En strežnik TAP ali več? Odjemalci OpenVPN na mostu

Več odjemalcev TAP ne potrebuje po enega strežniškega procesa, ena vrata UDP in eno napravo TAP na gostitelju za vsakega. En strežnik OpenVPN v načinu Ethernet lahko sprejme veliko overjenih odjemalcev in jih pripne na en sam most, in to je dokumentirani način razširitve segmenta plasti 2. Zasnova z enim procesom je tista, ki jo dokumentira priročnik, in je običajno prava privzeta nastavitev.

Pravo vprašanje je, ali naj si ti odjemalci delijo ta segment. Število procesov na to ne odgovori, ker lastnosti izolacije izhajajo iz topologije in ne iz tega, koliko demonov teče. Preostanek te primerjave govori o obeh topologijah in o tem, kaj vsaka olajša.

Dve arhitekturi, ne dve nastavitvi

Namestitev z usmerjenim TUN da vsakemu odjemalcu povezavo od točke do točke v usmerjevalno domeno strežnika. Razširjanja se ustavijo na strežniku, odjemalci ne vidijo okvirov drug drugega, promet med odjemalci, če obstaja, pa je treba izrecno usmerjati in filtrirati.

Namestitev z mostovnim TAP naredi odjemalce člane enega segmenta Ethernet. Vidijo razširjanja, se lahko medsebojno najdejo z ARP in so za ločenost odvisni od politike mostu in požarnega zidu namesto od usmerjanja. To je uporabno, ko se morajo odjemalci prikazati, kot da so priključeni na isto stikalo.

Primerjava je torej o tem, do česa morajo odjemalci priti, ne o zmogljivosti. Najprej izberite plast, nato odločite, koliko procesov jo oskrbuje.

Kaj počne pomočnik server-bridge

Pomočnik server-bridge nastavi način Ethernet za več odjemalcev. Njegova oblika z naborom naslovov sprejme prehod, omrežno masko in namensko območje znotraj mostovne podomrežja, na primer prehod na 192.168.50.1 z naborom od 192.168.50.160 do 192.168.50.199.

To območje rezervirajte zunaj vsake druge dodelitve DHCP ali statične dodelitve. Pomočnik iz njega dodeljuje naslove, vendar se ne usklajuje z drugim dodeljevalnikom v istem segmentu, in dva prekrivajoča se nabora ustvarita podvojene naslove, ki izgledajo kot naključne okvare povezljivosti. Rezervirano območje zapišite v naslovni načrt lokacije, da ga naslednja oseba ne bo znova uporabila. Komentar v konfiguraciji strežnika je slaba zamenjava za to evidenco.

Za namestitve, kjer naslove dodeljuje zunanji strežnik, obstaja oblika s posrednikom DHCP. Ima svoje predpogoje, in mešanje obeh oblik ustvari točno tisti konflikt, pred katerim opozarja dokumentacija. Za mostovno podomrežje izberite enega dodeljevalnika.

Izolacija ne izhaja iz števila procesov

Osem procesov OpenVPN, pripetih na isti neomejeni most, si še vedno deli eno območje razširjanja. Odjemalci lahko pošiljajo ARP drug drugemu prek mostu, in število poslušalcev pri tem ni spremenilo ničesar.

Če je zahteva, da skupine odjemalcev ne vidijo druga druge na plasti 2, potrebuje zasnova ločene mostove ali priklope VLAN skupaj s pripadajočimi pravili dostopa. To je odločitev o zasnovi omrežja in je enaka ne glede na to, ali sodeluje en strežniški proces ali osem. Filtriranje mostu lahko omeji del prometa, a ne ustvari ločenih območij razširjanja. Obravnavajte ga kot dopolnilo segmentaciji, ne kot nadomestilo zanjo.

Če je zahteva le, da odjemalci dosežejo določene storitve IP, je zasnova z usmerjenim TUN običajno preprostejša od mostovnega povezovanja s filtriranjem. Vsak odjemalec dobi svojo povezavo, politika pa živi v pravilih usmerjanja in požarnega zidu namesto znotraj mostu.

Kdaj je več procesov vseeno prav

Ločene procese je mogoče upravičiti z obratovalnimi potrebami: različne zaledne sisteme overjanja, različne organe za izdajo potrdil, ločene cikle nadgradnje ali nezdružljive nabore možnosti. To so resnični razlogi in niso odvisni od števila odjemalcev.

Če jih uporabljate več, vsakemu dajte svojega poslušalca in lastništvo naprave ter uskladite naslovna območja. Dva strežnika, ki oba menita, da imata isti nabor na istem mostu, bosta prej ali slej dodelila isti naslov.

Nato preverite zasnovo z več odjemalci hkrati. Preverite, da so naslovi edinstveni, da predvideni promet med odjemalci deluje in da par, ki ne sme komunicirati, tega ne more. Uspešen ping enega odjemalca ne preizkusi ničesar iz zasnove za več odjemalcev.

Preberite most in način strežnika z delujočega gostitelja, preden zaupate diagramu. Konfiguracija, ki šteje, je tista, ki sta jo jedro in demon dejansko naložila, in prav to lahko preveri recenzent.