Một máy chủ TAP hay nhiều máy? Máy khách OpenVPN trên cầu

Nhiều máy khách TAP không cần mỗi máy một tiến trình máy chủ, một cổng UDP và một thiết bị TAP trên máy chủ. Một máy chủ OpenVPN ở chế độ Ethernet có thể nhận nhiều máy khách đã xác thực và gắn chúng vào một cầu duy nhất, và đây là cách được tài liệu ghi nhận để mở rộng một phân đoạn lớp 2. Thiết kế một tiến trình là thiết kế mà sách hướng dẫn ghi lại, và thường là mặc định đúng.

Câu hỏi thực sự là liệu các máy khách đó có nên chia sẻ phân đoạn đó hay không. Số tiến trình không trả lời điều đó, vì các thuộc tính cách ly đến từ tô-pô chứ không phải từ số daemon đang chạy. Phần còn lại của so sánh này nói về hai tô-pô và điều mà mỗi loại làm cho dễ dàng.

Hai kiến trúc, không phải hai thiết lập

Triển khai TUN định tuyến cấp cho mỗi máy khách một liên kết điểm-điểm vào miền định tuyến của máy chủ. Quảng bá dừng ở máy chủ, các máy khách không thấy khung của nhau, và lưu lượng giữa các máy khách, nếu có, phải được định tuyến và lọc một cách rõ ràng.

Triển khai TAP có cầu biến các máy khách thành thành viên của một phân đoạn Ethernet. Chúng thấy quảng bá, có thể tìm nhau bằng ARP, và phụ thuộc vào chính sách cầu và tường lửa thay vì định tuyến để giữ tách biệt. Điều đó hữu ích khi các máy khách phải trông như được cắm vào cùng một switch.

Vì vậy so sánh là về điều máy khách cần vươn tới, không phải về hiệu năng. Hãy chọn lớp trước, rồi quyết định bao nhiêu tiến trình phục vụ nó.

Trình trợ giúp server-bridge làm gì

Trình trợ giúp server-bridge cấu hình chế độ Ethernet nhiều máy khách. Dạng nhóm địa chỉ của nó nhận cổng vào, mặt nạ mạng và một dải riêng bên trong mạng con có cầu, ví dụ cổng vào tại 192.168.50.1 với nhóm từ 192.168.50.160 đến 192.168.50.199.

Hãy dành riêng dải đó ngoài mọi cấp phát DHCP hoặc tĩnh khác. Trình trợ giúp cấp địa chỉ từ đó, nhưng không phối hợp với một bộ cấp phát khác trên cùng phân đoạn, và hai nhóm chồng lấn tạo ra địa chỉ trùng lặp trông như lỗi kết nối ngẫu nhiên. Ghi dải đã dành riêng vào kế hoạch địa chỉ của site để người tiếp theo không dùng lại. Một chú thích trong cấu hình máy chủ là vật thay thế kém cho bản ghi đó.

Có một dạng với proxy DHCP cho các triển khai nơi máy chủ bên ngoài cấp địa chỉ. Nó có các điều kiện tiên quyết riêng, và trộn hai dạng sẽ tạo ra đúng xung đột mà tài liệu cảnh báo. Chọn một bộ cấp phát cho mạng con có cầu.

Cách ly không đến từ số tiến trình

Tám tiến trình OpenVPN gắn vào cùng một cầu không hạn chế vẫn chia sẻ một miền quảng bá. Các máy khách có thể gửi ARP cho nhau qua cầu, và số người nghe không thay đổi gì về điều đó.

Nếu yêu cầu là các nhóm máy khách không nhìn thấy nhau ở lớp 2, thiết kế cần cầu riêng hoặc kết nối VLAN, cùng với các quy tắc truy cập đi kèm. Đây là quyết định thiết kế mạng, và là cùng một quyết định dù có một hay tám tiến trình máy chủ tham gia. Lọc cầu có thể hạn chế một phần lưu lượng, nhưng không tạo ra các miền quảng bá riêng. Hãy coi đó là phần bổ sung cho phân đoạn hóa, không phải vật thay thế.

Nếu yêu cầu chỉ là máy khách vươn tới một số dịch vụ IP nhất định, thiết kế TUN định tuyến thường đơn giản hơn việc làm cầu kèm lọc. Mỗi máy khách nhận liên kết riêng, và chính sách sống trong các quy tắc định tuyến và tường lửa thay vì bên trong cầu.

Khi nào nhiều tiến trình vẫn đúng

Các tiến trình riêng có thể được biện minh bởi nhu cầu vận hành: backend xác thực khác nhau, tổ chức chứng nhận khác nhau, chu kỳ nâng cấp riêng, hoặc bộ tùy chọn không tương thích. Đó là những lý do thực sự và độc lập với số máy khách.

Nếu dùng nhiều, hãy cấp cho mỗi tiến trình bộ lắng nghe và quyền sở hữu thiết bị riêng, và phối hợp các dải địa chỉ. Hai máy chủ cùng tin rằng mình sở hữu cùng một nhóm trên cùng một cầu cuối cùng sẽ cấp cùng một địa chỉ.

Sau đó xác minh thiết kế với nhiều máy khách cùng lúc. Kiểm tra rằng địa chỉ là duy nhất, lưu lượng dự kiến giữa các máy khách hoạt động, và cặp không được phép liên lạc thì thực sự không thể. Một ping thành công của một máy khách không kiểm chứng gì trong thiết kế nhiều máy khách.

Đọc cầu và chế độ máy chủ từ máy đang chạy trước khi tin vào sơ đồ. Cấu hình quan trọng là cấu hình mà nhân và daemon thực sự đã nạp, và đó cũng là thứ một người đánh giá có thể kiểm tra.