Logo    
Деловая газета CitCity.ru CITKIT.ru - все об Open Source Форумы Все публикации Учебный центр Курилка
CitForum    CITForum на CD    Подписка на новости портала Море(!) аналитической информации! :: CITFORUM.RU
IT-консалтинг Software Engineering Программирование СУБД Безопасность Internet Сети Операционные системы Hardware

27.03.2017

Google
WWW CITForum.ru
С Новым годом!

2006 г.

Организация единой сети при помощи виртуальных ethernet адаптеров (TAP) и программных мостов

Роман Ерин, "Slackware Linux в Томске"

Это нужно внимательно прочитать

К написанию статьи автора подтолкнуло естественное желание помочь другим людям. Автор не несёт ответственности за возможный вред, нанесённый использованием или невозможностью использования информации из этого документа. Вы используете эту информацию "КАК ЕСТЬ" без всяких гарантий. Не присылайте, пожалуйста, мне гневных писем с жалобами на то что у вас не работает - у меня это работает и, по всей видимости, должно работать у вас - если не работает - что ж, мне очень жаль... Не просите меня объяснить вам что-либо из того, что написано в этом документе - всё, что я хотел и мог рассказать изложено ниже.

Терминология

  • layer 2 - уровень 2 модели OSI (канальный) - на этом уровне работает ethernet
  • layer 2 тунель исходя из предыдущего пункта - виртуальный ethernet адаптер - поэтому оба термина используются в документе и совершенно равнозначны
  • VPN - виртуальная сеть в своём изначальном смысле - не только pptp
  • маршрутизатор - устройство 3-его уровня OSI - использует логическую адресацию
  • коммутатор(мост) - устройство 2-ого уровня OSI - использует физическую адресацию (по MAC)
  • Spanning Tree Protocol (STP) - протокол, позволяющий коммутаторам автоматически определять древовидную конфигурацию связей в сети без образования петель

Проблема

Время от времени встаёт необходимость объединить географически удалёные объекты в единую сеть с единым адресным пространством. Для большей конкретности будем рассматривать некую компанию с офисами расположенными в разных концах города или вообще в разных городах. Конечно, если все офисы подключены к одному провайдеру и провайдер готов предоставить VLAN - задача вырождается в совершенно тривиальную.

Предположим, что провайдер по некоторым одному ему понятным причинам, отказывается сделать отдельный VLAN или офисы подключены к разным операторам (в этом случае выделение VLAN-а становится чем-то из области ненаучной фантастики).

Решение

Для работы единой сети необходимо создать единое layer2 пространство, т.е. обеспечить ip пакетам прозрачное прохождение маршрутизаторов и передачу arp запросов. В принципе, поскольку создаётся единое layer2 пространство, можно таким же образом осуществить объединение сетей Netware на базе ipx.

Немного теории

Перед вами два рисунка:

  • разделённые сети
  • объединённые сети

Итак, давайте рассмотрим более подробно, что изображено на рисунках.

На первом рисунке изображены 3 локалки: A,B,C и их пограничные маршрутизаторы. Черные линии между маршрутизаторами показывают связи между маршрутизаторами. Как происходит маршрутизация в реальности - совершенно безразлично.

При такой схеме построения сети невозможно распространение широковещательных пакетов, в результате чего отказываются работать некоторые сетевые приложения (чаще всего игры). Кроме того, если в сетях работают протоколы, отличные от ip - их также невозможно использовать при обмене данными между сетями. Обычно эту проблему решают при помощи VPN типа точка-точка, однако такое построение VPN не предоставляет тех возможностей, какие доступны при прямом ethernet подключении.

Предлагаемый способ построения VPN на основе виртуальных ethernet интерфейсов (TAP) и программных ethernet мостов позволяет решить все указаные проблемы, фактически объединив локалки A,B и C в одну большую сеть. При этом маршрутизаторы будут выполнять функции программных коммутаторов. Сказаное выше иллюстрирует рисунок 2.

