OpenVPN ద్వారా రెండు బోర్డుల మధ్య వేరుచేసిన TAP వంతెన

రెండు అభివృద్ధి బోర్డులు ఒకే Ethernet విభాగాన్ని పంచుకోవాలి, అయితే వాటి బెంచ్లు వేర్వేరు భవనాలలో ఉన్నాయి. సొరంగం ఇప్పటికే ఉంది మరియు ఇప్పటికే Ethernet ను తీసుకువెళుతుంది, కాబట్టి మిగిలిన పని మూడు ఆదేశాలలా కనిపిస్తుంది, కానీ అలా కాదు. హోస్ట్ వంతెన చేసిన ఫ్రేమ్తో ఏమి చేస్తుంది, కంప్యూటర్ సొంత చిరునామా ఎక్కడ ఉంటుంది, మరియు వంతెన ఏ హద్దును సృష్టించదు అనేవి మూడు వేర్వేరు వాస్తవాలు, రెండవదానిలో పొరపాటు చేయడమే ప్రయోగశాల విరామాలతో పనిచేయడానికి మరియు దాని నిర్వహణ యాక్సెస్ నిశ్శబ్దంగా క్షీణించడానికి సాధారణ కారణం. ఈ మూడు వాస్తవాలలో ఏదీ టోపాలజీ రేఖాచిత్రంలో కనిపించదు.

క్రింది మార్గం రెండు Linux కంప్యూటర్ల మధ్య ధృవీకరించిన TAP కనెక్షన్, ప్రతి బెంచ్కు ఒక అంకిత వైర్డ్ పోర్ట్, మరియు ప్రయోగంలో భాగం కాని నిర్వహణ ఇంటర్ఫేస్ను ఊహిస్తుంది. క్రమం ముఖ్యం: మొదట ఫ్రేమ్లు, తర్వాత చిరునామాలు, చివరగా హద్దు.

వంతెన నిజంగా ఏమి కదిలిస్తుంది

వంతెన అనేది సాఫ్ట్వేర్లో అమలు చేసిన స్విచ్. ఏ MAC చిరునామా ఏ సభ్య పోర్ట్ వెనుక కనిపిస్తుందో నేర్చుకుని, IP రౌటింగ్ పట్టికను చూడకుండా సభ్యుల మధ్య ఫ్రేమ్లను పంపుతుంది. ఆ వివరణలో సబ్నెట్, గేట్వే లేదా డిఫాల్ట్ మార్గం లేదు, అందుకే IP ఫార్వార్డింగ్ ప్రారంభించడం ఈ కనెక్షన్ను సృష్టించదు మరియు అందుకే ping విజయవంతం కాగా ఇతర ట్రాఫిక్ ఇప్పటికీ విఫలమవుతుంది. బోర్డు ఎటువంటి డిఫాల్ట్ మార్గం లేకుండానే తన భాగస్వామిని చేరుకోగలదు, ఇది లేయర్ రెండు లేయర్ మూడు లాగా ప్రవర్తిస్తుందని ఆశించేవారిని ఆశ్చర్యపరుస్తుంది.

ప్రతి కంప్యూటర్ వంతెనకు ఒక వైర్డ్ పోర్టును మరియు TAP పరికరాన్ని అదే వంతెనకు ఇస్తుంది, కాబట్టి బోర్డు నుండి వచ్చే ఫ్రేమ్ స్థానిక పోర్టులోకి ప్రవేశించి, TAP పరికరానికి పంపబడి, సొరంగాన్ని దాటి, భాగస్వామి TAP పరికరానికి చేరి భాగస్వామి బోర్డుకు పంపబడుతుంది. సొరంగం మరే ఇతర సభ్య పోర్టు లాంటిదే, మరియు వంతెన దాని వెనుక VPN ఉందని తెలియదు, పట్టించుకోదు. ఈ సమరూపతే ఉదాహరణను అర్థం చేసుకోవడం సులభం చేస్తుంది: ప్రతి వైపు ప్రయోగశాల వైపు ఒక పోర్టు మరియు ఒక సొరంగ పోర్టు ఉంటాయి, ఏ వైపు ప్రత్యేకం కాదు.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

రెండు కంప్యూటర్లలోని ఒకే పేర్లు స్థానిక పేర్లు, పంచుకున్న వస్తువులు కావు. బెంచ్ల మధ్య ఒక Ethernet మార్గం ఉంది, రెండవ కేబుల్ మరియు లూప్ మూసివేసే రెండవ సొరంగం లేకుండా; ఒకే MAC రెండు పోర్టులలో రావడం చూసే వంతెన ఆనందంగా వృత్తాలలో పంపుతుంది.

