OpenVPN orqali ikki plata o'rtasida izolyatsiyalangan TAP ko'prigi

Ikki dasturlash platasi bitta Ethernet segmentini bo'lishishi kerak, ularning stollari esa turli binolarda joylashgan. Tunnel allaqachon mavjud va allaqachon Ethernet tashiydi, shuning uchun qolgan ish uchta buyruqdek ko'rinadi va unday emas. Xost ko'prikdan o'tgan kadr bilan nima qiladi, kompyuterning o'z manzili qayerga tegishli va ko'prik qanday chegara yaratmaydi — bu uchta alohida fakt, ikkinchisida xato qilish esa laboratoriyaning uzilishlar bilan ishlashi va uning boshqaruv ruxsati jimgina yomonlashishining odatiy sababidir. Bu uchta faktning hech biri topologiya chizmasida ko'rinmaydi.

Quyidagi yo'l ikki Linux kompyuteri o'rtasidagi autentifikatsiyalangan TAP ulanishini, har bir stol uchun bitta ajratilgan simli portni va tajribaning qismi bo'lmagan boshqaruv interfeysini nazarda tutadi. Tartib muhim: avval kadrlar, keyin manzillar, oxirida chegara.

Ko'prik aslida nimani ko'chiradi

Ko'prik — bu dasturiy ta'minotda amalga oshirilgan kommutator. U qaysi MAC manzili qaysi a'zo port ortida paydo bo'lishini o'rganadi va IP marshrutlash jadvaliga murojaat qilmasdan a'zolar o'rtasida kadrlarni uzatadi. Bu ta'rifda ichki tarmoq, shlyuz yoki standart marshrut yo'q, shuning uchun IP uzatishni yoqish bu ulanishni yaratmaydi va shuning uchun ping muvaffaqiyatli bo'lishi mumkin, boshqa trafik esa hanuz muvaffaqiyatsiz bo'ladi. Plata hech qanday standart marshrutsiz ham o'z sherigiga yetib borishi mumkin, bu ikkinchi qatlam uchinchi qatlam kabi ishlaydi deb kutganlarni hayratda qoldiradi.

Har bir kompyuter ko'prikka bitta simli portni va TAP qurilmasini o'sha ko'prikka beradi, shuning uchun plataning kadri mahalliy portga kiradi, TAP qurilmasiga uzatiladi, tunneldan o'tadi, sherigining TAP qurilmasiga yetib boradi va sherigining platasiga uzatiladi. Tunnel har qanday boshqa a'zo port kabi, va ko'prik uning orqasida VPN borligini bilmaydi va parvo qilmaydi. Aynan shu simmetriya misolni tushunishni osonlashtiradi: har tomonda laboratoriyaga qaragan bitta port va bitta tunnel porti bor, hech bir tomon alohida emas.

Board A -- bench0 -- br-test -- tap-bench
                                 |  OpenVPN TAP
Board B -- bench0 -- br-test -- tap-bench

Ikkala kompyuterdagi bir xil nomlar mahalliy nomlar, umumiy obyektlar emas. Stollar o'rtasida bitta Ethernet yo'li bor, ikkinchi kabel va siklini yopuvchi ikkinchi tunnel yo'q; bir xil MAC ikki portga kelayotganini ko'rgan ko'prik xursandchilik bilan aylana bo'ylab uzatadi.

Ko'prikka manzil bering, uning a'zo portlariga emas

Laboratoriya segmentidagi kompyuter identifikatori ko'prik qurilmasiga tegishli. A'zo portlar raqamsiz qoladi, chunki port uzatuvchi a'zo va unga qo'yilgan manzil o'sha segmentning ikkinchi, raqobatchi egasini yaratadi. Bu ko'p qo'lda yozilgan retseptlar xato qiladigan tuzatish: ular TAP qurilmasi va ko'prikka ham manzil beradi, keyin sherik aslida qaysi biriga yetib borishini o'ylaydi.

ip link add br-test type bridge
ip link set bench0 master br-test
ip link set tap-bench master br-test
ip address add 172.30.90.2/24 dev br-test
ip link set bench0 up
ip link set tap-bench up
ip link set br-test up

Sherik boshqa xost manzili bilan bir xil shaklni ishlatadi, platalar esa o'sha diapazonda manzillar oladi, kerak bo'lsa kompyuterning ko'prik manzilini keyingi sakrash sifatida ishlatadi. Reja kelishilgunga qadar hujjat diapazonlaridan foydalaning va diapazonni ofis allaqachon marshrutlayotgan narsa bilan to'qnashmasligi uchun band qiling. Biror qismini ishga tushirishdan oldin a'zo portlarda qoldiq manzil, DHCP mijozi va boshqa ko'prikda a'zolik yo'qligini tasdiqlang, va TAP qurilmasining manzillashini tunnel konfiguratsiyasiga ega bo'lgan narsa orqali uyg'unlashtiring, keyinroq manzilni tiklamasin.

