Urë TAP e izoluar mes dy bordeve përmes OpenVPN

Dy borde zhvillimi duhet të ndajnë një segment të vetëm Ethernet ndërsa stolat e tyre ndodhen në ndërtesa të ndryshme. Tuneli ekziston tashmë dhe tashmë transporton Ethernet, prandaj puna e mbetur duket si tre komanda dhe nuk është. Çfarë bën hosti me një kuadër të urëzuar, ku i përket adresa e vetë kompjuterit dhe çfarë kufiri nuk krijon ura janë tre fakte të veçanta, dhe gabimi në të dytin është arsyeja e zakonshme pse një laborator punon me ndërprerje dhe aksesi i tij administrativ degradon në heshtje. Asnjë nga këto tre fakte nuk është i dukshëm në një diagram topologjie.

Rruga më poshtë supozon një lidhje TAP të vërtetuar midis dy kompjuterëve Linux, një port me tel të dedikuar për stol dhe një ndërfaqe administrimi që nuk është pjesë e eksperimentit. Rendi ka rëndësi: së pari kuadrot, pastaj adresat, në fund kufiri.

Çfarë lëviz në të vërtetë ura

Ura është një komutator i implementuar në softuer. Mëson se cila adresë MAC shfaqet pas cilit port anëtar dhe përçon kuadrot midis anëtarëve pa konsultuar një tabelë rrugëtimi IP. Asgjë në atë përshkrim nuk përfshin një nënrrjet, një portë ose një rrugë të parazgjedhur, prandaj aktivizimi i përçimit IP nuk e krijon këtë lidhje dhe prandaj një ping mund të ketë sukses ndërsa trafiku tjetër vazhdon të dështojë. Një bord mund të arrijë partnerin e tij pa asnjë rrugë të parazgjedhur të konfiguruar, gjë që i befason ata që presin që shtresa dy të sillet si shtresa tre.

Çdo kompjuter kontribuon një port me tel në urë dhe pajisjen TAP në të njëjtën urë, kështu që një kuadër nga një bord hyn në portin lokal, përçohet në pajisjen TAP, kalon tunnelin, arrin në pajisjen TAP të partnerit dhe përçohet në bordin e partnerit. Tuneli është një port anëtar si çdo tjetër, dhe ura nuk e di dhe nuk i intereson që pas tij qëndron një VPN. Pikërisht kjo simetri e bën shembullin të lehtë për t'u arsyetuar: secila anë ka një port të kthyer nga laboratori dhe një port tuneli, dhe asnjë anë nuk është e veçantë.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Emrat identikë në të dy kompjuterët janë emra lokalë, jo objekte të përbashkëta. Midis stolave ka një rrugë të vetme Ethernet, pa një kabllo të dytë dhe pa një tunel të dytë që mbyll një lak; një urë që sheh të njëjtin MAC duke ardhur në dy porte do të përçojë me kënaqësi në rrathë.

Adresoni urën, jo portet e saj anëtare

Identiteti i kompjuterit në segmentin e laboratorit i përket pajisjes urë. Portet anëtare mbeten pa numër, sepse një port është një anëtar përçues dhe një adresë mbi të do të krijonte një pronar të dytë konkurrues të të njëjtit segment. Ky është korrigjimi që shumica e recetave të bëra me dorë e gabojnë: ato adresojnë pajisjen TAP dhe urën, dhe pastaj pyesin se cilën prej tyre partneri arrin në të vërtetë.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Partneri përdor të njëjtën formë me një adresë tjetër hosti, dhe bordet marrin adresa në të njëjtin interval duke përdorur adresën e urës së kompjuterit si kërcimin e tyre të radhës nëse i duhet një. Përdorni intervale dokumentacioni derisa plani të bihet dakord, dhe rezervoni intervalin që të mos përplaset me asgjë që zyra tashmë rrugëton. Përpara se të ekzekutoni ndonjë pjesë, konfirmoni që portet anëtare nuk mbajnë asnjë adresë të mbetur, asnjë klient DHCP dhe asnjë anëtarësi në një urë tjetër, dhe harmonizoni adresimin e pajisjes TAP përmes asaj që zotëron konfigurimin e tunelit që të mos rivendosë një adresë më vonë.

