TAP pa urë: një segment virtual me një lidhje të sipërme të rrugëtuar

TAP i dorëzon kuadrot Ethernet sistemit operativ, që është më shumë aftësi sesa u nevojitet shumicës së projekteve të aksesit në distancë dhe më pak sesa një urë. Bërthama mund t’i japë adresë, të rrugëtojë përmes tij dhe ta mbrojë me një mur zjarri pa e lidhur me asnjë segment fizik. Vlen të kuptohet së pari kjo rregullim: një segment Ethernet virtual i izoluar, serveri i të cilit vepron si rrugëtues drejt një LAN-i të vërtetë. Ai jep sjellje të shtresës së dytë brenda tunelit dhe përcjellje IP të zakonshme jashtë tij, që janë dy premtime të ndryshme. Pjesa tjetër është ndërtimi, rruga, rruga e kthimit dhe kthimi prapa.

Ndërtoni segmentin e izoluar

Në Linux ndërfaqja merr tre komanda: krijoni atë, ngrijeni atë, jepini një adresë brenda segmentit që synoni. Zgjidhni një prefiks që nuk përplaset me LAN-in e zyrës dhe shkruajeni, sepse përplasja është e padukshme derisa përgjigjet një host që nuk duhet të ekzistojë.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Asgjë këtu nuk kërkon një urë, dhe asgjë nuk pengon shtimin e njërës më vonë. Dokumentacioni i bërthamës për TUN/TAP përshkruan vetë ndërfaqen; anëtarësimi në urë dhe politika e përcjelljes janë vendime të veçanta që merrni më pas.

Rrugëtoni përtej kufirit

Aktivizoni përcjelljen, lejoni dy prefikset në zinxhirin e përcjelljes dhe shtoni një rrugë drejt prefiksit të zyrës me rrugëtuesin e LAN-it si hopin e radhës. Pastaj ana VPN e dërgon trafikun drejt zyrës te serveri si porta e tij e daljes, dhe serveri i përcjell ato pako si vetvetja, jo si urë. Një ndërfaqe TAP me përcjelljen e çaktivizuar është një segment që përgjigjet lokalisht dhe nuk arrin asgjë përtej tij, që është gjendja e zakonshme gjysmë e përfunduar. Më pas kontrolloni numëruesit e ndërfaqes në të dyja anët, sepse një numërues pritjeje në rritje me një numërues dërgimi të sheshtë në anën e LAN-it do të thotë një rënie në zinxhirin e përcjelljes, jo një rrugë e keqe.

Shkruani rrugën dhe rregullin e murit të zjarrit si një ndryshim të vetëm, sepse secili vetëm krijon një gjendje që nga ana e klientit duket si dështim rrugëtimi.

Vendosni rrugën e kthimit

Ose rrugëtuesi i LAN-it mëson një rrugë kthimi drejt prefiksit VPN, ose serveri përkthen adresat e burimit në dalje. Përkthimi e bën rrugën e kthimit të parëndësishme dhe shkatërron identitetin e burimit, prandaj regjistrat e destinacionit do të shfaqin adresën e serverit për çdo klient pas tij. Një prefiks i rrugëtuar ruan identitetin dhe kërkon një ndryshim në pajisje që mund të mos i administroni.

Zgjidhni me qëllim dhe jo sipas asaj që shkruhet më shpejt. Një prefiks i vetëm i rrugëtuar është zakonisht më i pastër sesa përkthimi, dhe përkthimi është zakonisht më i mirë sesa t’i mësosh një rrugëtuesi të paadministruar një prefiks të re për një laborator të vetëm.

Mbani shtrirjen e transmetimit të qëllimshme

Brenda segmentit virtual, DHCP, zbulimi dhe shpallja e fqinjëve sillen si në një komutator, sepse është një lidhje e vetme. Përtej kufirit të rrugëtuar nuk e bëjnë këtë, prandaj DHCP i zyrës dhe zbulimi i shërbimeve kanë nevojë për një projekt të qartë dhe jo për supozimin se TAP i përfshin. Lloji i ndërfaqes nuk është një përsëritës për shërbime që jetojnë diku tjetër.

Kjo është arsyeja e ndershme për të zgjedhur TAP fare: diçka në segmentin virtual ka nevojë për sjellje lokale ndaj lidhjes. Nëse asgjë nuk ka nevojë, një pajisje TUN me një prefiks të rrugëtuar është më e vogël, dhe ka më pak për të shpjeguar kur prishet.

Verifikoni, pastaj shkruani kthimin prapa

Nga një klient VPN, ping rrugëtuesin e LAN-it, ping një host dhe hap një shërbim që ka rëndësi përmes TCP. Pastaj kontrolloni numëruesit dhe zinxhirin e përcjelljes, sepse një rënie sipas politikës nga larg duket pikërisht si një rrugë që mungon. Kthimi prapa është e kundërta e ndërtimit dhe i takon regjistrit të ndryshimeve para se të filloni: hiqni rrugën, hiqni adresën, fshini ndërfaqen.

Nëse kërkesa është vërtet një segment Ethernet që shtrihet në dy vende, ura është përgjigjja e ndershme dhe një projekt tjetër me një rreze tjetër ndikimi. Nëse kërkesa është arritshmëria, segmenti i izoluar me një lidhje të sipërme të rrugëtuar e kryen punën me më pak shpjegime më vonë.