TAP không có cầu: một phân đoạn ảo với đường lên được định tuyến

TAP chuyển các khung Ethernet cho hệ điều hành, đây là khả năng lớn hơn mức hầu hết thiết kế truy cập từ xa cần và nhỏ hơn một cầu. Nhân có thể đánh địa chỉ cho nó, định tuyến qua nó và bảo vệ nó bằng tường lửa mà không cần gắn nó vào bất kỳ phân đoạn vật lý nào. Cách bố trí này đáng hiểu trước tiên: một phân đoạn Ethernet ảo bị cô lập mà máy chủ của nó hoạt động như bộ định tuyến hướng tới một LAN thật. Nó cho hành vi lớp hai bên trong đường hầm và chuyển tiếp IP thông thường bên ngoài, đó là hai lời hứa khác nhau. Phần còn lại là việc xây dựng, tuyến, đường quay về và việc hoàn tác.

Xây dựng phân đoạn bị cô lập

Trên Linux giao diện nhận ba lệnh: tạo nó, nâng nó lên, và gán cho nó một địa chỉ bên trong phân đoạn bạn dự định. Chọn một tiền tố không xung đột với LAN của văn phòng và ghi lại, vì xung đột là vô hình cho đến khi một máy chủ không nên tồn tại trả lời.

ip tuntap add dev tap0 mode tap
ip link set tap0 up
ip addr add 10.77.0.1/24 dev tap0

Không gì ở đây đòi hỏi một cầu, và không gì ngăn việc thêm một cầu sau này. Tài liệu của nhân về TUN/TAP mô tả chính giao diện; tư cách thành viên cầu và chính sách chuyển tiếp là những quyết định riêng bạn đưa ra sau đó.

Định tuyến qua ranh giới

Bật chuyển tiếp, cho phép hai tiền tố trong chuỗi chuyển tiếp, và thêm một tuyến về phía tiền tố văn phòng với bộ định tuyến LAN là bước nhảy tiếp theo. Sau đó phía VPN gửi lưu lượng hướng tới văn phòng đến máy chủ như cổng của nó, và máy chủ chuyển tiếp các gói đó với tư cách chính nó, không phải một cầu. Giao diện TAP bị tắt chuyển tiếp là một phân đoạn trả lời cục bộ và không với tới gì ngoài nó, đó là trạng thái nửa hoàn thành thường gặp. Sau đó kiểm tra bộ đếm giao diện ở cả hai phía, vì bộ đếm nhận tăng với bộ đếm gửi phẳng ở phía LAN nghĩa là một lần rơi trong chuỗi chuyển tiếp, không phải tuyến xấu.

Viết tuyến và quy tắc tường lửa như một thay đổi duy nhất, vì mỗi thứ một mình tạo ra trạng thái trông như lỗi định tuyến từ phía máy khách.

Quyết định đường quay về

Hoặc bộ định tuyến LAN học một tuyến quay về tiền tố VPN, hoặc máy chủ dịch địa chỉ nguồn khi ra ngoài. Dịch làm đường quay về trở nên tầm thường và phá hủy danh tính nguồn, vì vậy nhật ký đích sẽ hiển thị địa chỉ của máy chủ cho mọi máy khách phía sau nó. Một tiền tố được định tuyến giữ danh tính và đòi hỏi thay đổi trên thiết bị mà bạn có thể không quản lý.

Chọn có chủ đích thay vì theo cái nào gõ nhanh hơn. Một tiền tố được định tuyến thường sạch hơn dịch, và dịch thường tốt hơn việc dạy một bộ định tuyến không được quản lý một tiền tố mới cho một phòng thí nghiệm duy nhất.

Giữ phạm vi quảng bá có chủ đích

Bên trong phân đoạn ảo, DHCP, khám phá và thông báo láng giềng hành xử như trên một switch, vì đây là một liên kết. Bên kia ranh giới được định tuyến chúng không làm vậy, nên DHCP của văn phòng và khám phá dịch vụ cần một thiết kế rõ ràng thay vì giả định rằng TAP bao gồm chúng. Loại giao diện không phải bộ chuyển tiếp cho các dịch vụ sống ở nơi khác.

Đó là lý do trung thực để chọn TAP ngay từ đầu: một thứ gì đó trên phân đoạn ảo cần hành vi cục bộ theo liên kết. Nếu không gì cần, một thiết bị TUN với tiền tố được định tuyến nhỏ hơn, và có ít điều để giải thích khi nó hỏng.

Xác minh, rồi viết việc hoàn tác

Từ một máy khách VPN, ping bộ định tuyến LAN, ping một máy chủ, và mở một dịch vụ quan trọng qua TCP. Sau đó kiểm tra bộ đếm và chuỗi chuyển tiếp, vì một lần rơi do chính sách từ xa trông đúng như một tuyến bị thiếu. Hoàn tác là ngược lại của việc xây dựng và thuộc về bản ghi thay đổi trước khi bạn bắt đầu: gỡ tuyến, gỡ địa chỉ, xóa giao diện.

Nếu yêu cầu thực sự là một phân đoạn Ethernet trải rộng hai địa điểm, một cầu là câu trả lời trung thực và một thiết kế khác với bán kính ảnh hưởng khác. Nếu yêu cầu là khả năng tiếp cận, phân đoạn bị cô lập với đường lên được định tuyến làm công việc với ít giải thích hơn về sau.