Pse një port i dedikuar për stol

Një port me tel i dedikuar është ai që e pengon eksperimentin të bëhet një ndryshim për të gjithë zyrën. Ndërfaqja e administrimit mbart SSH, rrugën e parazgjedhur dhe lidhjen e jashtme VPN, dhe asgjë nga këto nuk i përket një ure qëllimi i së cilës është të lëvizë kuadro laboratori.

Lidhja e një përshtatësi administrimi e vendos LAN-in e zyrës një vendim përçimi larg një bordi zhvillimi, dhe një bord që sillet keq në shtresën dy është pikërisht lloji i pajisjes që nuk e dëshironi në atë segment. Një përshtatës Wi-Fi është më keq: urëzimi i një ndërfaqeje pa tel në modalitetin infrastrukturë nuk sillet si urëzimi i Ethernet, dhe dështimi është konfuz në vend të pastër.

Mbani intervalin e laboratorit jashtë çdo game DHCP prodhimi. Nëse bordeve u duhet më vonë adresim dinamik, një shpërndarës i autorizuar me një pishinë është rregullimi i vetëm që mbetet i parashikueshëm; ruterat e zakonshëm të dy vendeve që përgjigjen në të njëjtin segment prodhojnë adresa që askush nuk mund t'i shpjegojë.

Kufiri që ura nuk e krijon

Urëzimi nuk është rrugëtim, dhe as nuk është izolim. Kuadrot që kalojnë urën mund të arrijnë ende në grepat e filtrimit të hostit, në varësi të rrugës bridge-netfilter të instaluar, prandaj politika efektive duhet të inspektohet dhe jo të supozohet. Çaktivizimi i firewall-it sepse humbi një kuadër e shkëmben një gabim specifik me një të përgjithshëm.

Përçimi IP midis urës dhe çdo ndërfaqeje administrimi ose uplink duhet të mbetet i fikur ose të refuzohet në mënyrë eksplicite, dhe ky është një kontroll i veçantë nga anëtarësia në urë. Një bord që zgjedh adresën e laboratorit të kompjuterit si portën e tij të hyrjes teston pikërisht këtë: nëse tranziti i administrimit ka sukses, kufiri që kishit ndërmend nuk ka ekzistuar kurrë.

Dy familje të tjera meritojnë një vendim eksplicit. Plani i adresimit nuk e bën urën vetëm IPv4, prandaj IPv6 dhe EtherType-t e tjera kanë nevojë për planin ose filtrin e tyre. Dhe një ping i suksesshëm nuk thotë asgjë nëse transmetimet e zbulimit të bordit, grupet multicast ose kuadrot jumbo do ta kalojnë rrugën, sepse ato janë klasa trafiku të ndryshme me vlera të parazgjedhura të ndryshme.

Më në fund, transporti dhe konfidencialiteti janë dy blerje të ndryshme. TAP mbart Ethernet; shërbimi OpenVPN siguron mbrojtjen rreth tij. Një shtresë VXLAN gjithashtu mbart Ethernet dhe nuk siguron konfidencialitet në vetvete, prandaj zëvendësimi i njërës me tjetrën ndryshon vetitë e sigurisë edhe kur diagrami i topologjisë duket identik.

Qëndrueshmëria dhe testet që e provojnë atë

Një komandë e shtypur një herë pas lidhjes nuk është konfigurim. Bëni të qëndrueshme urën, anëtarësinë e porteve dhe adresën e vetme të hostit përmes menaxherit ekzistues të rrjetit të kompjuterit, dhe lidhni lidhjen me shfaqjen e pajisjes TAP që një rilidhje të mos lërë një urë me një anëtar të zhdukur.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Pastaj provoni çfarë u duhet vërtet bordeve në të dy drejtimet, rilidhni tunnelin dhe rinisni një kompjuter sipas planit të miratuar të rikuperimit. Konfirmoni tre gjëra më pas: aksesi i administrimit vazhdon të punojë në mënyrë të pavarur, nuk shfaqet asnjë adresë laboratori e dyfishuar dhe asnjë ndërfaqe prodhimi e papritur nuk iu bashkua urës. Pikërisht ky kombinim është prova që eksperimenti mbeti brenda stolit të tij.