На рисунке 2 голубыми линиями изображены связи между маршрутизаторами Поверх этих связей проброшены layer2 тунели (виртуальные ethernet адаптеры). Оранжевыми линиями обозначены включенные программные мосты поверх layer 2 тунелей. Красным обозначена избыточная связь, которая при использовании STP может быть использована для увеличения надежности образуемой сети.

Особенно хотелось бы подчеркнуть, что при такой организации VPN можно работать с любыми сетевыми протоколами, не только ip.

Реализация

Для реализации решения можно использовать любую из нижеперечисленных ОС:

  • Linux
  • FreeBSD
  • Windows (экспериментельно не проверялось, но должно работать)

Итак, если куски вашей сети имеют общую точку-маршрутизатор, решение задачи заключается в создании моста между двумя физическими интерфейсами маршрутизатора. Такой вариант может вам пригодиться, если вы ходите разделить локалку на части, фильтровать трафик между ними и в то же время сохранить общее layer2 пространство.

OpenVPN

Скачиваем, собираем и устанавливаем OpenVPN обычным для вашего дистрибутива образом. На обоих концах тунеля создаём файлы конфигурации вида

remote w.x.y.z
nobind
proto udp
dev tap
tun-mtu 1500
cipher none
ping 10

remote адреса нужно проставить соответственно внешние адреса маршрутизаторов, между которыми поднимается мост. Если вы хотите защитить данные, передаваемые через публичные сети, вы можете использовать шифрование - OpenVPN предоставляет такую возможность. Более подробную информацию вы можете получить в документации на OpenVPN.

Linux

Речь пойдёт о семействе 2.6 ядер, для 2.4 ветки необходимо патчить ядро. Патчи можно найти по этому адресу.

В ядро необходимо включить

CONFIG_BRIDGE_NETFILTER=y

Если вы хотите фильтровать трафик, проходящий через мост - вы также должны включить

CONFIG_BRIDGE_NF_EBTABLES=[y|m]

ebtables имеет достаточно много возможностей, которые вы можете включить в соответствующем разделе конфигурации netfilter.

ebtables заслуживает более детального описания. Ждите следующей статьи.

Device Drivers => Networking support => Networking support (NET [=y]) => Networking options => Network packet filtering (replaces ipchains) (NETFILTER) => Bridge: Netfilter Configuration

Для поддержки TAP надо включить соответствующий пункт, расположенный в:

Device Drivers => Networking support => Network device support (NETDEVICES [=y])

Утилиты по управлению функциональностью ядра можно взять по адресу. Пересобираем ядро, перегружаем машину - всё - вы имеете готовый мост. Осталось его настроить.

Есть одна тонкость - в мост можно включать только интерфейсы, не имеющие назначенных ip адресов.

#!/bin/sh
modprobe tun

LOCAL_IF="eth0"
REMOTE_IF="tap0"
BRIDGE_IF="br0"
BRIDGE_IP="w.x.y.z"
BRIDGE_MASK="a.b.c.d"
BRIDGE_BROADCAST="e.f.g.h"
CONFIG="/path/to/config"

# Запускаем OpenVPN в режиме демона
openvpn --config $CONFIG --daemon

# Выключаем мост (если он включен)
ifconfig $BRIDGE_IF down
# Удаляем мост (убираем мусор за предыдущим запуском скрипта)
brctl delbr $BRIDGE_IF
# Добавляем новый мост
brctl addbr $BRIDGE_IF
# Включаем в мост интерфейсы
brctl addif $BRIDGE_IF $LOCAL_IF
brctl addif $BRIDGE_IF $REMOTE_IF

# Убираем адреса с интерфейсов, входящих в мост и поднимаем их
ifconfig $LOCAL_IF 0.0.0.0 promisc up
ifconfig $REMOTE_IF 0.0.0.0 promisc up

# Назначаем мосту адрес, если это необходимо - например вместо адреса на интерфейсе локалки.
ifconfig $BRIDGE_IF $BRIDGE_IP netmask $BRIDGE_MASK broadcast $BRIDGE_BROADCAST
# Включаем мост
ifconfig $BRIDGE_IF up

Готово.

