Daraja la TAP lililotengwa kati ya bodi mbili kupitia OpenVPN

Bodi mbili za maendeleo zinahitaji kushiriki sehemu moja ya Ethernet wakati benchi zao ziko katika majengo tofauti. Handaki tayari lipo na tayari hubeba Ethernet, kwa hivyo kazi iliyobaki inaonekana kama amri tatu na sivyo. Kile mwenyeji hufanya na fremu iliyopitishwa kwenye daraja, anwani ya kompyuta yenyewe iko wapi na ni mpaka gani daraja haliundi ni mambo matatu tofauti, na kukosea la pili ndilo sababu ya kawaida ya maabara kufanya kazi mara kwa mara na ufikiaji wake wa usimamizi kuzorota kimya kimya. Hakuna hata moja ya mambo haya matatu inayoonekana kwenye mchoro wa topolojia.

Njia iliyo hapa chini inadhania muunganisho wa TAP uliothibitishwa kati ya kompyuta mbili za Linux, bandari moja maalum ya waya kwa kila benchi, na kiolesura cha usimamizi ambacho si sehemu ya jaribio. Mpangilio ni muhimu: kwanza fremu, kisha anwani, mwisho mpaka.

Daraja huhamisha nini hasa

Daraja ni swichi iliyotekelezwa katika programu. Hujifunza ni anwani gani ya MAC inaonekana nyuma ya bandari gani mwanachama na hupeleka fremu kati ya wanachama bila kushauriana na jedwali la uelekezaji wa IP. Hakuna kitu katika maelezo hayo kinachohusisha subneti, lango au njia chaguo-msingi, ndiyo sababu kuwezesha upelekaji wa IP hakuundi muunganisho huu na ndiyo sababu ping inaweza kufanikiwa wakati trafiki nyingine bado inashindwa. Bodi inaweza kumfikia mwenzake bila njia yoyote chaguo-msingi iliyosanidiwa, jambo ambalo huwashangaza wale wanaotarajia tabaka la pili liwe kama tabaka la tatu.

Kila kompyuta huchangia bandari moja ya waya kwenye daraja na kifaa cha TAP kwenye daraja hilo hilo, kwa hivyo fremu kutoka kwa bodi huingia bandari ya ndani, hupelekwa kwenye kifaa cha TAP, huvuka handaki, hufika kwenye kifaa cha TAP cha mwenzake na hupelekwa kwenye bodi ya mwenzake. Handaki ni bandari mwanachama kama nyingine yoyote, na daraja halijui wala halijali kwamba VPN iko nyuma yake. Usawaziko huo ndio hufanya mfano kuwa rahisi kufikiri: kila upande una bandari moja inayoelekea maabara na bandari moja ya handaki, na hakuna upande ulio maalum.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Majina yanayofanana kwenye kompyuta zote mbili ni majina ya ndani, si vitu vilivyoshirikiwa. Kati ya benchi kuna njia moja ya Ethernet, bila kebo ya pili na bila handaki la pili linalofunga mzunguko; daraja linaloona MAC hiyo hiyo ikija kwenye bandari mbili litapeleka kwa furaha katika miduara.

Anwani daraja, si bandari zake wanachama

Utambulisho wa kompyuta kwenye sehemu ya maabara ni wa kifaa cha daraja. Bandari wanachama hubaki bila namba, kwa sababu bandari ni mwanachama anayepeleka na anwani juu yake ingeunda mmiliki wa pili anayeshindana wa sehemu hiyo hiyo. Hii ndiyo marekebisho ambayo mapishi mengi yaliyofanywa kwa mkono hukosea: yanapeana anwani kwa kifaa cha TAP na daraja, kisha hujiuliza ni kipi kati yao mwenzake anafikia kweli.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Mwenzake hutumia umbo hilo hilo na anwani nyingine ya mwenyeji, na bodi huchukua anwani katika masafa hayo hayo zikitumia anwani ya daraja la kompyuta kama hop yao inayofuata ikiwa wanahitaji. Tumia masafa ya nyaraka hadi mpango ukubaliwe, na hifadhi masafa hayo ili yasigongane na kitu chochote ambacho ofisi tayari inaelekeza. Kabla ya kuendesha sehemu yoyote, thibitisha kwamba bandari wanachama hazibebi anwani iliyobaki, mteja wa DHCP na uanachama katika daraja lingine, na oanisha anwani za kifaa cha TAP kupitia kile kinachomiliki usanidi wa handaki ili kisirejeshe anwani baadaye.

