Bitta TAP serverimi yoki bir nechtami? Ko‘prikdagi OpenVPN mijozlari
TAP mijozlari bitta ko‘prik va bitta server jarayonini bo‘lishadi, bu esa bitta translyatsiya domenini ham bildiradi. Tanlashdan oldin ko‘prikli Ethernetni marshrutlangan TUN bilan solishtiring.
Bir nechta TAP mijozi har biri uchun bitta server jarayoni, bitta UDP porti va xostda bitta TAP qurilmasi talab qilmaydi. Ethernet rejimidagi bitta OpenVPN serveri ko‘plab autentifikatsiyadan o‘tgan mijozlarni qabul qilib, ularni bitta ko‘prikka ulashi mumkin, va bu 2-qatlam segmentini kengaytirishning hujjatlashtirilgan usuli. Bitta jarayonli loyiha qo‘llanmada hujjatlashtirilgan variant bo‘lib, odatda to‘g‘ri standart hisoblanadi.
Asl savol — bu mijozlar o‘sha segmentni bo‘lishishi kerakmi. Jarayonlar soni bunga javob bermaydi, chunki izolyatsiya xossalari topologiyadan kelib chiqadi, qancha demon ishlayotganidan emas. Bu taqqoslashning qolgan qismi ikki topologiya va har biri nimani osonlashtirishi haqida.
Ikki arxitektura, ikki sozlama emas
Marshrutlangan TUN joylashtiruvi har bir mijozga serverning marshrutlash domeniga nuqta-nuqta ulanish beradi. Translyatsiyalar serverda to‘xtaydi, mijozlar bir-birining freymlarini ko‘ra olmaydi, mijozlar orasidagi trafik bo‘lsa, uni aniq marshrutlash va filtrlash kerak.
Ko‘prikli TAP joylashtiruvi mijozlarni bitta Ethernet segmentining a’zolariga aylantiradi. Ular translyatsiyalarni ko‘radi, ARP bilan bir-birini topa oladi va alohida qolish uchun marshrutlashga emas, ko‘prik va xavfsizlik devori siyosatiga tayanadi. Mijozlar xuddi bitta kommutatorga ulangandek ko‘rinishi kerak bo‘lganda bu foydali.
Demak, taqqoslash mijozlar nimaga erishishi kerakligi haqida, unumdorlik haqida emas. Avval qatlamni tanlang, keyin unga nechta jarayon xizmat qilishini hal qiling.
server-bridge yordamchisi nima qiladi
server-bridge yordamchisi ko‘p mijozli Ethernet rejimini sozlaydi. Uning manzillar hovuzi shakli shlyuzni, tarmoq maskasini va ko‘prikli quyi tarmoq ichidagi ajratilgan diapazonni oladi, masalan 192.168.50.1 da shlyuz va 192.168.50.160 dan 192.168.50.199 gacha hovuz.
Bu diapazonni boshqa har qanday DHCP yoki statik taqsimotdan tashqarida saqlang. Yordamchi undan manzillar ajratadi, lekin o‘sha segmentdagi boshqa taqsimlovchi bilan muvofiqlashtirmaydi, ustma-ust tushadigan ikki hovuz esa tasodifiy ulanish nosozliklariga o‘xshaydigan takroriy manzillar hosil qiladi. Ajratilgan diapazonni saytning manzillar rejasiga yozing, keyingi odam uni qayta ishlatmasin. Server konfiguratsiyasidagi izoh o‘sha yozuvning yomon o‘rnini bosuvchisidir.
Manzillarni tashqi server tarqatadigan joylashtiruvlar uchun DHCP proksisi shakli mavjud. Uning o‘z shartlari bor, ikki shaklni aralashtirish esa hujjatlar ogohlantiradigan aynan o‘sha ziddiyatni keltirib chiqaradi. Ko‘prikli quyi tarmoq uchun bitta taqsimlovchi tanlang.
Izolyatsiya jarayonlar sonidan kelmaydi
Xuddi shu cheklanmagan ko‘prikka ulangan sakkiz OpenVPN jarayoni baribir bitta translyatsiya domenini bo‘lishadi. Mijozlar ko‘prik orqali bir-biriga ARP yubora oladi va tinglovchilar soni bunga hech narsani o‘zgartirmadi.
Agar talab mijoz guruhlari 2-qatlamda bir-birini ko‘rmasligi bo‘lsa, loyihaga alohida ko‘priklar yoki VLAN ulanishlari va ular bilan birga keladigan kirish qoidalari kerak. Bu tarmoq loyihalash qarori va bitta server jarayoni yoki sakkiztasi ishtirok etishidan qat’i nazar bir xil qaror. Ko‘prik filtrlash trafikning bir qismini cheklashi mumkin, lekin alohida translyatsiya domenlarini yaratmaydi. Uni segmentatsiyaga qo‘shimcha deb qarang, uning o‘rnini bosuvchi deb emas.
Agar talab faqat mijozlar ayrim IP xizmatlariga yetishi bo‘lsa, marshrutlangan TUN loyihasi odatda ko‘priklash va filtrlashdan sodda. Har bir mijoz o‘z ulanishini oladi, siyosat esa ko‘prik ichida emas, marshrutlash va xavfsizlik devori qoidalarida yashaydi.
Qachon bir nechta jarayon hali ham to‘g‘ri
Alohida jarayonlarni operatsion ehtiyojlar bilan asoslash mumkin: turli autentifikatsiya backendlari, turli sertifikat organlari, alohida yangilash sikllari yoki mos kelmaydigan parametrlar to‘plami. Bular haqiqiy sabablar va mijozlar sonidan mustaqil.
Agar bir nechtasini ishlatsangiz, har biriga o‘z tinglovchisini va qurilma egaligini bering, manzil diapazonlarini muvofiqlashtiring. Xuddi shu ko‘prikda xuddi shu hovuzni o‘ziniki deb hisoblaydigan ikki server oxir-oqibat xuddi shu manzilni beradi.
So‘ng loyihani bir vaqtda bir nechta mijoz bilan tekshiring. Manzillar noyobligini, mijozlar orasidagi ko‘zlangan trafik ishlashini va aloqa qilmasligi kerak bo‘lgan juftlik buni qila olmasligini tekshiring. Bitta mijozning muvaffaqiyatli pingi ko‘p mijozli loyihadan hech narsani sinamaydi.
Diagrammaga ishonishdan oldin ko‘prik va server rejimini ishlab turgan xostdan o‘qing. Muhim konfiguratsiya — yadro va demon haqiqatda yuklagan konfiguratsiya, va taqrizchi tekshira oladigan narsa ham o‘sha.