FreeBSD

В ядро необходимо включить

device BRIDGE

Пересобираем ядро или можно загрузить модуль

kldload bridge

FreeBSD использует другой способ организации моста - управление параметрами через sysctl. Отдельного интерфейса не создаётся.

# Здесь через запятую указываются интерфейсы, входящие в мост (версия FreeBSD 5.2 или старше)
net.link.ether.bridge_cfg:
# Включить/выключить фильтрация трафика с помощью ipfw
net.link.ether.bridge_ipfw: 0
# Включить/выключить фильтрация трафика с помощью ipf
net.link.ether.bridge_ipf: 0
# Здесь через запятую указываются интерфейсы, входящие в мост (версия FreeBSD младше 5.2)
net.link.ether.bridge.config:
# Включить/выключить мост
net.link.ether.bridge.enable: 0
Windows

Windows как всегда предоставляет мышевозильный интерфейс:) Mathias Sundman разработал для Windows GUI версию. Скачиваем openvpn для windows, устанавливаем, проделываем все операции, указаные в разделе "OpenVPN" этого документа. Идём в "Control panel->Network connections" выделяем интерфейсы, которые необходимо включить в мост, кликаем правой кнопкой мышки, выбираем пункт меню "Bridge connections".

Возможно, после этого, если вы используете DHCP - произойдёт новая выдача адреса.

Авторы OpenVPN предупреждают о нестабильности работы Windows версии, из-за которой может произойти крах системы с появлением печально знаменитого "BSOD". Замечание касается версии 1.5 Как обстоят дела с версией 2.0 автору этого документа неизвестно.

Заключение

Во время написания этого документа стало совершенно ясно, что затронутая тема достаточно обширна и требует для понимания множество смежных знаний. Автор надеется, что полученная вами информация будет вам полезна и, несмотря на некоторую скомканость изложения, понятна. Пожалуйста, направляйте ваши комментарии и поправки по адресу, указаному в заголовке документа.

Размещение рекламы — тел. +7 495 4119920, ICQ 232284597

Подписка на новости IT-портала CITForum.ru
(библиотека, CITKIT.ru, CitCity)

Новые публикации:

24 декабря

CITKIT.ru:

  • Новогодние поздравления
  • Сергей Кузнецов. Цикл Операционные системы: Ностальгия по будущему:

  • Алексей Федорчук. OpenSolaris 2008.11 Release

  • Сергей Голубев:

  • Евгений Чайкин aka StraNNik (Блогометки):

    17 декабря

  • С.Д.Кузнецов. Базы данных. Вводный курс

    10 декабря

    CITKIT.ru:

  • OpenSolaris 2008.11 Release

  • Альтернативные ОС: две грустные истории (С.Кузнецов)
  • Nokia N810 — доведение до ума
  • CitCity:

  • Платформа 2009: заоблачные перспективы Microsoft

    4 декабря

  • Лекция С.Д.Кузнецова Понятие модели данных. Обзор разновидностей моделей данных

    CITKIT.ru:

  • OpenSolaris 2008.11 Release. Первые впечатления

  • Linux vs FreeBSD: продолжим "Священные войны"?

  • Nokia N810 as is

  • Индульгенция для FOSS

  • Друзья СПО'2008

    26 ноября

  • Нечеткое сравнение коллекций: семантический и алгоритмический аспекты

    CitCity:

    CITKIT.ru:

  • Глава из книги А.Федорчука
    Сага о FreeBSD:
  • 19 ноября

  • Проблемы экономики производства крупных программных продуктов

  • Язык модификации данных формата XML функциональными методами

    CITKIT.ru:

  • Главы из книги А.Федорчука
    Сага о FreeBSD:

    Заметки к книге:

  • FreeBSD: монтирование сменных устройств и механизм HAL
  • Текстовый редактор ee

    12 ноября

  • Правило пяти минут двадцать лет спустя, и как флэш-память изменяет правила (Гоц Грейф, перевод: Сергей Кузнецов)

    CITKIT.ru:

  • Главы из книги А.Федорчука
    Сага о FreeBSD:
  • OSS в России: взгляд правоведа (В.Житомирский)

