TAP brez mostu: virtualni segment s usmerjenim vzponskim vodom

TAP preda vmesnike Ethernet operacijskemu sistemu, kar je več zmogljivosti, kot jo potrebuje večina zasnov oddaljenega dostopa, in manj kot most. Jedro ga lahko naslavlja, usmerja skozenj in ga ščiti z požarnim zidom, ne da bi ga priključilo na kateri koli fizični segment. To ureditev je vredno najprej razumeti: izoliran virtualni segment Ethernet, katerega strežnik deluje kot usmerjevalnik proti resničnemu krajevnemu omrežju. Daje vedenje drugega sloja znotraj tunela in običajno posredovanje IP zunaj njega, kar sta dve različni obljubi. Ostalo je gradnja, pot, povratna pot in razveljavitev.

Zgradite izolirani segment

V Linuxu vmesnik sprejme tri ukaze: ustvarite ga, dvignite ga, dajte mu naslov znotraj segmenta, ki ga nameravate. Izberite predpono, ki se ne trči s pisarniškim krajevnim omrežjem, in jo zapišite, ker je trčenje nevidno, dokler se ne odzove gostitelj, ki ne bi smel obstajati.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Nič tukaj ne zahteva mostu in nič ne preprečuje, da bi ga pozneje dodali. Dokumentacija jedra o TUN/TAP opisuje vmesnik sam; članstvo v mostu in politika posredovanja sta ločeni odločitvi, ki ju sprejmete pozneje.

Usmerjajte čez mejo

Omogočite posredovanje, dovolite obe predponi v verigi posredovanja in dodajte pot proti pisarniški predponi z usmerjevalnikom krajevnega omrežja kot naslednjim skokom. Stran VPN nato pošlje promet proti pisarni strežniku kot svoji prehodni postaji, strežnik pa te pakete posreduje kot on sam, ne kot most. Vmesnik TAP z izklopljenim posredovanjem je segment, ki odgovarja lokalno in ne doseže ničesar za seboj, kar je običajno napol dokončano stanje. Pozneje preverite števce vmesnika na obeh straneh, ker naraščajoči števec prejema ob ploskem števcu pošiljanja na strani krajevnega omrežja pomeni padec v verigi posredovanja, ne slabe poti.

Pot in pravilo požarnega zidu napišite kot eno spremembo, ker vsako samo zase ustvari stanje, ki se s strani odjemalca zdi kot okvara usmerjanja.

Odločite o povratni poti

Ali se usmerjevalnik krajevnega omrežja nauči povratne poti do predpone VPN, ali strežnik pretvori izvorne naslove na izhodu. Pretvorba naredi povratno pot trivialno in uniči identiteto izvora, zato bodo dnevnikih cilja kazali naslov strežnika za vsakega odjemalca za njim. Usmerjena predpona ohrani identiteto in zahteva spremembo na opremi, ki je morda ne upravljate.

Izberite namerno in ne glede na to, kaj je hitreje vtipkati. Ena usmerjena predpona je običajno čistejša od pretvorbe, pretvorba pa je običajno boljša od učenja neupravljanega usmerjevalnika nove predpone zaradi enega laboratorija.

Obseg oddajanja ohranjajte namerno

Znotraj virtualnega segmenta se DHCP, odkrivanje in objavljanje sosedov vedejo kot na stikalu, ker je to ena povezava. Čez usmerjeno mejo tega ne počnejo, zato pisarniški DHCP in odkrivanje storitev potrebujeta izrecno zasnovo, ne pa predpostavke, da TAP vključuje oboje. Vrsta vmesnika ni posrednik za storitve, ki živijo drugje.

To je pošten razlog, da TAP sploh izberete: nekaj na virtualnem segmentu potrebuje vedenje, lokalno za povezavo. Če nič tega ne potrebuje, je naprava TUN z usmerjeno predpono manjša in ob okvari je manj za pojasniti.

Preverite in nato napišite razveljavitev

Z odjemalca VPN pingajte usmerjevalnik krajevnega omrežja, pingajte gostitelja in odprite eno pomembno storitev prek TCP. Nato preverite števce in verigo posredovanja, ker padec zaradi politike od daleč izgleda natanko kot manjkajoča pot. Razveljavitev je nasprotje gradnje in spada v zapis sprememb pred začetkom: odstranite pot, odstranite naslov, izbrišite vmesnik.

Če je zahteva res en segment Ethernet čez dve lokaciji, je most pošten odgovor in drugačna zasnova z drugačnim polmerom vpliva. Če je zahteva dosegljivost, izolirani segment z usmerjenim vzponskim vodom opravi delo z manj poznejšega pojasnjevanja.