OpenVPN TUN proti TAP: trije pogoji, ki odločijo

Dva tunela lahko prenašata isti prenos datoteke in se vseeno popolnoma razlikujeta v tem, kar položita na žico. Eden premika pakete IP med dvema naslovoma; drugi premika okvire Ethernet in ga je mogoče mostiti v segment. Ta razlika odloča, katere aplikacije delujejo, kateri odjemalci se lahko povežejo in koliko načrtovanja omrežja prevzamete.

V praksi to odločijo trije pogoji. Pojdite skozi njih po vrsti, ker prvi običajno konča razpravo.

Kaj vsak vmesnik dejansko prenaša

Naprava TUN je točka-do-točke vmesnik plasti 3: jedro ji preda pakete IP in tunel jih nese na naslov partnerja. Naprava TAP je vmesnik plasti 2, ki prenaša okvire Ethernet, in prav to sploh omogoča mostenje, kot opisuje dokumentacija jedra. Nobeno ne spreminja načina šifriranja koristne obremenitve in nobeno ni nastavitev moči. Izbira se nanaša na to, kaj si morata konca izmenjati, ne na to, kako dobro je promet zaščiten.

Ena posledica sledi takoj: oba konca se morata strinjati. Odjemalec, nastavljen za eno vrsto naprave, se ne more pridružiti strežniku, nastavljenemu za drugo, ne glede na to, kaj drugega se ujema.

Prvi pogoj: ali kaj potrebuje plast dva?

Mostenje si zasluži svojo zapletenost, ko protokol resnično potrebuje isto domeno razširjanja: promet, ki ni IP, odkrivanje, ki ne more skozi usmerjevalnik, ali aplikacijo, ki vztraja na enem segmentu. Vse drugo je problem usmerjanja, in usmerjanje ga reši z veliko manj strojne opreme. Raztegovanje segmenta na veliko območje raztegne tudi njegovo razširjanje, zato preprečevanje zank, načrtovanje naslovov in domene odpovedi postanejo del zasnove. To je veliko za sprejetje za zahtevo, ki bi jo zadostila ena sama pot.

Preizkus je konkreten: navedite aplikacijo, ki spodleti na usmerjenem tunelu, in povejte zakaj. Če je odgovor, da potrebuje razširjanje, je plast dva pošten odgovor. Če je odgovor, da nekdo ni mogel doseči enega strežnika, je zahteva pot ali pravilo požarnega zidu.

Drugi pogoj: ali odjemalci to zmorejo?

Podpora ni enotna. Namizni odjemalci običajno ponujajo obe vrsti naprav, medtem ko mobilni in vgrajeni odjemalci pogosto izvajajo samo usmerjeni način, in profil, uvožen brez pritožb, lahko vseeno spodleti, ko poskusi ustvariti vmesnik. Preverite konkretnega odjemalca in različico, namesto da bi funkcije sklepali iz imena platforme.

Napaka o nepodprti možnosti ni povabilo k brisanju neznanih vrstic, dokler uvoz ne uspe. Pomeni, da se profil in odjemalec ne strinjata o tem, kaj je mogoče, in popravilo pripada operaterju, ki je profil izdal. Odstranitev možnosti, da bi utišali preverjevalnik, lahko ustvari povezavo, ki se zdi delujoča, a tiho izpusti lastnost, zaradi katere je obstajala.

Tretji pogoj: je to res vprašanje vmesnika?

Za težave z vmesnikom sta kriva dve sosednji izbiri. Navidezna naprava odloča, kaj vstopi v tunel, medtem ko UDP ali TCP odloča, kako se obnaša zunanji transport, in nobeno ne ozdravi prenosov, ki se ustavijo. Ko veliki prenosi visijo, majhni pa uspejo, si pozornost zaslužita velikost paketa in MTU.

Odjemalec, ki se poveže in nato ne doseže enega notranjega gostitelja, običajno gleda usmerjanje, pravilo požarnega zidu ali manjkajočo povratno pot.

Pri upravljani storitvi uporabite razporeditev vmesnikov, ki jo določa operaterjev profil, ker je strežniška stran že zgrajena okoli nje. Pri zasebni namestitvi izberite glede na dejansko zahtevo aplikacije in razlog zapišite ob izbiri.

Vprašanje ni, katera možnost je močnejša. Temveč katero promet resnično potrebuje.