  • Новая статья из цикла С.Голубева "Железный марш":

    29 октября

  • О некоторых задачах обратной инженерии

  • Веб-сервисы и Ruby

  • Тестирование web-приложений с помощью Ruby

    CITKIT.ru:

  • Главы из книги А.Федорчука
    Сага о FreeBSD:

  • PuppyRus Linux - беседа с разработчиком (С.Голубев)

  • Сергей Кузнецов. Заметка не про Linux

    22 октября

  • Обзор методов описания встраиваемой аппаратуры и построения инструментария кросс-разработки

    CITKIT.ru:

  • Сергей Кузнецов. Почему я равнодушен к Linux

  • Глава из книги А.Федорчука
    Сага о FreeBSD:
  • Что надо иметь
    3. Базовые познания

    CitCity:

  • Управление IT-инфраструктурой на основе продуктов Microsoft

    15 октября

  • Методы бикластеризации для анализа интернет-данных

    CitCity:

  • Разъемы на ноутбуках: что они дают и зачем их так много?
  • AMD Puma и Intel Centrino 2: кто лучше?

    CITKIT.ru:

  • Новый цикл статей С.Голубева
    Железный марш:

  • Главы из книги А.Федорчука
    Сага о FreeBSD:

    8 октября

  • Автоматизация тестирования web-приложений, основанных на скриптовых языках
  • Опыт применения технологии Azov для тестирования библиотеки Qt3

    Обзоры журнала Computer:

  • SOA с гарантией качества
  • Пикоджоуль ватт бережет
  • ICT и всемирное развитие

    CitCity:

  • Пиррова победа корпорации Microsoft

    CITKIT.ru:

  • Главы из книги А.Федорчука
    Сага о FreeBSD:

    Статья из архива:

  • Я живу в FreeBSD (Вадим Колонцов)

    Новые Блогометки:

  • Перекройка шаблона Blogger или N шагов к настоящему
  • Blogger. Comment style
  • Screenie или глянцевый снимок экрана

    2 октября

    CITKIT.ru:

  • Сага о FreeBSD (А. Федорчук)

    Zenwalk: пакет недели

  • Банинг — интеллектуальное развлечение (С.Голубев)

    CitCity:

    25 сентября

  • Клермонтский отчет об исследованиях в области баз данных

    CITKIT.ru:

  • Пользователям просьба не беспокоиться... (В.Попов)

  • Снова про ZFS: диск хорошо, а два лучше
  • Командная оболочка tcsh (А.Федорчук)

    Zenwalk: пакет недели

    17 сентября

  • T2C: технология автоматизированной разработки тестов базовой функциональности программных интерфейсов
  • Технология Azov автоматизации массового создания тестов работоспособности

    CITKIT.ru:

  • FreeBSD: ZFS vs UFS, и обе-две — против всех (А.Федорчук)

    Zenwalk: пакет недели

  • Дачнет — практика без теории (С.Голубев)

    10 сентября

  • За чем следить и чем управлять при работе приложений с Oracle
  • Планировщик заданий в Oracle
    (В.Пржиялковский)

    CITKIT.ru:

  • Microsoft: ответный "боян" (С.Голубев)

  • Причуды симбиоза, или снова "сделай сам" (В.Попов)

  • Файловые системы современного Linux'а: последнее тестирование
  • Zsh. Введение и обзор возможностей
    (А.Федорчук)

    Описания пакетов Zenwalk: Zsh, Thunar, Thunar-bulk-rename, Xfce4-places-plugin, Xfce4-fsguard-plugin

    Блогометки:

  • Google Chrome
  • Лончер для ASUS Eee PC 701

    3 сентября

    CITKIT.ru:

  • Заметки о ядре (А.Федорчук):

    Добавлены описания пакетов Zenwalk: Galculator, Screenshot, Gnumeric, Pidgin

    В дискуссинном клубе:

  • И еще о Википедии и Google Knol

  • Лекция для начинающего линуксоида (С.Голубев)

    26 августа

  • Транзакционная память (Пересказ: С. Кузнецов)

    CITKIT.ru:

  • Открыт новый проект Zenwalk: пакет недели

  • Статья Текстовые процессоры и их быстродействие: конец еще одной легенды?

