TAP na walang tulay: isang virtual na segment na may ruta na uplink

Ibinibigay ng TAP ang mga Ethernet frame sa operating system, na mas malaking kakayahan kaysa kailangan ng karamihan ng disenyo ng remote access at mas maliit kaysa sa isang tulay. Maaaring bigyan ito ng kernel ng address, i-route sa pamamagitan nito, at protektahan ito ng firewall nang hindi ito ikinakabit sa anumang pisikal na segment. Sulit na unawain muna ang kaayusang ito: isang nakahiwalay na virtual na Ethernet segment na ang server ay gumaganap na router patungo sa tunay na LAN. Nagbibigay ito ng pag-uugali ng ikalawang layer sa loob ng tunnel at ordinaryong IP forwarding sa labas, na dalawang magkaibang pangako. Ang natitira ay ang pagtatayo, ang ruta, ang pabalik na daan at ang rollback.

Itayo ang nakahiwalay na segment

Sa Linux ang interface ay tumatanggap ng tatlong utos: gawin ito, itaas ito, bigyan ito ng address sa loob ng segment na nilalayon mo. Pumili ng prefix na hindi bumabangga sa LAN ng opisina at isulat ito, dahil ang banggaan ay hindi nakikita hanggang may host na hindi dapat umiral ang sumagot.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Wala rito ang nangangailangan ng tulay, at wala ring pumipigil sa pagdaragdag ng isa mamaya. Ang dokumentasyon ng kernel tungkol sa TUN/TAP ay naglalarawan ng interface mismo; ang pagiging kasapi sa tulay at patakaran sa forwarding ay magkahiwalay na desisyon na gagawin mo pagkatapos.

I-route sa kabila ng hangganan

Paganahin ang forwarding, payagan ang dalawang prefix sa chain ng forwarding, at magdagdag ng ruta patungo sa prefix ng opisina gamit ang router ng LAN bilang susunod na hop. Pagkatapos ay ipinapadala ng panig ng VPN ang trapikong patungo sa opisina sa server bilang gateway nito, at ipinapasa ng server ang mga packet na iyon bilang sarili nito, hindi bilang tulay. Ang interface ng TAP na nakapatay ang forwarding ay isang segment na sumasagot nang lokal at walang naaabot sa kabila nito, na karaniwang kalahating-tapos na kalagayan. Pagkatapos ay suriin ang mga counter ng interface sa magkabilang panig, dahil ang tumataas na counter ng pagtanggap na may flat na counter ng pagpapadala sa panig ng LAN ay nangangahulugan ng pagbaba sa chain ng forwarding, hindi masamang ruta.

Isulat ang ruta at ang tuntunin ng firewall bilang isang pagbabago, dahil ang bawat isa nang mag-isa ay gumagawa ng kalagayang mukhang pagkabigo ng routing mula sa panig ng kliyente.

Magpasya sa pabalik na daan

Alinman sa matututunan ng router ng LAN ang ruta pabalik sa prefix ng VPN, o isasalin ng server ang mga source address sa paglabas. Ginagawang walang kahirapan ng pagsasalin ang pabalik na daan at sinisira ang pagkakakilanlan ng pinagmulan, kaya ang mga log ng destinasyon ay magpapakita ng address ng server para sa bawat kliyenteng nasa likod nito. Ang rutang prefix ay nagpapanatili ng pagkakakilanlan at nangangailangan ng pagbabago sa kagamitang maaaring hindi mo pinamamahalaan.

Pumili nang sinasadya at hindi batay sa kung alin ang mas mabilis i-type. Ang isang rutang prefix ay karaniwang mas malinis kaysa sa pagsasalin, at ang pagsasalin ay karaniwang mas mabuti kaysa turuan ang isang hindi pinamamahalaang router ng bagong prefix para sa isang lab lamang.

Panatilihing sinadya ang saklaw ng broadcast

Sa loob ng virtual na segment, ang DHCP, pagtuklas at anunsyo ng kapitbahay ay kumikilos tulad ng sa switch, dahil isang link lamang ito. Sa kabila ng rutang hangganan ay hindi nila ito ginagawa, kaya ang DHCP ng opisina at pagtuklas ng serbisyo ay nangangailangan ng tahasang disenyo at hindi ng pagpapalagay na isinasama sila ng TAP. Ang uri ng interface ay hindi relay para sa mga serbisyong naninirahan sa ibang lugar.

Iyon ang tapat na dahilan upang piliin ang TAP talaga: may isang bagay sa virtual na segment na nangangailangan ng pag-uugaling lokal sa link. Kung wala namang nangangailangan, ang TUN device na may rutang prefix ay mas maliit, at may mas kaunting ipapaliwanag kapag nasira ito.

I-verify, pagkatapos isulat ang rollback

Mula sa isang kliyente ng VPN, i-ping ang router ng LAN, i-ping ang isang host, at buksan ang isang serbisyong mahalaga sa TCP. Pagkatapos ay suriin ang mga counter at ang chain ng forwarding, dahil ang pagbaba ayon sa patakaran mula sa malayo ay mukhang eksaktong nawawalang ruta. Ang rollback ay kabaligtaran ng pagtatayo at kabilang sa talaan ng pagbabago bago ka magsimula: alisin ang ruta, alisin ang address, burahin ang interface.

Kung ang pangangailangan ay talagang isang Ethernet segment na sumasaklaw sa dalawang site, ang tulay ang tapat na sagot at ibang disenyo na may ibang saklaw ng epekto. Kung ang pangangailangan ay maabot, ang nakahiwalay na segment na may rutang uplink ay gumagawa ng trabaho nang may mas kaunting paliwanag mamaya.