వంతెనకు చిరునామా ఇవ్వండి, దాని సభ్య పోర్టులకు కాదు

ప్రయోగశాల విభాగంలో కంప్యూటర్ గుర్తింపు వంతెన పరికరానికి చెందుతుంది. సభ్య పోర్టులు సంఖ్య లేకుండా ఉంటాయి, ఎందుకంటే పోర్టు పంపే సభ్యుడు మరియు దానిపై ఒక చిరునామా అదే విభాగం యొక్క రెండవ, పోటీదారు యజమానిని సృష్టిస్తుంది. ఇదే చాలా చేతితో రాసిన వంటకాలు తప్పుగా చేసే సవరణ: అవి TAP పరికరానికి మరియు వంతెనకు చిరునామా ఇచ్చి, తర్వాత భాగస్వామి నిజంగా ఏది చేరుకుంటుందో ఆలోచిస్తాయి.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

భాగస్వామి మరో హోస్ట్ చిరునామాతో అదే ఆకారాన్ని ఉపయోగిస్తుంది, బోర్డులు అదే పరిధిలో చిరునామాలు తీసుకుని, అవసరమైతే కంప్యూటర్ వంతెన చిరునామాను తమ తదుపరి హాప్గా ఉపయోగిస్తాయి. ప్రణాళిక అంగీకరించే వరకు డాక్యుమెంటేషన్ పరిధులను ఉపయోగించండి, మరియు కార్యాలయం ఇప్పటికే రూట్ చేస్తున్న దేనితోనూ ఢీకొనకుండా పరిధిని రిజర్వ్ చేయండి. ఏదైనా అమలు చేయడానికి ముందు సభ్య పోర్టులలో మిగిలిన చిరునామా, DHCP క్లయింట్ మరియు మరో వంతెనలో సభ్యత్వం లేదని నిర్ధారించండి, మరియు TAP పరికరం చిరునామాను సొరంగ కాన్ఫిగరేషన్ కలిగి ఉన్న దాని ద్వారా సమన్వయం చేయండి, తర్వాత చిరునామా పునరుద్ధరించబడకుండా.

ప్రతి బెంచ్కు ఒక అంకిత పోర్టు ఎందుకు

అంకిత వైర్డ్ పోర్టే ప్రయోగాన్ని పూర్తి కార్యాలయ మార్పుగా మారకుండా నిరోధిస్తుంది. నిర్వహణ ఇంటర్ఫేస్ SSH, డిఫాల్ట్ మార్గం మరియు బాహ్య VPN కనెక్షన్ను తీసుకువెళుతుంది, వాటిలో ఏదీ ప్రయోగశాల ఫ్రేమ్లను కదిలించడమే లక్ష్యంగా ఉన్న వంతెనకు చెందదు.

నిర్వహణ అడాప్టర్ను కనెక్ట్ చేయడం కార్యాలయ LAN ను అభివృద్ధి బోర్డు నుండి ఒక ఫార్వార్డింగ్ నిర్ణయం దూరంలో ఉంచుతుంది, మరియు లేయర్ రెండులో దుర్వ్యవహారం చేసే బోర్డు ఆ విభాగంలో మీకు వద్దని పరికర రకమే. Wi-Fi అడాప్టర్ ఇంకా దారుణం: మౌలిక సదుపాయాల మోడ్లో వైర్లెస్ ఇంటర్ఫేస్ను వంతెన చేయడం Ethernet ను వంతెన చేయడం లాగా ప్రవర్తించదు, మరియు వైఫల్యం శుభ్రంగా కాకుండా గందరగోళంగా ఉంటుంది.

ప్రయోగశాల పరిధిని ఏదైనా ఉత్పత్తి DHCP పరిధి వెలుపల ఉంచండి. బోర్డులకు తర్వాత డైనమిక్ చిరునామా అవసరమైతే, ఒక పూల్తో ఒక అధికారిక కేటాయింపుదారు మాత్రమే ఊహించదగినదిగా ఉంటుంది; ఒకే విభాగంలో సమాధానం ఇచ్చే రెండు ప్రదేశాల సాధారణ రౌటర్లు ఎవరూ వివరించలేని చిరునామాలను ఉత్పత్తి చేస్తాయి.