Nega har bir stol uchun bitta ajratilgan port

Ajratilgan simli port tajribaning butun ofisga o'zgarish bo'lishiga yo'l qo'ymaydi. Boshqaruv interfeysi SSH, standart marshrut va tashqi VPN ulanishini tashiydi, va ularning hech biri maqsadi laboratoriya kadrlarini ko'chirish bo'lgan ko'prikka tegishli emas.

Boshqaruv adapterini ulash ofis LANini dasturlash platasidan bitta uzatish qarori masofasida qo'yadi, ikkinchi qatlamda yomon xatti-harakat qiladigan plata esa o'sha segmentda istamaydigan qurilma turidir. Wi-Fi adapteri undan ham yomon: infratuzilma rejimida simsiz interfeysni ko'priklash Ethernetni ko'priklash kabi ishlamaydi, va nosozlik toza emas, chalkashtiruvchi bo'ladi.

Laboratoriya diapazonini har qanday ishlab chiqarish DHCP hududidan tashqarida saqlang. Agar platalarga keyinroq dinamik manzillash kerak bo'lsa, bitta hovuzli bitta vakolatli taqsimlovchi — bashorat qilinadigan bo'lib qoladigan yagona tuzilma; bir segmentda javob beradigan ikki joyning oddiy marshrutizatorlari hech kim tushuntira olmaydigan manzillar yaratadi.

Ko'prik yaratmaydigan chegara

Ko'priklash marshrutlash emas, va u izolyatsiya ham emas. Ko'prikdan o'tadigan kadrlar o'rnatilgan bridge-netfilter yo'liga qarab xostning filtrlash ilgaklariga hali ham yetib borishi mumkin, shuning uchun samarali siyosatni taxmin qilish emas, tekshirish kerak. Bitta kadr yo'qolgani uchun xavfsizlik devorini o'chirish aniq xatoni umumiy xato bilan almashtiradi.

Ko'prik va har bir boshqaruv yoki uplink interfeysi o'rtasidagi IP uzatish o'chirilgan qolishi yoki aniq taqiqlanishi kerak, va bu ko'prik a'zoligidan alohida nazorat. Kompyuterning laboratoriya manzilini shlyuz sifatida tanlagan plata aynan shuni sinaydi: agar boshqaruv o'tishi muvaffaqiyatli bo'lsa, siz ko'zlagan chegara hech qachon bo'lmagan.

Yana ikki oila aniq qarorga loyiq. Manzillash rejasi ko'prikni faqat IPv4 qilmaydi, shuning uchun IPv6 va boshqa EtherType o'z rejasi yoki filtrini talab qiladi. Va muvaffaqiyatli ping plataning aniqlash eshittirishlari, multicast guruhlari yoki jumbo kadrlari yo'ldan o'tishi haqida hech narsa demaydi, chunki bular turli standart qiymatlarga ega turli trafik sinflari.

Nihoyat, transport va maxfiylik ikki xil xarid. TAP Ethernet tashiydi; OpenVPN xizmati uning atrofidagi himoyani ta'minlaydi. VXLAN qatlami ham Ethernet tashiydi va o'z-o'zidan hech qanday maxfiylik bermaydi, shuning uchun birini ikkinchisi bilan almashtirish topologiya chizmasi bir xil ko'rinsa ham xavfsizlik xususiyatlarini o'zgartiradi.

Barqarorlik va uni isbotlovchi sinovlar

Ulanishdan keyin bir marta terilgan buyruq konfiguratsiya emas. Ko'prikni, port a'zoligini va yagona xost manzilini kompyuterning mavjud tarmoq menejeri orqali doimiy qiling va ulanishni TAP qurilmasining paydo bo'lishiga bog'lang, qayta ulanish a'zosi yo'qolgan ko'prik qoldirmasin.

bridge link show
ip -d link show br-test
bridge fdb show br br-test | head

Keyin platalarga ikki yo'nalishda aslida nima kerakligini sinab ko'ring, tunnelni qayta ulang va tasdiqlangan tiklash rejasi bo'yicha bitta kompyuterni qayta ishga tushiring. Keyin uch narsani tasdiqlang: boshqaruv ruxsati hanuz mustaqil ishlaydi, takrorlangan laboratoriya manzili ko'rinmaydi va kutilmagan ishlab chiqarish interfeysi ko'prikka qo'shilmagan. Aynan shu birikma tajriba o'z stolida qolganining dalilidir.