Tek TAP sunucusu mu, birkaç tane mi? Köprü üzerindeki OpenVPN istemcileri
TAP istemcileri tek bir köprüyü ve tek bir sunucu sürecini paylaşır; bu aynı zamanda tek bir yayın alanı demektir. Seçim yapmadan önce köprülü Ethernet ile yönlendirilmiş TUN'u karşılaştırın.
Birden çok TAP istemcisi her biri için bir sunucu süreci, bir UDP bağlantı noktası ve ana makinede bir TAP aygıtı gerektirmez. Ethernet kipindeki bir OpenVPN sunucusu birçok kimliği doğrulanmış istemciyi kabul edip bunları tek bir köprüye bağlayabilir ve bir katman 2 segmentini genişletmenin belgelenmiş yolu budur. Tek süreçli tasarım kılavuzun belgelediği tasarımdır ve genellikle doğru varsayılandır.
Asıl soru, bu istemcilerin o segmenti paylaşıp paylaşmaması gerektiğidir. Süreç sayısı buna yanıt vermez, çünkü yalıtım özellikleri topolojiden gelir, kaç arka plan sürecinin çalıştığından değil. Bu karşılaştırmanın geri kalanı iki topoloji ve her birinin neyi kolaylaştırdığıyla ilgilidir.
İki mimari, iki ayar değil
Yönlendirilmiş TUN dağıtımı her istemciye sunucunun yönlendirme alanına noktadan noktaya bir bağlantı verir. Yayınlar sunucuda durur, istemciler birbirlerinin çerçevelerini göremez ve istemciler arasındaki trafik varsa açıkça yönlendirilip süzülmelidir.
Köprülü TAP dağıtımı istemcileri tek bir Ethernet segmentinin üyeleri yapar. Yayınları görürler, ARP ile birbirlerini bulabilirler ve ayrı kalmak için yönlendirme yerine köprü ve güvenlik duvarı ilkesine güvenirler. İstemcilerin aynı anahtara takılmış gibi görünmesi gerektiğinde bu yararlıdır.
Dolayısıyla karşılaştırma istemcilerin neye ulaşması gerektiğiyle ilgilidir, performansla değil. Önce katmanı seçin, sonra ona kaç sürecin hizmet edeceğine karar verin.
server-bridge yardımcısı ne yapar
server-bridge yardımcısı çok istemcili Ethernet kipini yapılandırır. Adres havuzu biçimi ağ geçidini, ağ maskesini ve köprülü alt ağ içinde ayrılmış bir aralığı alır, örneğin 192.168.50.1 adresinde bir ağ geçidi ve 192.168.50.160 ile 192.168.50.199 arasında bir havuz.
Bu aralığı başka herhangi bir DHCP veya statik atamanın dışında tutun. Yardımcı oradan adres dağıtır, ancak aynı segmentteki başka bir dağıtıcıyla eşgüdüm sağlamaz ve üst üste binen iki havuz, rastgele bağlantı sorunları gibi görünen yinelenen adresler üretir. Ayrılan aralığı sitenin adres planına yazın ki sonraki kişi onu yeniden kullanmasın. Sunucu yapılandırmasındaki bir yorum, o kaydın zayıf bir yerine geçicisidir.
Adresleri dış bir sunucunun dağıttığı kurulumlar için DHCP vekili biçimi vardır. Kendi ön koşulları vardır ve iki biçimi karıştırmak belgelerin uyardığı çakışmayı tam olarak üretir. Köprülü alt ağ için tek bir dağıtıcı seçin.
Yalıtım süreç sayısından gelmez
Aynı sınırsız köprüye bağlı sekiz OpenVPN süreci hâlâ tek bir yayın alanını paylaşır. İstemciler köprü üzerinden birbirlerine ARP gönderebilir ve dinleyici sayısı bunda hiçbir şeyi değiştirmedi.
Gereksinim, istemci gruplarının katman 2'de birbirlerini görmemesi ise tasarımın ayrı köprülere veya VLAN bağlantılarına ve bunlarla gelen erişim kurallarına ihtiyacı vardır. Bu bir ağ tasarımı kararıdır ve bir sunucu süreci mi yoksa sekiz mi katıldığından bağımsız olarak aynı karardır. Köprü süzmesi bazı trafiği kısıtlayabilir, ancak ayrı yayın alanları oluşturmaz. Bunu bölümlemeye bir ek olarak görün, onun yerine geçen bir şey olarak değil.
Gereksinim yalnızca istemcilerin belirli IP hizmetlerine ulaşmasıysa, yönlendirilmiş TUN tasarımı genellikle köprüleme ve süzmeden daha basittir. Her istemci kendi bağlantısını alır ve ilke köprünün içinde değil, yönlendirme ve güvenlik duvarı kurallarında yaşar.
Birden çok sürecin yine de doğru olduğu durumlar
Ayrı süreçler işletim gereksinimleriyle gerekçelendirilebilir: farklı kimlik doğrulama arka uçları, farklı sertifika yetkilileri, ayrı yükseltme döngüleri veya uyumsuz seçenek kümeleri. Bunlar gerçek nedenlerdir ve istemci sayısından bağımsızdır.
Birkaçını kullanıyorsanız her birine kendi dinleyicisini ve aygıt sahipliğini verin ve adres aralıklarını eşgüdümleyin. Aynı köprüde aynı havuzun kendilerine ait olduğuna inanan iki sunucu er ya da geç aynı adresi dağıtır.
Ardından tasarımı aynı anda birkaç istemciyle doğrulayın. Adreslerin benzersiz olduğunu, istemciler arasında amaçlanan trafiğin çalıştığını ve iletişim kurmaması gereken çiftin bunu yapamadığını denetleyin. Tek bir istemcinin başarılı pingi çok istemcili tasarımın hiçbir parçasını sınamaz.
Şemaya güvenmeden önce köprüyü ve sunucu kipini çalışan ana makineden okuyun. Önemli olan yapılandırma, çekirdeğin ve arka plan sürecinin gerçekte yüklediğidir ve bir gözden geçirenin denetleyebileceği de odur.