వంతెన సృష్టించని హద్దు

వంతెన చేయడం రౌటింగ్ కాదు, అది వేరుచేయడం కూడా కాదు. వంతెనను దాటే ఫ్రేమ్లు ఇన్స్టాల్ చేసిన bridge-netfilter మార్గాన్ని బట్టి హోస్ట్ ఫిల్టరింగ్ హుక్లను ఇప్పటికీ చేరుకోగలవు, కాబట్టి ప్రభావవంతమైన విధానాన్ని ఊహించకుండా పరిశీలించాలి. ఒక ఫ్రేమ్ పోయినందుకు ఫైర్వాల్ను నిలిపివేయడం నిర్దిష్ట బగ్ను సాధారణ బగ్తో మారుస్తుంది.

వంతెన మరియు ప్రతి నిర్వహణ లేదా అప్లింక్ ఇంటర్ఫేస్ మధ్య IP ఫార్వార్డింగ్ ఆఫ్లో ఉండాలి లేదా స్పష్టంగా తిరస్కరించబడాలి, ఇది వంతెన సభ్యత్వం నుండి వేరైన నియంత్రణ. కంప్యూటర్ ప్రయోగశాల చిరునామాను తన గేట్వేగా ఎంచుకునే బోర్డు సరిగ్గా ఇదే పరీక్షిస్తుంది: నిర్వహణ ప్రసారం విజయవంతమైతే, మీరు ఉద్దేశించిన హద్దు ఎప్పుడూ లేదు.

మరో రెండు కుటుంబాలు స్పష్టమైన నిర్ణయానికి అర్హమైనవి. చిరునామా ప్రణాళిక వంతెనను IPv4 మాత్రమే చేయదు, కాబట్టి IPv6 మరియు ఇతర EtherType లకు వాటి స్వంత ప్రణాళిక లేదా ఫిల్టర్ అవసరం. మరియు విజయవంతమైన ping బోర్డు ఆవిష్కరణ ప్రసారాలు, మల్టీకాస్ట్ సమూహాలు లేదా జంబో ఫ్రేమ్లు మార్గాన్ని దాటుతాయా అనే దాని గురించి ఏమీ చెప్పదు, ఎందుకంటే అవి వేర్వేరు డిఫాల్ట్లతో కూడిన వేర్వేరు ట్రాఫిక్ తరగతులు.

చివరగా, రవాణా మరియు గోప్యత రెండు వేర్వేరు కొనుగోళ్లు. TAP Ethernet ను తీసుకువెళుతుంది; OpenVPN సేవ దాని చుట్టూ రక్షణను అందిస్తుంది. VXLAN ఓవర్లే కూడా Ethernet ను తీసుకువెళుతుంది మరియు తనంతట తానే గోప్యతను అందించదు, కాబట్టి ఒకదాన్ని మరొకదానితో భర్తీ చేయడం టోపాలజీ రేఖాచిత్రం ఒకేలా కనిపించినా భద్రతా లక్షణాలను మారుస్తుంది.

స్థిరత్వం మరియు దానిని నిరూపించే పరీక్షలు

కనెక్ట్ అయిన తర్వాత ఒకసారి టైప్ చేసిన ఆదేశం కాన్ఫిగరేషన్ కాదు. వంతెన, పోర్టు సభ్యత్వం మరియు ఏకైక హోస్ట్ చిరునామాను కంప్యూటర్ ప్రస్తుత నెట్వర్క్ మేనేజర్ ద్వారా స్థిరంగా చేయండి, మరియు మళ్లీ కనెక్ట్ అవ్వడం సభ్యుడు కనుమరుగైన వంతెనను వదిలివేయకుండా కనెక్షన్ను TAP పరికరం కనిపించడంతో కట్టండి.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

తర్వాత బోర్డులకు రెండు దిశలలో నిజంగా ఏమి అవసరమో పరీక్షించండి, సొరంగాన్ని మళ్లీ కనెక్ట్ చేయండి, మరియు ఆమోదించిన రికవరీ ప్రణాళిక ప్రకారం ఒక కంప్యూటర్ను పునఃప్రారంభించండి. తర్వాత మూడు విషయాలను నిర్ధారించండి: నిర్వహణ యాక్సెస్ ఇప్పటికీ స్వతంత్రంగా పనిచేస్తుంది, నకిలీ ప్రయోగశాల చిరునామా కనిపించదు, మరియు ఊహించని ఉత్పత్తి ఇంటర్ఫేస్ వంతెనలో చేరలేదు. ఆ కలయికే ప్రయోగం తన బెంచ్ లోనే ఉండిపోయిందని రుజువు.