Buur TAP go'doonsan oo u dhexeeya laba board iyada oo loo marayo OpenVPN

Laba board oo horumarineed waa in ay wadaagaan hal qayb Ethernet halka shaybaarkooda ay ku yaalliin dhismayaal kala duwan. Tunnel-ku horey ayuu u jiray oo horey ayuu u qaadaa Ethernet, sidaas darteed shaqada hadhay waxay u egtahay saddex amarro mana aha. Waxa martidu ku sameyso frame la buurey, halka cinwaanka kombiyuutarka laftiisu ku habboon yahay, iyo xadka buurtu aanay abuurin waa saddex xaqiiqo oo kala duwan, khaladka labaadna waa sababta caadiga ah ee shaybaarku u shaqeeyo si isdaba-joog ah oo gelitaanka maamulkiisu si aamusnaan ah u xumaado. Midkoodna saddexdan xaqiiqooyin kama muuqdo jaantuska topolojiga.

Jidka hoose wuxuu u malaynayaa xiriir TAP la xaqiijiyay oo u dhexeeya laba kombiyuutar Linux, hal deked fiilo oo u gaar ah shaybaar kasta, iyo interface maamul oo aan qayb ka ahayn tijaabada. Nidaamka ayaa muhiim ah: marka hore frames, ka dib cinwaanno, ugu dambayn xadka.

Waxa buurtu dhab ahaan dhaqaajiso

Buur waa switch lagu hirgeliyay software. Waxay barataa cinwaanka MAC ee ka muuqda gadaasha deked xubnaha, waxayna u gudbisaa frames-ka udhaxeeya xubnaha iyada oo aan la tashan table-ka routing IP. Waxba ku jira sharaxaaddaas ma ku jiraan subnetwork, gateway ama waddo caadi ah, taasaa sababta u ah in daaranaynta gudbinta IP aanay abuurin xiriirkan iyo in ping u guulaysto halka taraafikada kale wali guuldareysato. Board-ku wuxuu gaari karaa saaxiibkiis isagoo aan lahayn waddo caadi ah oo la habeeyay, taas oo layaab ku abuurta dadka filaya in lakabka labaad u dhaqmo sida lakabka saddexaad.

Kombiyuutar kastaa wuxuu buurta siiyaa hal deked fiilo iyo aaladda TAP isla buurtaas, sidaas darteed frame ka yimaada board wuxuu galayaa dekedda gudaha, waxaa loo gudbiyaa aaladda TAP, wuxuu gudbaa tunnel-ka, wuxuu gaaraa aaladda TAP ee saaxiibka, waxaana loo gudbiyaa board-ka saaxiibka. Tunnel-ku waa deked xubin sida mid kasta oo kale, buurtuna ma taqaan mana danaynayso in VPN uu gadaasheeda jiro. Isku-dheellitirkaas ayaa tusaalaha ka dhigaya mid fudud in laga fikiro: dhinac kastaa wuxuu leeyahay hal deked oo u jeedda sheybaarka iyo hal deked tunnel, mana jiro dhinac gaar ah.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Magacyada isku midka ah ee labada kombiyuutar waa magacyo gudaha, ma aha waxyaabo la wadaago. Shaybaarradu waxay udhaxeeya laba jid Ethernet, iyada oo aan lahayn fiilo labaad iyo tunnel labaad oo wareeg xidha; buur aragta isla MAC oo yimaadda laba dekedood ayaa si farxad leh u gudbin doonta wareegyo.

Cinwaan u dhig buurta, ma aha dekedaha xubnaheeda

Aqoonsiga kombiyuutarka qaybta sheybaarka waxaa leh aaladda buurta. Dekedaha xubnaha waxay ahaanayaan kuwa aan lambar lahayn, sababtoo ah dekeddu waa xubin gudbinaysa oo cinwaan korkeeda wuxuu abuuri lahaa milkiile labaad oo tartan ku jira isla qaybta. Tani waa sixitaanka inta badan resept-yada gacanta lagu qoray ay khaldamaan: waxay cinwaan siiyaan aaladda TAP iyo buurta labadaba, ka dibna waxay isweydiiyaan kee baa saaxiibku dhab ahaan gaaro.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Saaxiibku wuxuu isticmaalaa isla qaabka cinwaan marti kale, board-yaduna waxay qaataan cinwaanno isla xadkaas iyagoo isticmaalaya cinwaanka buurta kombiyuutarka sida boodhka xiga haddii ay u baahan yihiin. Isticmaal xadadka dukumeentiga ilaa qorshaha la isku raaco, oo kaydi xadka si uusan ula kulmin wax kasta oo xafiisku horey u wado. Ka hor inta aanad midkoodna socodsiiin, xaqiiji in dekedaha xubnaha aanay qaadin cinwaan hadhay, macmiil DHCP iyo xubin ahaansho buur kale, oo isku dubbarid adress-ka aaladda TAP iyada oo loo marayo waxa leh habaynta tunnel-ka si aanay cinwaan dambe u soo celin.

