OpenVPN TUN và TAP: ba điều kiện quyết định

Hai đường hầm có thể mang cùng một lần truyền tệp và vẫn hoàn toàn khác nhau về thứ chúng đặt lên dây. Một bên di chuyển gói IP giữa hai địa chỉ; bên kia di chuyển khung Ethernet và có thể được cầu nối vào một phân đoạn. Chính sự khác biệt đó quyết định ứng dụng nào hoạt động, máy khách nào có thể kết nối và bạn đảm nhận bao nhiêu thiết kế mạng.

Trong thực tế, ba điều kiện quyết định việc này. Hãy xét theo thứ tự, vì điều kiện đầu thường kết thúc cuộc tranh luận.

Mỗi giao diện thực sự mang gì

Thiết bị TUN là giao diện điểm-điểm ở lớp 3: nhân trao cho nó các gói IP và đường hầm mang chúng đến địa chỉ đối tác. Thiết bị TAP là giao diện lớp 2 mang khung Ethernet, và chính điều này khiến việc cầu nối trở nên khả thi, như tài liệu của nhân mô tả. Cả hai đều không thay đổi cách mã hóa tải trọng và cả hai đều không phải thiết lập độ mạnh. Lựa chọn nói về việc hai đầu phải trao đổi gì, không phải về mức độ bảo vệ lưu lượng.

Một hệ quả đến ngay: cả hai đầu phải đồng ý. Máy khách được cấu hình cho một loại thiết bị không thể tham gia máy chủ được cấu hình cho loại kia, dù mọi thứ khác có khớp.

Điều kiện một: có thứ gì cần lớp hai không?

Cầu nối xứng đáng với độ phức tạp của nó khi một giao thức thực sự cần cùng một miền quảng bá: lưu lượng không phải IP, khám phá không thể đi qua bộ định tuyến, hoặc ứng dụng khăng khăng chỉ ở một phân đoạn. Mọi thứ khác là vấn đề định tuyến, và định tuyến giải quyết nó với ít máy móc hơn nhiều. Kéo dài một phân đoạn trên vùng rộng cũng kéo dài quảng bá của nó, nên chống vòng lặp, quy hoạch địa chỉ và miền sự cố đều trở thành một phần của thiết kế. Đó là rất nhiều để chấp nhận cho một yêu cầu mà một tuyến duy nhất đã đáp ứng.

Bài kiểm tra rất cụ thể: hãy kể tên ứng dụng thất bại trên đường hầm có định tuyến và nói tại sao. Nếu câu trả lời là nó cần quảng bá, thì lớp hai là câu trả lời trung thực. Nếu câu trả lời là ai đó không đến được một máy chủ, thì yêu cầu là một tuyến hoặc một quy tắc tường lửa.

Điều kiện hai: máy khách có làm được không?

Hỗ trợ không đồng đều. Máy khách máy tính thường cung cấp cả hai loại thiết bị, trong khi máy khách di động và nhúng thường chỉ triển khai chế độ định tuyến, và một hồ sơ được nhập vào mà không có phàn nàn vẫn có thể thất bại khi cố tạo giao diện. Hãy kiểm tra máy khách và phiên bản cụ thể thay vì suy ra tính năng từ tên nền tảng.

Lỗi về tùy chọn không được hỗ trợ không phải lời mời xóa những dòng xa lạ cho đến khi việc nhập thành công. Nó có nghĩa là hồ sơ và máy khách không đồng ý về những gì khả thi, và việc sửa thuộc về người vận hành đã phát hành hồ sơ. Xóa một tùy chọn để làm im lặng trình kiểm tra có thể tạo ra kết nối trông như đang hoạt động nhưng âm thầm bỏ qua thuộc tính mà nó tồn tại để cung cấp.

Điều kiện ba: đây có thực sự là câu hỏi về giao diện không?

Hai lựa chọn liền kề thường bị đổ lỗi cho các vấn đề giao diện. Thiết bị ảo quyết định thứ gì đi vào đường hầm, trong khi UDP hay TCP quyết định cách vận chuyển bên ngoài hoạt động, và cả hai đều không chữa được những lần truyền bị treo. Khi các lần truyền lớn bị treo còn lần nhỏ thành công, kích thước gói và MTU mới đáng được chú ý.

Máy khách kết nối rồi sau đó không đến được một máy chủ nội bộ thường đang nhìn vào định tuyến, một quy tắc tường lửa hoặc một đường trở về bị thiếu.

Với dịch vụ được quản lý, hãy dùng cách bố trí giao diện mà hồ sơ của người vận hành quy định, vì phía máy chủ đã được xây quanh nó. Với triển khai riêng, hãy chọn từ yêu cầu thực tế của ứng dụng và ghi lý do bên cạnh lựa chọn.

Câu hỏi không phải là tùy chọn nào mạnh hơn. Mà là lưu lượng thực sự cần cái nào.