OpenVPN TUN ile TAP: karar veren üç koşul

İki tünel aynı dosya aktarımını taşıyabilir ve yine de kabloya koydukları şeyde tamamen farklı olabilir. Biri iki adres arasında IP paketlerini taşır; diğeri Ethernet çerçevelerini taşır ve bir segmente köprülenebilir. Bu fark hangi uygulamaların çalıştığını, hangi istemcilerin bağlanabildiğini ve ne kadar ağ tasarımını üstlendiğinizi belirler.

Pratikte bunu üç koşul belirler. Bunları sırayla ele alın, çünkü ilki genellikle tartışmayı bitirir.

Her arayüz gerçekte neyi taşır

Bir TUN aygıtı, katman 3 noktadan noktaya arayüzdür: çekirdek ona IP paketlerini verir ve tünel bunları bir eş adresine taşır. Bir TAP aygıtı, Ethernet çerçevelerini taşıyan katman 2 arayüzüdür ve köprülemeyi baştan olanaklı kılan tam da budur, çekirdek belgelerinin açıkladığı gibi. İkisi de yükün nasıl şifrelendiğini değiştirmez ve ikisi de bir güç ayarı değildir. Seçim, uçların neyi takas etmesi gerektiğiyle ilgilidir, trafiğin ne kadar iyi korunduğuyla değil.

Bir sonuç hemen gelir: iki uç da anlaşmalıdır. Bir aygıt türü için yapılandırılmış bir istemci, diğeri için yapılandırılmış bir sunucuya katılamaz, başka her şey uyuşsa bile.

Birinci koşul: bir şey katman ikiye ihtiyaç duyuyor mu?

Köprüleme, bir protokol gerçekten aynı yayın alanına ihtiyaç duyduğunda karmaşıklığını hak eder: IP dışı trafik, yönlendiriciden geçemeyen keşif ya da tek bir segmentte ısrar eden bir uygulama. Geri kalan her şey bir yönlendirme sorunudur ve yönlendirme bunu çok daha az makineyle çözer. Bir segmenti geniş bir alana yaymak yayınlarını da yayar, bu yüzden döngü önleme, adres planlaması ve arıza alanları tasarımın parçası olur. Tek bir rotanın karşılayacağı bir gereksinim için bu çok fazladır.

Test somuttur: yönlendirilmiş tünelde başarısız olan uygulamayı adlandırın ve nedenini söyleyin. Yanıt yayına ihtiyaç duyduğuysa, katman iki dürüst yanıttır. Yanıt birinin bir sunucuya ulaşamadığıysa, gereksinim bir rota ya da güvenlik duvarı kuralıdır.

İkinci koşul: istemciler bunu yapabiliyor mu?

Destek tek tip değildir. Masaüstü istemcileri genellikle iki aygıt türünü de sunar, oysa mobil ve gömülü istemciler çoğu zaman yalnızca yönlendirilmiş kipi uygular ve şikâyetsiz içe aktarılan bir profil bile arayüzü oluşturmaya çalıştığında başarısız olabilir. Platform adından özellik çıkarsamak yerine belirli istemciyi ve sürümü denetleyin.

Desteklenmeyen bir seçenek hatası, içe aktarma başarılana kadar tanımadık satırları silme daveti değildir. Profil ile istemcinin neyin mümkün olduğu konusunda anlaşamadığı anlamına gelir ve onarım profili yayımlayan operatöre aittir. Bir doğrulayıcıyı susturmak için seçeneği kaldırmak, çalışıyor gibi görünen ama var olma nedenini sessizce atlayan bir bağlantı üretebilir.

Üçüncü koşul: bu gerçekten bir arayüz sorunu mu?

Arayüz sorunlarında yan yana iki seçenek suçlanır. Sanal aygıt tünele neyin girdiğine karar verirken UDP mi TCP mi dış taşımanın nasıl davrandığına karar verir ve ikisi de takılan aktarımları iyileştirmez. Büyük aktarımlar askıda kalırken küçükler başarılıysa, dikkat paket boyutuna ve MTU'ya verilmelidir.

Bağlanıp sonra bir iç ana makineye ulaşamayan istemci genellikle yönlendirmeye, bir güvenlik duvarı kuralına ya da eksik dönüş yoluna bakıyordur.

Yönetilen bir hizmet için operatörün profilinin belirlediği arayüz düzenini kullanın, çünkü sunucu tarafı zaten onun etrafında kurulmuştur. Özel bir kurulum için uygulamanın gerçek gereksiniminden seçin ve nedeni seçimin yanına yazın.

Soru hangi seçeneğin daha güçlü olduğu değil. Trafiğin gerçekte hangisine ihtiyaç duyduğudur.