Kwa nini bandari moja maalum kwa kila benchi

Bandari maalum ya waya ndiyo inayozuia jaribio kuwa mabadiliko ya ofisi nzima. Kiolesura cha usimamizi hubeba SSH, njia chaguo-msingi na muunganisho wa nje wa VPN, na hakuna hata kimoja cha hivyo kinachomilikiwa na daraja ambalo lengo lake ni kuhamisha fremu za maabara.

Kuunganisha adapta ya usimamizi kunaweka LAN ya ofisi umbali wa uamuzi mmoja wa upelekaji kutoka bodi ya maendeleo, na bodi inayotenda vibaya kwenye tabaka la pili ndiyo aina ya kifaa usichokitaka kwenye sehemu hiyo. Adapta ya Wi-Fi ni mbaya zaidi: kudaraja kiolesura kisichotumia waya katika hali ya miundombinu hakuendi kama kudaraja Ethernet, na kushindwa kunachanganya badala ya kuwa safi.

Weka masafa ya maabara nje ya wigo wowote wa DHCP wa uzalishaji. Ikiwa bodi zitahitaji anwani zinazobadilika baadaye, mgawaji mmoja aliyeidhinishwa na bwawa moja ndilo mpangilio pekee unaobaki ukitarajiwa; routa za kawaida za maeneo mawili zinazojibu kwenye sehemu moja huzalisha anwani ambazo hakuna mtu anayeweza kuzieleza.

Mpaka ambao daraja haliundi

Kudaraja si uelekezaji, na pia si utenganishaji. Fremu zinazovuka daraja bado zinaweza kufikia kulabu za uchujaji za mwenyeji, kulingana na njia ya bridge-netfilter iliyosanikishwa, kwa hivyo sera inayofaa lazima ichunguzwe si kudhaniwa. Kuzima firewall kwa sababu fremu moja ilipotea hubadilisha hitilafu maalum na hitilafu ya jumla.

Upelekaji wa IP kati ya daraja na kila kiolesura cha usimamizi au uplink unapaswa kubaki umezimwa au kukataliwa waziwazi, na hii ni udhibiti tofauti na uanachama wa daraja. Bodi inayochagua anwani ya maabara ya kompyuta kama lango lake hujaribu hili hasa: ikiwa upitishaji wa usimamizi unafanikiwa, mpaka uliokusudia haukuwahi kuwepo.

Familia mbili zaidi zinastahili uamuzi wazi. Mpango wa anwani haufanyi daraja kuwa IPv4 pekee, kwa hivyo IPv6 na EtherType nyingine zinahitaji mpango au kichujio chao. Na ping iliyofanikiwa haisemi chochote kuhusu kama matangazo ya ugunduzi ya bodi, vikundi vya multicast au fremu za jumbo zitapita njia, kwa sababu hizo ni tabaka tofauti za trafiki zenye chaguo-msingi tofauti.

Mwisho, usafirishaji na usiri ni manunuzi mawili tofauti. TAP hubeba Ethernet; huduma ya OpenVPN hutoa ulinzi kuzunguka. Uwekaji wa VXLAN pia hubeba Ethernet na hautoi usiri wenyewe, kwa hivyo kubadilisha kimoja na kingine hubadilisha sifa za usalama hata mchoro wa topolojia unapoonekana sawa.

Uendelevu na majaribio yanayouthibitisha

Amri iliyochapwa mara moja baada ya kuunganisha si usanidi. Fanya daraja, uanachama wa bandari na anwani moja ya mwenyeji kudumu kupitia meneja wa mtandao wa kompyuta aliyepo, na funga muunganisho na kuonekana kwa kifaa cha TAP ili kuunganisha tena kusiondoe daraja lenye mwanachama aliyetoweka.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Kisha jaribu kile bodi zinachohitaji kweli katika pande zote mbili, unganisha tena handaki, na uanzishe tena kompyuta moja kwa mujibu wa mpango wa urejeshaji ulioidhinishwa. Thibitisha mambo matatu baadaye: ufikiaji wa usimamizi bado unafanya kazi kwa kujitegemea, anwani ya maabara iliyorudiwa haionekani, na hakuna kiolesura cha uzalishaji kisichotarajiwa kilichojiunga na daraja. Mchanganyiko huo ndio uthibitisho kwamba jaribio lilibaki ndani ya benchi lake.