Изоловани TAP мост између две плоче преко OpenVPN-а

Две развојне плоче треба да деле један Ethernet сегмент, док се њихови столови налазе у различитим зградама. Тунел већ постоји и већ преноси Ethernet, тако да преостали посао изгледа као три команде и није. Шта хост ради са оквиром који је прошао кроз мост, где припада сопствена адреса рачунара и коју границу мост не ствара су три одвојене чињенице, а грешка у другој је уобичајен разлог зашто лабораторија ради с прекидима и зашто њен административни приступ тихо слаби. Ниједна од те три чињенице није видљива на дијаграму топологије.

Пут испод претпоставља аутентификовану TAP везу између два Linux рачунара, један наменски жичани порт по столу и административни интерфејс који није део експеримента. Редослед је важан: прво оквири, затим адресе, на крају граница.

Шта мост заправо преноси

Мост је прекидач имплементиран у софтверу. Учи која MAC адреса се појављује иза ког чланског порта и прослеђује оквире између чланова без консултовања IP табеле рутирања. Ништа у том опису не укључује подмрежу, мрежни пролаз или подразумевану руту, зато укључивање IP прослеђивања не ствара ову везу и зато ping може да успе док други саобраћај и даље не пролази. Плоча може да стигне до свог партнера без иједне конфигурисане подразумеване руте, што изненађује оне који очекују да се други слој понаша као трећи.

Сваки рачунар додаје мосту један жичани порт и TAP уређај на исти мост, тако да оквир са плоче улази на локални порт, прослеђује се TAP уређају, прелази тунел, стиже на TAP уређај партнера и прослеђује се на његову плочу. Тунел је члански порт као и сваки други, а мост не зна нити га занима да иза њега стоји VPN. Управо та симетрија чини пример лаким за размишљање: свака страна има један порт окренут ка лабораторији и један тунелски порт, и ниједна страна није посебна.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Иста имена на оба рачунара су локална имена, а не заједнички објекти. Између столова постоји једна Ethernet путања, без другог кабла и без другог тунела који затвара петљу; мост који види исти MAC како долази на два порта радо ће прослеђивати у круг.

Адресирајте мост, а не његове чланске портове

Идентитет рачунара у лабораторијском сегменту припада уређају моста. Члански портови остају без броја, јер је порт члан који прослеђује и адреса на њему би створила другог, конкурентног власника истог сегмента. Ово је исправка коју већина ручно написаних рецепата погрешно изводи: они адресирају TAP уређај и мост, а затим се питају до ког од њих партнер заправо стиже.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Партнер користи исти облик са другом адресом хоста, а плоче узимају адресе у истом опсегу користећи адресу моста рачунара као свој следећи скок ако им је потребан. Користите опсеге из документације док се план не договори и резервишите опсег да се не судара са нечим што канцеларија већ рутира. Пре покретања било чега од тога, потврдите да члански портови не носе преосталу адресу, DHCP клијента и чланство у другом мосту, и ускладите адресирање TAP уређаја кроз оно што поседује конфигурацију тунела да касније не врати адресу.

Зашто један наменски порт по столу

Наменски жичани порт је оно што спречава да експеримент постане промена за целу канцеларију. Административни интерфејс носи SSH, подразумевану руту и спољашњу VPN везу, и ништа од тога не припада мосту чија је сврха преношење лабораторијских оквира.

Повезивање административног адаптера ставља канцеларијски LAN на једну одлуку о прослеђивању удаљен од развојне плоче, а плоча која се лоше понаша на другом слоју је управо она врста уређаја коју не желите на том сегменту. Wi-Fi адаптер је гори: премошћавање бежичног интерфејса у инфраструктурном режиму не понаша се као премошћавање Ethernet-а, и отказ је збуњујући, а не чист.

Држите лабораторијски опсег изван сваког производног DHCP опсега. Ако плочама касније затреба динамичко адресирање, један овлашћени додељивач са једним базеном једини је распоред који остаје предвидљив; обични рутери две локације који одговарају на истом сегменту стварају адресе које нико не може да објасни.

Граница коју мост не ствара

Премошћавање није рутирање, а није ни изолација. Оквири који прелазе мост и даље могу да стигну до хвата за филтрирање хоста, зависно од инсталиране bridge-netfilter путање, тако да ефективну политику треба проверити, а не претпоставити. Искључивање заштитног зида зато што је изгубљен један оквир мења конкретну грешку за општу.

IP прослеђивање између моста и сваког административног или uplink интерфејса треба да остане искључено или буде изричито забрањено, и то је одвојена контрола од чланства у мосту. Плоча која изабере лабораторијску адресу рачунара као свој мрежни пролаз проверава управо ово: ако транзит администрације успе, замишљена граница никада није ни постојала.

Још две породице заслужују изричиту одлуку. План адресирања не чини мост само IPv4, тако да IPv6 и други EtherType-ови траже сопствени план или филтер. А успешан ping ништа не говори о томе да ли ће откривајућа емитовања плоче, multicast групе или jumbo оквири проћи путем, јер су то различите класе саобраћаја са различитим подразумеваним вредностима.

Најзад, транспорт и поверљивост су две различите куповине. TAP преноси Ethernet; услуга OpenVPN пружа заштиту око њега. VXLAN преклоп такође преноси Ethernet и сам по себи не пружа поверљивост, тако да замена једног другим мења безбедносне особине чак и када дијаграм топологије изгледа идентично.

Трајност и тестови који је доказују

Команда укуцана једном после повезивања није конфигурација. Учините трајним мост, чланство портова и једину адресу хоста кроз постојећи менаџер мреже рачунара, и повежите прикључење са појавом TAP уређаја да поновно повезивање не остави мост са несталим чланом.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Затим тестирајте шта је плочама заиста потребно у оба смера, поново повежите тунел и рестартујте један рачунар према одобреном плану опоравка. Затим потврдите три ствари: административни приступ и даље ради независно, дуплирана лабораторијска адреса се не појављује и ниједан неочекивани производни интерфејс се није придружио мосту. Управо та комбинација је доказ да је експеримент остао у оквиру свог стола.