Një server TAP apo disa? Klientët OpenVPN në një urë

Disa klientë TAP nuk kërkojnë një proces serveri, një port UDP dhe një pajisje TAP në host për secilin. Një server OpenVPN në modalitetin Ethernet mund të pranojë shumë klientë të vërtetuar dhe t’i lidhë me një urë të vetme, dhe kjo është mënyra e dokumentuar për të zgjeruar një segment të shtresës 2. Dizajni me një proces është ai që dokumenton manuali, dhe zakonisht është parazgjedhja e saktë.

Pyetja e vërtetë është nëse ata klientë duhet ta ndajnë atë segment. Numri i proceseve nuk i përgjigjet asaj, sepse vetitë e izolimit vijnë nga topologjia dhe jo nga sa demonë po ekzekutohen. Pjesa tjetër e këtij krahasimi ka të bëjë me dy topologjitë dhe me atë që lehtëson secila.

Dy arkitektura, jo dy cilësime

Një vendosje TUN e rrugëzuar i jep secilit klient një lidhje pikë-për-pikë në domenin e rrugëzimit të serverit. Transmetimet ndalen te serveri, klientët nuk mund të shohin kornizat e njëri-tjetrit, dhe trafiku midis klientëve, nëse ka, duhet të rrugëzohet dhe të filtrohet në mënyrë eksplicite.

Një vendosje TAP e urëzuar i bën klientët anëtarë të një segmenti Ethernet. Ata shohin transmetimet, mund të gjejnë njëri-tjetrin me ARP dhe për t’u mbajtur të ndarë mbështeten te politika e urës dhe e murit të zjarrit në vend të rrugëzimit. Kjo është e dobishme kur klientët duhet të duken sikur janë të lidhur në të njëjtin komutator.

Krahasimi, pra, ka të bëjë me atë që klientët duhet të arrijnë, jo me performancën. Zgjidhni fillimisht shtresën, pastaj vendosni sa procese e shërbejnë atë.

Çfarë bën ndihmësi server-bridge

Ndihmësi server-bridge konfiguron modalitetin Ethernet me shumë klientë. Forma e tij me grup adresash merr portën hyrëse, maskën e rrjetit dhe një interval të dedikuar brenda nënrrjetit të urëzuar, për shembull një portë hyrëse në 192.168.50.1 me një grup nga 192.168.50.160 deri në 192.168.50.199.

Rezervojeni atë interval jashtë çdo caktimi tjetër DHCP ose statik. Ndihmësi ndan adresa prej tij, por nuk koordinohet me një shpërndarës tjetër në të njëjtin segment, dhe dy grupe që mbivendosen prodhojnë adresa të dyfishta që duken si dështime të rastësishme lidhjeje. Shkruajeni intervalin e rezervuar në planin e adresave të vendit që personi tjetër të mos e ripërdorë. Një koment në konfigurimin e serverit është zëvendësim i dobët për atë regjistrim.

Ekziston një formë me përfaqësues DHCP për vendosjet ku një server i jashtëm shpërndan adresat. Ajo ka parakushtet e veta, dhe përzierja e dy formave prodhon pikërisht konfliktin për të cilin paralajmëron dokumentacioni. Zgjidhni një shpërndarës për nënrrjetin e urëzuar.

Izolimi nuk vjen nga numri i proceseve

Tetë procese OpenVPN të lidhur me të njëjtën urë të pakufizuar ndajnë ende një domen transmetimi. Klientët mund të dërgojnë ARP për njëri-tjetrin përmes urës, dhe numri i dëgjuesve nuk ndryshoi asgjë në këtë.

Nëse kërkesa është që grupet e klientëve të mos shohin njëri-tjetrin në shtresën 2, dizajni ka nevojë për ura të veçanta ose lidhje VLAN, së bashku me rregullat e aksesit që i shoqërojnë. Ky është një vendim i projektimit të rrjetit, dhe është i njëjti vendim nëse përfshihet një proces serveri apo tetë. Filtrimi i urës mund të kufizojë një pjesë të trafikut, por nuk krijon domene transmetimi të veçanta. Trajtojeni si suplement të segmentimit, jo si zëvendësim të tij.

Nëse kërkesa është vetëm që klientët të arrijnë disa shërbime IP, një dizajn TUN i rrugëzuar është zakonisht më i thjeshtë sesa ura plus filtrim. Secili klient merr lidhjen e vet, dhe politika jeton në rregullat e rrugëzimit dhe të murit të zjarrit në vend të brendësisë së urës.

Kur disa procese janë ende të sakta

Proceset e veçanta mund të justifikohen nga nevoja operative: sisteme të ndryshme vërtetimi, autoritete të ndryshme certifikatash, cikle të veçanta përditësimi ose grupe opsionesh të papajtueshme. Këto janë arsye reale dhe janë të pavarura nga numri i klientëve.

Nëse përdorni disa, jepini secilit dëgjuesin dhe pronësinë e pajisjes së vet, dhe koordinoni intervalet e adresave. Dy serverë që të dy mendojnë se zotërojnë të njëjtin grup në të njëjtën urë do të japin përfundimisht të njëjtën adresë.

Pastaj verifikoni dizajnin me disa klientë njëkohësisht. Kontrolloni që adresat janë unike, që trafiku i synuar midis klientëve funksionon dhe që një çift që nuk duhet të komunikojë nuk mund ta bëjë. Një ping i suksesshëm i një klienti të vetëm nuk provon asgjë nga dizajni me shumë klientë.

Lexoni urën dhe modalitetin e serverit nga hosti që po ekzekutohet përpara se t’i besoni diagramit. Konfigurimi që ka rëndësi është ai që bërthama dhe demoni ngarkuan në të vërtetë, dhe është gjithashtu ai që një recensent mund të kontrollojë.