TAP без моста: виртуелни сегмент са рутираним горњим каналом

TAP предаје Ethernet оквире оперативном систему, што је већа могућност него што је потребна већини пројеката даљинског приступа и мања од моста. Језгро може да му додели адресу, рутира кроз њега и заштити га заштитним зидом без повезивања са било којим физичким сегментом. Овај распоред вреди прво разумети: изоловани виртуелни Ethernet сегмент чији сервер делује као рутер према стварној локалној мрежи. Он даје понашање другог слоја унутар тунела и обично IP прослеђивање изван њега, а то су два различита обећања. Остало је изградња, рута, повратни пут и враћање.

Изградите изоловани сегмент

На Linux-у интерфејс прима три команде: направите га, подигните га, доделите му адресу унутар сегмента који намеравате. Изаберите префикс који се не судара са канцеларијском локалном мрежом и запишите га, јер је судар невидљив док не одговори домаћин који не би требало да постоји.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Ништа овде не захтева мост и ништа не спречава да га касније додате. Документација језгра за TUN/TAP описује сам интерфејс; чланство у мосту и политика прослеђивања су одвојене одлуке које доносите касније.

Рутирајте преко границе

Укључите прослеђивање, дозволите два префикса у ланцу прослеђивања и додајте руту према канцеларијском префиксу са рутером локалне мреже као следећим скоком. Страна VPN затим шаље саобраћај према канцеларији серверу као свом мрежном пролазу, а сервер прослеђује те пакете као себе, а не као мост. TAP интерфејс са искљученим прослеђивањем је сегмент који одговара локално и не достиже ништа изван себе, што је уобичајено полузавршено стање. Касније проверите бројаче интерфејса са обе стране, јер растући бројач пријема уз сталан бројач слања на страни локалне мреже значи пад у ланцу прослеђивања, а не лошу руту.

Напишите руту и правило заштитног зида као једну промену, јер свако само по себи ствара стање које са стране клијента изгледа као неуспех рутирања.

Одлучите повратни пут

Или рутер локалне мреже научи руту назад ка VPN префиксу, или сервер преводи изворне адресе на излазу. Превођење чини повратни пут тривијалним и уништава идентитет извора, па ће дневници одредишта приказивати адресу сервера за сваког клијента иза њега. Рутирани префикс чува идентитет и захтева промену на опреми којом можда не управљате.

Бирајте намерно, а не према томе шта је брже откуцати. Један рутирани префикс је обично чистији од превођења, а превођење је обично боље од учења неуправљаног рутера новом префиксу због једне лабораторије.

Одржавајте опсег емитовања намерним

Унутар виртуелног сегмента, DHCP, откривање и објављивање суседа понашају се као на прекидачу, јер је то једна веза. Преко рутиране границе то не чине, па канцеларијски DHCP и откривање услуга захтевају експлицитан дизајн, а не претпоставку да их TAP укључује. Тип интерфејса није релеј за услуге које живе на другом месту.

То је искрен разлог да се уопште изабере TAP: нечему на виртуелном сегменту потребно је понашање локално за везу. Ако ничему није потребно, TUN уређај са рутираним префиксом је мањи и има мање тога да се објасни када се поквари.

Проверите, затим напишите враћање

Са VPN клијента, пингните рутер локалне мреже, пингните домаћина и отворите једну важну услугу преко TCP-а. Затим проверите бројаче и ланац прослеђивања, јер пад по политици издалека изгледа тачно као рута која недостаје. Враћање је супротно од изградње и припада запису промена пре него што почнете: уклоните руту, уклоните адресу, избришите интерфејс.

Ако је захтев заиста један Ethernet сегмент који обухвата две локације, мост је искрен одговор и другачији дизајн са другачијим полупречником утицаја. Ако је захтев доступност, изоловани сегмент са рутираним горњим каналом обавља посао са мање објашњавања касније.