Један TAP сервер или више? OpenVPN клијенти на мосту

Више TAP клијената не захтева по један серверски процес, један UDP порт и један TAP уређај на хосту за сваког. Један OpenVPN сервер у Ethernet режиму може примити много аутентификованих клијената и прикључити их на један мост, и то је документовани начин проширења сегмента слоја 2. Дизајн са једним процесом је онај који приручник документује и обично је исправан подразумевани избор.

Право питање је да ли ти клијенти треба да деле тај сегмент. Број процеса на то не одговара, јер својства изолације долазе из топологије, а не из тога колико демона ради. Остатак овог поређења тиче се две топологије и онога што свака олакшава.

Две архитектуре, не две поставке

Рутирано TUN постављање даје сваком клијенту тачка-на-тачку везу у рутирајући домен сервера. Broadcast се зауставља на серверу, клијенти не могу да виде оквире једни других, а саобраћај између клијената, ако га има, мора експлицитно да се рутира и филтрира.

Мостно TAP постављање чини клијенте члановима једног Ethernet сегмента. Они виде broadcast, могу међусобно да се разреше помоћу ARP-а и зависе од политике моста и заштитног зида, а не од рутирања, да би остали одвојени. То је корисно када клијенти морају да изгледају као да су укључени у исти свич.

Поређење је, дакле, о томе до чега клијенти морају да дођу, а не о перформансама. Прво изаберите слој, па одлучите колико процеса га опслужује.

Шта ради помоћник server-bridge

Помоћник server-bridge конфигурише Ethernet режим за више клијената. Његов облик са базеном адреса прима пролаз, мрежну маску и наменски опсег унутар мостне подмреже, на пример пролаз на 192.168.50.1 са базеном од 192.168.50.160 до 192.168.50.199.

Резервишите тај опсег изван сваке друге DHCP или статичке доделе. Помоћник додељује адресе из њега, али се не усклађује са другим додељивачем на истом сегменту, а два базена која се преклапају дају дупликате адреса који изгледају као случајни прекиди повезаности. Упишите резервисани опсег у план адреса локације да га следећа особа не искористи поново. Коментар у конфигурацији сервера је лоша замена за такав запис.

Постоји облик са DHCP посредником за постављања у којима адресе дели спољни сервер. Он има своје предуслове, а мешање два облика ствара управо сукоб на који документација упозорава. Изаберите један додељивач за мостну подмрежу.

Изолација не долази од броја процеса

Осам OpenVPN процеса прикључених на исти неограничени мост и даље деле једну broadcast домену. Клијенти могу да шаљу ARP једни другима преко моста, а број слушалаца на томе није ништа променио.

Ако је захтев да групе клијената не виде једне друге на слоју 2, дизајну су потребна одвојени мостови или VLAN прикључци уз правила приступа која иду с њима. То је одлука о дизајну мреже и иста је без обзира на то учествује ли један серверски процес или осам. Филтрирање моста може да ограничи део саобраћаја, али не ствара одвојене broadcast домене. Третирајте га као допуну сегментацији, а не као њену замену.

Ако је захтев само да клијенти дођу до одређених IP сервиса, рутирани TUN дизајн је обично једноставнији од мостовања са филтрирањем. Сваки клијент добија своју везу, а политика живи у правилима рутирања и заштитног зида уместо унутар моста.

Када је више процеса ипак исправно

Одвојени процеси могу се оправдати оперативним потребама: различити системи аутентификације, различита тела за издавање сертификата, одвојени циклуси надоградње или некомпатибилни скупови опција. То су стварни разлози и не зависе од броја клијената.

Ако их користите више, дајте свакоме сопствени слушалац и власништво над уређајем и ускладите опсеге адреса. Два сервера која оба верују да поседују исти базен на истом мосту пре или касније ће доделити исту адресу.

Затим проверите дизајн са више клијената истовремено. Проверите да су адресе јединствене, да предвиђени саобраћај између клијената ради и да пар који не сме да комуницира то не може. Успешан ping једног клијента не проверава ништа од дизајна за више клијената.

Прочитајте мост и режим сервера са хоста који ради пре него што поверујете дијаграму. Конфигурација која је важна је она коју су кернел и демон заиста учитали, а то је и она коју рецензент може да провери.