Sababta hal deked u gaar ah shaybaar kasta

Deked fiilo oo u gaar ah ayaa ka hortagta in tijaabadu noqoto isbeddel xafiiska oo dhan. Interface maamulku wuxuu qaadaa SSH, waddada caadiga ah iyo xiriirka VPN dibadda, midkoodna kama tirsana buur ujeeddadeedu tahay dhaqaajinta frames-ka sheybaarka.

Ku xidhida adapter maamul waxay LAN-ka xafiiska dhigtaa hal go'aan gudbin oo ka fog board horumarineed, board-ka si xun u dhaqma lakabka labaadna waa nooca aaladda aad aan ka rabin qaybtaas. Adapter Wi-Fi ayaa ka sii xun: buur-ka interface wireless oo ku jira habka kaabayaasha uma dhaqmo sida buur-ka Ethernet, guuldaraduna waa jahawareer ma aha nadiif.

Ka fogee xadka sheybaarka goob kasta oo DHCP wax soo saar ah. Hadii board-yadu dambe u baahdaan cinwaan dynamic, hal qaybiye loo fasaxay oo leh hal barkad ayaa ah nidaamka kaliya ee saadaalin kara; router-yada caadiga ah ee laba goobood oo ka jawaaba isla qaybta waxay soo saaraan cinwaanno aan cidina sharxi karin.

Xadka aanay buurtu abuurin

Buur-ku ma aha routing, mana aha go'doomin. Frames-ka gudba buurta weli waxay gaari karaan qabatooyinka shaandhaynta martida, iyadoo ku xiran jidka bridge-netfilter ee la rakibay, sidaas darteed siyaasadda wax ku oolka ah waa in la baaro aan la malayn. Daminta firewall-ka sababtoo ah hal frame ayaa lumay waxay beddelaa khalad gaar ah mid guud.

Gudbinta IP ee u dhexeeya buurta iyo interface kasta oo maamul ama uplink waa in ay sii ahaato mid damsan ama si cad loo diido, taasna waa kontorool ka duwan xubin ahaanshaha buurta. Board-ka doorta cinwaanka sheybaarka kombiyuutarka sida gateway-kiisa wuxuu tijaabiyaa si sax ah tan: haddii gudbinta maamulku guulaysto, xadka aad uga hadlayay marnaba ma jirin.

Laba qoys oo kale ayaa mudan go'aan cad. Qorshaha cinwaanku buurta kama dhigayo IPv4 oo kaliya, sidaas darteed IPv6 iyo EtherType-yada kale waxay u baahan yihiin qorshahooda ama shaandhahooda. Iyo ping guulaystay waxba kama sheegayo in faafinta ogaanshaha board-ka, kooxaha multicast ama frames-ka jumbo ay gudbi doonaan jidka, sababtoo ah kuwaasi waa fasallo taraafik oo kala duwan oo leh caadiyo kala duwan.

Ugu dambayn, gaadiidka iyo sirta waa laba iib oo kala duwan. TAP waxay qaadaa Ethernet; adeegga OpenVPN wuxuu bixiyaa ilaalinta ku wareegsan. VXLAN dabool ayaa sidoo kale qaada Ethernet mana bixiyo sir keli ahaantiisa, sidaas darteed mid ka mid ah beddelka kale wuxuu beddelaa sifooyinka amniga xitaa marka jaantuska topolojigu isku mid u muuqdo.

Joogteynta iyo tijaabooyinka caddeeya

Amar hal mar la qoray ka dib xiriirka ma aha habayn. Joogtee buurta, xubin ahaanshaha dekedaha iyo cinwaanka martida ee kaliya iyada oo loo marayo maareeyaha shabakadda kombiyuutarka ee jira, oo ku xidh xiriirka soo muuqashada aaladda TAP si dib-u-xiriir uusan uga tagin buur xubin luntay.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Ka dib tijaabi waxa board-yadu dhab ahaan uga baahan yihiin labada jiho, dib u xidh tunnel-ka, oo dib u bilow hal kombiyuutar sida qorshaha soo kabashada ee la ansixiyay. Xaqiiji saddex arrimood ka dib: gelitaanka maamulku weli si madax-banaan ayuu u shaqeeyaa, cinwaan sheybaar labanlaab ma muuqdo, iyo interface wax soo saar ah oo aan la filayn kuma biirin buurta. Isku darkaas ayaa ah caddaynta in tijaabadu ku hartay shaybaarkeeda.