Izoliran most TAP med dvema ploščama prek OpenVPN

Dve razvojni plošči morata deliti en segment Ethernet, medtem ko njuni delovni mizi stojita v različnih stavbah. Tunel že obstaja in že prenaša Ethernet, zato je preostalo delo videti kot tri ukazi in ni. Kaj gostitelj naredi z okvirom, ki je šel čez most, kam spada lastni naslov računalnika in katero mejo most ne ustvari, so tri ločena dejstva, in napaka v drugem je običajen razlog, da laboratorij deluje s presledki in da njegov dostop za upravljanje tiho peša. Nobeno od teh treh dejstev ni vidno na diagramu topologije.

Spodnja pot predpostavlja overjeno povezavo TAP med dvema računalnikoma Linux, eno namensko žično vrata na delovno mizo in vmesnik za upravljanje, ki ni del poskusa. Vrstni red je pomemben: najprej okviri, nato naslovi, nazadnje meja.

Kaj most v resnici premika

Most je stikalo, izvedeno v programski opremi. Nauči se, kateri naslov MAC se pojavi za katerimi članskimi vrati, in posreduje okvire med člani, ne da bi se posvetoval s tabelo usmerjanja IP. Nič v tem opisu ne vključuje podomrežja, prehoda ali privzete poti, zato omogočanje posredovanja IP ne ustvari te povezave in zato lahko ping uspe, medtem ko drug promet še vedno ne uspe. Plošča lahko doseže partnerja brez kakršne koli nastavljene privzete poti, kar preseneti tiste, ki pričakujejo, da se bo drugi sloj obnašal kot tretji.

Vsak računalnik doda mostu eno žično vrata in napravo TAP v isti most, zato okvir s plošče vstopi v lokalna vrata, se posreduje napravi TAP, prečka tunel, prispe na napravo TAP partnerja in se posreduje na njegovo ploščo. Tunel je članska vrata kot vsaka druga, most pa ne ve in ga ne zanima, da je za njim VPN. Prav ta simetrija naredi primer lahko razumljiv: vsaka stran ima ena vrata, obrnjena v laboratorij, in ena vrata tunela, in nobena stran ni posebna.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Enaka imena na obeh računalnikih so lokalna imena, ne deljeni objekti. Med delovnima mizama je ena pot Ethernet, brez drugega kabla in brez drugega tunela, ki bi zaprl zanko; most, ki vidi isti MAC priti na dveh vratih, bo z veseljem posredoval v krogu.

Naslovite most, ne njegovih članskih vrat

Identiteta računalnika v laboratorijskem segmentu pripada napravi most. Članska vrata ostanejo brez številke, ker so vrata posredujoči član in naslov na njih bi ustvaril drugega, konkurenčnega lastnika istega segmenta. To je popravek, ki ga večina ročno napisanih receptov naredi narobe: naslovijo napravo TAP in most ter se nato sprašujejo, do katerega od obeh partner v resnici doseže.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Partner uporabi isto obliko z drugim naslovom gostitelja, plošče pa vzamejo naslove v istem obsegu z naslovom mostu računalnika kot naslednjim skokom, če ga potrebujejo. Uporabljajte dokumentacijske obsege, dokler se načrt ne uskladi, in obseg rezervirajte, da ne bo v nasprotju s čim, kar pisarna že usmerja. Preden zaženete karkoli od tega, potrdite, da članska vrata ne nosijo preostalega naslova, odjemalca DHCP ali članstva v drugem mostu, in uskladite naslavljanje naprave TAP prek tistega, kar ima konfiguracijo tunela, da naslova pozneje ne obnovi.

Zakaj ena namenska vrata na delovno mizo

Namenska žična vrata so tisto, kar preprečuje, da bi poskus postal sprememba za celo pisarno. Vmesnik za upravljanje nosi SSH, privzeto pot in zunanjo povezavo VPN, in nič od tega ne spada na most, katerega namen je premikanje laboratorijskih okvirov.

Priključitev vmesnika za upravljanje postavi pisarniški LAN eno odločitev o posredovanju stran od razvojne plošče, plošča, ki se na drugem sloju vede slabo, pa je natanko tista vrsta naprave, ki je v tem segmentu ne želite. Vmesnik Wi-Fi je slabši: premostitev brezžičnega vmesnika v infrastrukturnem načinu se ne vede kot premostitev Ethernet, in okvara je zmedena, ne čista.

Držite laboratorijski obseg zunaj vsakega proizvodnega obsega DHCP. Če plošče pozneje potrebujejo dinamično naslavljanje, je en pooblaščen razdeljevalec z enim naborom edina ureditev, ki ostane predvidljiva; običajni usmerjevalniki dveh lokacij, ki odgovarjata v istem segmentu, ustvarjata naslove, ki jih nihče ne zna razložiti.

Meja, ki je most ne ustvari

Premostitev ni usmerjanje in ni tudi izolacija. Okviri, ki gredo čez most, lahko še vedno dosežejo kavlje za filtriranje gostitelja, odvisno od nameščene poti bridge-netfilter, zato je treba dejansko politiko pregledati, ne predpostaviti. Izklop požarnega zidu, ker se je izgubil en okvir, zamenja določeno napako s splošno.

Posredovanje IP med mostom in vsakim vmesnikom za upravljanje ali uplink naj ostane izklopljeno ali pa naj bo izrecno zavrnjeno, in to je ločena kontrola od članstva v mostu. Plošča, ki izbere laboratorijski naslov računalnika za svoj prehod, preverja natanko to: če posredovanje upravljanja uspe, načrtovane meje nikoli ni bilo.

Še dve družini si zaslužita izrecno odločitev. Načrt naslavljanja ne naredi mostu samo IPv4, zato IPv6 in drugi EtherType potrebujejo svoj načrt ali filter. In uspešen ping ne pove nič o tem, ali bodo odkrivalni oddajniki plošče, skupine multicast ali jumbo okviri prešli pot, ker so to različni razredi prometa z različnimi privzetimi vrednostmi.

Nazadnje sta prenos in zaupnost dva različna nakupa. TAP prenaša Ethernet; storitev OpenVPN zagotavlja zaščito okoli njega. Prekrivni sloj VXLAN tudi prenaša Ethernet in sam po sebi ne zagotavlja zaupnosti, zato zamenjava enega z drugim spremeni varnostne lastnosti, tudi ko je diagram topologije videti enak.

Trajnost in testi, ki jo dokazujejo

Ukaz, vpisan enkrat po povezavi, ni konfiguracija. Naredite trajne most, članstvo vrat in edini naslov gostitelja prek obstoječega upravitelja omrežja računalnika, in povežite priklop s pojavom naprave TAP, da ponovna povezava ne pusti mostu z izginulim članom.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Nato preizkusite, kaj plošče v resnici potrebujejo v obe smeri, znova povežite tunel in znova zaženite en računalnik po odobrenem načrtu obnovitve. Nato potrdite tri stvari: dostop za upravljanje še vedno deluje neodvisno, ne pojavi se podvojen laboratorijski naslov in noben nepričakovan proizvodni vmesnik se ni pridružil mostu. Ta kombinacija je dokaz, da je poskus ostal znotraj svoje delovne mize.