie podľa toho, čo je rýchlejšie napísať. Jeden routovaný prefix je zvyčajne čistejší než preklad a preklad je zvyčajne lepší než učiť nespravovaný router novému prefixu kvôli jednému laboratóriu.

Rozsah vysielania držte zámerný

Vnútri virtuálneho segmentu sa DHCP, objavovanie a oznamovanie susedov správajú ako na prepínači, pretože je to jedno spojenie. Cez routovanú hranicu to nerobia, takže kancelársky DHCP a objavovanie služieb potrebujú výslovný návrh, nie predpoklad, že TAP ich zahŕňa. Typ rozhrania nie je prenášačom pre služby, ktoré žijú inde.

To je poctivý dôvod, prečo vôbec zvoliť TAP: niečo na virtuálnom segmente potrebuje správanie lokálne pre spojenie. Ak nič nepotrebuje, zariadenie TUN s routovaným prefixom je menšie a pri poruche je menej čo vysvetľovať.

Overte a potom napíšte návrat

Z klienta VPN pingnite router LAN, pingnite hostiteľa a otvorte jednu dôležitú službu cez TCP. Potom skontrolujte čítače a reťazec preposielania, pretože pokles podľa politiky z diaľky vyzerá presne ako chýbajúca trasa. Návrat je opakom stavby a patrí do záznamu zmien ešte pred začiatkom: odoberte trasu, odoberte adresu, zmažte rozhranie.

Ak je požiadavkou skutočne jeden Ethernet segment cez dve lokality, most je poctivá odpoveď a iný návrh s iným polomerom dopadu. Ak je požiadavkou dostupnosť, izolovaný segment s routovaným vzostupným spojom prácu zvládne s menej vysvetľovaním neskôr.