En TAP-server eller flera? OpenVPN-klienter på en brygga

Flera TAP-klienter kräver inte en serverprocess, en UDP-port och en TAP-enhet på värden var. En OpenVPN-server i Ethernet-läge kan ta emot många autentiserade klienter och koppla dem till en enda brygga, och det är det dokumenterade sättet att utöka ett segment i lager 2. Designen med en process är den manualen dokumenterar, och den är oftast rätt standard.

Den egentliga frågan är om dessa klienter bör dela det segmentet. Antalet processer svarar inte på det, eftersom isoleringsegenskaperna kommer från topologin och inte från hur många daemoner som körs. Resten av jämförelsen handlar om de två topologierna och vad var och en gör enkelt.

Två arkitekturer, inte två inställningar

En routad TUN-distribution ger varje klient en punkt-till-punkt-länk in i serverns routningsdomän. Broadcast stannar vid servern, klienterna kan inte se varandras ramar, och trafik mellan klienter måste, om den finns, routas och filtreras explicit.

En bryggad TAP-distribution gör klienterna till medlemmar av ett Ethernet-segment. De ser broadcast, kan slå upp varandra med ARP och är beroende av brygg- och brandväggspolicy i stället för routning för att hållas åtskilda. Det är användbart när klienterna måste framstå som om de vore inkopplade i samma switch.

Jämförelsen handlar alltså om vad klienterna måste nå, inte om prestanda. Välj lagret först och avgör sedan hur många processer som betjänar det.

Vad server-bridge-hjälparen gör

Hjälparen server-bridge konfigurerar Ethernet-läget för flera klienter. Dess adresspoolform tar gatewayen, nätmasken och ett eget område inne i det bryggade subnätet, till exempel en gateway på 192.168.50.1 med en pool från 192.168.50.160 till 192.168.50.199.

Reservera det området utanför varje annan DHCP- eller statisk tilldelning. Hjälparen tilldelar adresser därifrån, men samordnar inte med en annan tilldelare i samma segment, och två pooler som överlappar ger dubblerade adresser som ser ut som slumpmässiga anslutningsfel. Skriv in det reserverade området i platsens adressplan så att nästa person inte återanvänder det. En kommentar i serverkonfigurationen är en dålig ersättning för den registreringen.

Det finns en DHCP-proxyform för distributioner där en extern server delar ut adresser. Den har sina egna förutsättningar, och att blanda de två formerna ger precis den konflikt som dokumentationen varnar för. Välj en tilldelare för det bryggade subnätet.

Isolering kommer inte från antalet processer

Åtta OpenVPN-processer kopplade till samma obegränsade brygga delar fortfarande en broadcastdomän. Klienterna kan skicka ARP till varandra över bryggan, och antalet lyssnare ändrade ingenting i det.

Om kravet är att grupper av klienter inte ska se varandra i lager 2, behöver designen separata bryggor eller VLAN-anslutningar tillsammans med de åtkomstregler som hör till. Det är ett beslut om nätverksdesign, och det är samma beslut oavsett om en serverprocess eller åtta är inblandade. Bryggfiltrering kan begränsa viss trafik, men skapar inte separata broadcastdomäner. Behandla det som ett komplement till segmentering, inte en ersättning för den.

Om kravet bara är att klienter når vissa IP-tjänster, är en routad TUN-design oftast enklare än bryggning plus filtrering. Varje klient får sin egen länk, och policyn lever i routnings- och brandväggsregler i stället för inne i bryggan.

När flera processer ändå är rätt

Separata processer kan motiveras av driftsbehov: olika autentiseringsbakgrunder, olika certifikatmyndigheter, separata uppgraderingscykler eller inkompatibla optionsuppsättningar. Det är verkliga skäl och de är oberoende av antalet klienter.

Om du använder flera, ge var och en sin egen lyssnare och enhetsägande och samordna adressområdena. Två servrar som båda tror att de äger samma pool på samma brygga kommer förr eller senare att dela ut samma adress.

Verifiera sedan designen med flera klienter samtidigt. Kontrollera att adresserna är unika, att den avsedda trafiken mellan klienter fungerar och att ett par som inte får kommunicera inte kan. En lyckad ping från en enda klient prövar ingenting av designen för flera klienter.

Läs bryggan och serverläget från den körande värden innan du litar på diagrammet. Konfigurationen som betyder något är den som kärnan och daemonen faktiskt laddade, och det är också den en granskare kan kontrollera.