OpenVPN TUN laban sa TAP: tatlong kundisyon na nagpapasya

Dalawang tunnel ang maaaring magdala ng parehong paglilipat ng file at gayunpaman ay ganap na magkaiba sa inilalagay nila sa kawad. Ang isa ay naglilipat ng mga packet ng IP sa pagitan ng dalawang address; ang isa ay naglilipat ng mga frame ng Ethernet at maaaring i-bridge sa isang segment. Ang pagkakaibang iyon ang nagpapasya kung aling mga aplikasyon ang gumagana, aling mga kliyente ang makakakonekta at gaano karaming disenyo ng network ang iyong tinatanggap.

Sa praktika, tatlong kundisyon ang nagpapasya nito. Dumaan sa kanila nang sunod, dahil ang una ay karaniwang nagtatapos ng usapan.

Ano ang talagang dinadala ng bawat interface

Ang aparatong TUN ay isang point-to-point na interface sa layer 3: binibigyan ito ng kernel ng mga packet ng IP at dinadala ng tunnel ang mga ito sa address ng kapareha. Ang aparatong TAP ay isang interface sa layer 2 na nagdadala ng mga frame ng Ethernet, at ito ang nagpapangyaring posible ang pag-bridge, tulad ng inilalarawan ng dokumentasyon ng kernel. Wala sa kanila ang nagbabago kung paano ine-encrypt ang payload, at wala sa kanila ang setting ng lakas. Ang pagpili ay tungkol sa kung ano ang dapat ipagpalitan ng mga dulo, hindi sa kung gaano kahusay ang proteksyon sa trapiko.

Isang bunga ang agad na sumusunod: dapat magkasundo ang dalawang dulo. Ang kliyenteng naka-configure para sa isang uri ng aparato ay hindi makakasali sa server na naka-configure para sa isa pa, anuman ang iba pang tumugma.

Unang kundisyon: may kailangan bang layer dalawa?

Ang pag-bridge ay nagiging karapat-dapat sa pagiging kumplikado nito kapag ang isang protocol ay talagang nangangailangan ng parehong broadcast domain: trapikong hindi IP, pagtuklas na hindi makatawid sa router, o isang aplikasyong nagpipilit na nasa isang segment. Lahat ng iba ay problema sa routing, at nilulutas ito ng routing sa mas kaunting makinarya. Ang pagpapahaba ng segment sa malawak na lugar ay nagpapahaba rin ng mga broadcast nito, kaya ang pag-iwas sa loop, pagpaplano ng address at mga domain ng pagkasira ay nagiging bahagi ng disenyo. Malaking bagay itong tanggapin para sa pangangailangang natutugunan na ng isang ruta.

Ang pagsubok ay kongkreto: pangalanan ang aplikasyong nabigo sa rutadong tunnel at sabihin kung bakit. Kung ang sagot ay kailangan nito ng broadcast, layer dalawa ang tapat na sagot. Kung ang sagot ay may hindi makarating sa isang server, ang pangangailangan ay ruta o patakaran ng firewall.

Ikalawang kundisyon: kaya ba ng mga kliyente?

Hindi pantay ang suporta. Ang mga desktop client ay karaniwang naglalabas ng dalawang uri ng aparato, samantalang ang mga mobile at embedded client ay madalas na ipinapatupad lamang ang rutadong mode, at ang profile na inaangkat nang walang reklamo ay maaari pa ring mabigo kapag sinusubukang likhain ang interface. Suriin ang partikular na kliyente at bersyon sa halip na hulaan ang mga tampok mula sa pangalan ng plataporma.

Ang error tungkol sa hindi sinusuportahang opsyon ay hindi paanyaya na magbura ng mga linyang hindi pamilyar hanggang magtagumpay ang pag-angkat. Ibig sabihin, hindi nagkasundo ang profile at ang kliyente tungkol sa kung ano ang posible, at ang pag-aayos ay pagmamay-ari ng operator na naglabas ng profile. Ang pag-alis ng opsyon para patahimikin ang validator ay maaaring gumawa ng koneksyong mukhang gumagana habang tahimik na iniiwan ang katangiang dapat nitong ibigay.

Ikatlong kundisyon: ito ba ay talagang usapin ng interface?

Dalawang magkatabing pagpipilian ang sinisisi sa mga problema ng interface. Ang virtual na aparato ang nagpapasya kung ano ang pumapasok sa tunnel, samantalang UDP o TCP ang nagpapasya kung paano kumikilos ang panlabas na transport, at wala sa kanila ang nagpapagaling sa mga paglilipat na tumitigil. Kapag ang malalaking paglilipat ay nakabitin habang ang maliliit ay nagtagumpay, ang laki ng packet at MTU ang dapat bigyan ng pansin.

Ang kliyenteng nakakonekta at pagkatapos ay hindi makarating sa isang panloob na host ay karaniwang tumitingin sa routing, patakaran ng firewall o nawawalang daan ng pagbabalik.

Para sa pinamamahalaang serbisyo, gamitin ang kaayusan ng interface na tinukoy ng profile ng operator, dahil ang panig ng server ay itinayo na sa paligid nito. Para sa pribadong pag-deploy, pumili batay sa tunay na pangangailangan ng aplikasyon at isulat ang dahilan sa tabi ng pagpipilian.

Ang tanong ay hindi kung aling opsyon ang mas malakas. Ito ay kung alin ang talagang kailangan ng trapiko.