TAP ko‘prisiz: yo‘naltirilgan yuqori kanalli virtual segment

TAP Ethernet kadrlarini operatsion tizimga topshiradi, bu ko‘pchilik masofaviy kirish loyihalariga kerak bo‘lganidan ortiq imkoniyat va ko‘prikdan kamroqdir. Yadro unga manzil bera oladi, u orqali marshrutlay oladi va uni hech qanday jismoniy segmentga ulamasdan tarmoq to‘sig‘i bilan himoya qila oladi. Bu tartibni birinchi navbatda tushunishga arziydi: serveri haqiqiy LAN tomon yo‘naltiruvchi vazifasini bajaradigan izolyatsiyalangan virtual Ethernet segmenti. U tunnel ichida ikkinchi qatlam xatti-harakatini va tashqarisida oddiy IP uzatishni beradi, bu ikki xil va’dadir. Qolgani qurilish, marshrut, qaytish yo‘li va orqaga qaytarishdir.

Izolyatsiyalangan segmentni quring

Linuxda interfeys uchta buyruq oladi: uni yarating, uni ko‘taring va mo‘ljallagan segmentingiz ichida unga manzil bering. Ofis LAN bilan to‘qnashmaydigan prefiks tanlang va uni yozib qo‘ying, chunki to‘qnashuv mavjud bo‘lmasligi kerak bo‘lgan xost javob bermaguncha ko‘rinmaydi.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Bu yerda hech narsa ko‘prik talab qilmaydi va keyinchalik uni qo‘shishga hech narsa to‘sqinlik qilmaydi. Yadroning TUN/TAP hujjatlari interfeysning o‘zini tavsiflaydi; ko‘prik a’zoligi va uzatish siyosati keyinroq qabul qiladigan alohida qarorlardir.

Chegara orqali marshrutlang

Uzatishni yoqing, uzatish zanjirida ikkala prefiksga ruxsat bering va ofis prefiksi tomon LAN yo‘naltiruvchisini keyingi qadam sifatida qo‘yib marshrut qo‘shing. So‘ngra VPN tomoni ofisga qaratilgan trafikni o‘z shlyuzi sifatida serverga yuboradi, server esa bu paketlarni ko‘prik sifatida emas, o‘zi sifatida uzatadi. Uzatish o‘chirilgan TAP interfeysi mahalliy javob beradigan va undan nariga hech narsaga yetmaydigan segmentdir, bu odatiy yarim tugallangan holat. Keyin ikki tomondagi interfeys hisoblagichlarini tekshiring, chunki LAN tomonida barqaror yuborish hisoblagichi bilan ortib borayotgan qabul hisoblagichi yomon marshrut emas, uzatish zanjiridagi tushish demakdir.

Marshrut va tarmoq to‘sig‘i qoidasini bitta o‘zgarish sifatida yozing, chunki har biri alohida mijoz tomonidan marshrutlash nosozligidek ko‘rinadigan holat yaratadi.

Qaytish yo‘lini hal qiling

Yo LAN yo‘naltiruvchisi VPN prefiksiga qaytish marshrutini o‘rganadi, yo server chiqishda manba manzillarini tarjima qiladi. Tarjima qaytish yo‘lini trivial qiladi va manba identifikatorini yo‘q qiladi, shuning uchun manzil jurnallari uning orqasidagi har bir mijoz uchun server manzilini ko‘rsatadi. Marshrutlangan prefiks identifikatorni saqlaydi va siz boshqarmasligingiz mumkin bo‘lgan uskunada o‘zgarish talab qiladi.

Qaysi birini yozish tezroq ekaniga qarab emas, qasddan tanlang. Bitta marshrutlangan prefiks odatda tarjimadan tozaroq, tarjima esa bitta laboratoriya uchun boshqarilmaydigan yo‘naltiruvchiga yangi prefiks o‘rgatishdan odatda yaxshiroq.

Eshittirish qamrovini qasddan saqlang

Virtual segment ichida DHCP, aniqlash va qo‘shni e’loni kommutatordagidek harakat qiladi, chunki bu bitta aloqa. Marshrutlangan chegara narigi tomonida ular bunday qilmaydi, shuning uchun ofis DHCP va xizmatlarni aniqlash TAP ularni qamrab oladi degan taxminga emas, aniq dizaynga muhtoj. Interfeys turi boshqa joyda yashaydigan xizmatlar uchun rele emas.

TAP ni umuman tanlashning halol sababi shu: virtual segmentdagi biror narsaga aloqaga mahalliy xatti-harakat kerak. Hech narsaga kerak bo‘lmasa, marshrutlangan prefiksli TUN qurilmasi kichikroq va buzilganda tushuntirish kamroq.

Tekshiring, so‘ng orqaga qaytarishni yozing

VPN mijozi sifatida LAN yo‘naltiruvchisiga ping yuboring, xostga ping yuboring va TCP orqali muhim bo‘lgan bitta xizmatni oching. So‘ngra hisoblagichlar va uzatish zanjirini tekshiring, chunki uzoqdan siyosat tushishi aynan yo‘qolgan marshrutga o‘xshaydi. Orqaga qaytarish qurilishning aksi bo‘lib, boshlashdan oldin o‘zgarishlar yozuvida bo‘lishi kerak: marshrutni olib tashlang, manzilni olib tashlang, interfeysni o‘chiring.

Agar talab haqiqatan ikki saytni qamrab oluvchi bitta Ethernet segmenti bo‘lsa, ko‘prik halol javob va boshqa ta’sir radiusiga ega boshqa dizayndir. Agar talab yetib borish bo‘lsa, marshrutlangan yuqori kanalli izolyatsiyalangan segment ishni keyinroq kamroq tushuntirish bilan bajaradi.