Köprüsüz TAP: yönlendirilmiş üst bağlantıya sahip sanal bir segment

TAP, Ethernet çerçevelerini işletim sistemine teslim eder; bu, çoğu uzaktan erişim tasarımının ihtiyaç duyduğundan fazla yetenek ve köprüden daha azdır. Çekirdek ona adres verebilir, içinden yönlendirme yapabilir ve onu herhangi bir fiziksel segmente bağlamadan güvenlik duvarıyla koruyabilir. Bu düzeni önce anlamakta fayda var: sunucusunun gerçek bir LAN'a doğru yönlendirici olarak davrandığı yalıtılmış bir sanal Ethernet segmenti. Tünelin içinde ikinci katman davranışı ve dışında olağan IP iletimi sağlar; bunlar iki farklı vaattir. Geri kalanı kurulum, rota, dönüş yolu ve geri alma işlemidir.

Yalıtılmış segmenti kurun

Linux'ta arayüz üç komut alır: onu oluşturun, yukarı kaldırın ve amaçladığınız segmentin içinde ona bir adres verin. Ofis LAN'ıyla çakışmayan bir önek seçin ve yazın, çünkü çakışma, olmaması gereken bir ana makine yanıt verene kadar görünmez.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Burada hiçbir şey köprü gerektirmez ve hiçbir şey daha sonra bir tane eklemeyi engellemez. Çekirdeğin TUN/TAP belgeleri arayüzün kendisini açıklar; köprü üyeliği ve iletim ilkesi daha sonra verdiğiniz ayrı kararlardır.

Sınırın ötesine yönlendirin

İletimi etkinleştirin, iletim zincirinde iki öneke izin verin ve LAN yönlendiricisini sonraki atlama olarak kullanarak ofis önekine doğru bir rota ekleyin. Ardından VPN tarafı ofise giden trafiği kendi ağ geçidi olarak sunucuya gönderir ve sunucu bu paketleri köprü olarak değil, kendisi olarak iletir. İletimi kapalı bir TAP arayüzü, yerel olarak yanıt veren ve ötesinde hiçbir yere ulaşmayan bir segmenttir; bu, olağan yarım kalmış durumdur. Daha sonra iki taraftaki arayüz sayaçlarını kontrol edin, çünkü LAN tarafında sabit gönderim sayacıyla birlikte artan alım sayacı kötü rota değil, iletim zincirinde düşüş anlamına gelir.

Rotayı ve güvenlik duvarı kuralını tek bir değişiklik olarak yazın, çünkü her biri tek başına istemci tarafından yönlendirme arızası gibi görünen bir durum yaratır.

Dönüş yoluna karar verin

Ya LAN yönlendiricisi VPN önekine geri dönüş rotası öğrenir, ya da sunucu çıkışta kaynak adresleri çevirir. Çeviri, dönüş yolunu zahmetsiz kılar ve kaynak kimliğini yok eder, bu yüzden hedef günlükleri arkasındaki her istemci için sunucunun adresini gösterecektir. Yönlendirilmiş bir önek kimliği korur ve yönetmediğiniz donanımda bir değişiklik gerektirir.

Hangisinin yazması daha hızlı olduğuna göre değil, bilinçli olarak seçin. Tek bir yönlendirilmiş önek genellikle çeviriden daha temizdir ve çeviri genellikle tek bir laboratuvar için yönetilmeyen bir yönlendiriciye yeni bir önek öğretmekten daha iyidir.

Yayın kapsamını bilinçli tutun

Sanal segmentin içinde DHCP, keşif ve komşu duyurusu bir anahtarda olduğu gibi davranır, çünkü tek bir bağlantıdır. Yönlendirilmiş sınırın ötesinde bunu yapmazlar, bu yüzden ofis DHCP'si ve hizmet keşfi, TAP'ın bunları içerdiği varsayımı yerine açık bir tasarıma ihtiyaç duyar. Arayüz türü başka yerde yaşayan hizmetler için bir aktarıcı değildir.

TAP'ı seçmenin dürüst nedeni budur: sanal segmentteki bir şeyin bağlantıya yerel davranışa ihtiyacı vardır. Hiçbir şeyin ihtiyacı yoksa, yönlendirilmiş önekli bir TUN aygıtı daha küçüktür ve bozulduğunda açıklanacak daha az şey vardır.

Doğrulayın, sonra geri almayı yazın

Bir VPN istemcisinden LAN yönlendiricisine ping atın, bir ana makineye ping atın ve TCP üzerinden önemli bir hizmet açın. Ardından sayaçları ve iletim zincirini kontrol edin, çünkü ilke kaynaklı bir düşüş uzaktan tam olarak eksik bir rota gibi görünür. Geri alma, kurulumun tersidir ve başlamadan önce değişiklik kaydına aittir: rotayı kaldırın, adresi kaldırın, arayüzü silin.

Gereksinim gerçekten iki sahayı kapsayan tek bir Ethernet segmentiyse, köprü dürüst yanıttır ve farklı etki yarıçapına sahip farklı bir tasarımdır. Gereksinim erişilebilirlikse, yönlendirilmiş üst bağlantıya sahip yalıtılmış segment işi daha sonra daha az açıklamayla yapar.