    21 августа

    CITKIT.ru:

  • Почему школам следует использовать только свободные программы (Ричард Столлман)
  • Беседа Сергея Голубева с учителем В.В.Михайловым

  • Википедия или Гуглезнание? Приглашение к обсуждению (Алексей Федорчук)
  • Народная энциклопедия от Google (StraNNik)

  • Обзор Mandriva 2009.0 Beta 1 Thornicrofti
  • Новичок в Линукс: Оптимизируем Mandriva 2008.1

  • Книга Zenwalk. Приобщение к Linux:

    13 августа

    CitCity:

  • Мирный Atom на службе человеку. Обзор платы Intel D945GCLF с интегрированным процессором
  • Обзор процессоров Intel Atom 230 на ядре Diamondville

  • iPhone - год спустя. Скоро и в России?

    CITKIT.ru:

  • Интермедия 3.4. GRUB: установка и настройка (из книги Zenwalk. Приобщение к Linux)

    6 августа

  • СУБД с хранением данных по столбцами и по строкам: насколько они отличаются в действительности? (Пересказ: С. Кузнецов)

    CITKIT.ru:

  • Интермедия 2.2. Что неплохо знать для начала (из книги Zenwalk. Приобщение к Linux)

  • И снова про шрифты в Иксах (А.Федорчук)

  • 20 самых быстрых и простых оконных менеджеров для Linux

  • Дело о трех миллиардах (С.Голубев)

    30 июля

  • OLTP в Зазеркалье (Пересказ: С. Кузнецов)

    CitCity:

  • Будущее BI в облаках?
  • Тиражные приложения и заказная разработка. Преимущества для заказчика
  • Дискуссия со сторонниками заказной разработки

    CITKIT.ru:

  • Новые главы книги Zenwalk. Приобщение к Linux:
  • Глава 8. Пакеты: средства установки, системы управления, системы построения
  • Глава 9. Zenwalk: репозитории, пакеты, методы установки

    23 июля

    CITKIT.ru:

  • Все против всех. 64 vs 32, Intel vs AMD, tmpfs vs ext3
  • Две головы от Intel

  • Zenwalk: обзор штатных приложений (глава из книги "Zenwalk. Приобщение к Linux")

  • Нормально, Григорий...

    16 июля

    Обзоры журнала Computer:

  • Перспективы и проблемы программной инженерии в XXI веке
  • Большие хлопоты с большими объемами данных
  • Перспективы наноэлектроники

    CITKIT.ru:

  • Интермедия о лицензиях (А.Федорчук. "Zenwalk. Приобщение к Linux")

  • Есть ли будущее у KDE?

  • Linux в школе: альтернативный вариант в задачах

  • Шифр (приключения агента Никодима)

    10 июля

    CITKIT.ru:

  • Новые разделы книги А. Федорчука Zenwalk. Приобщение к Linux:
  • Интермедия вступительная. Linux или GNU/Linux? Как вас теперь называть?
  • Глава 5. Среда Xfce
  • Глава 6. Xfce: приложения и плагины

  • ZUR (Zenwalk User Repository) FAQ

    2 июля

  • Персистентность данных в объектно-ориентированных приложениях (С. Кузнецов)

    CITKIT.ru:

  • Новые разделы книги А. Федорчука Zenwalk. Приобщение к Linux:
  • Интермедия 1.2. Дорога к Zenwalk'у. Период бури и натиска
  • Интермедия 3.3. Немного о Linux'е и "железе"
  • Глава 4. Настройка: инструментами и руками
  • Интермедия 4.1. Zenpanel и конфиги: поиски корреляции

  • Интервью с Жан-Филиппом Гийоменом, создателем дистрибутива Zenwalk

  • Linux в школе: первые итоги (С. Голубев)

    25 июня

    CITKIT.ru:

  • Zenwalk. Приобщение к Linux (А. Федорчук)

  • Логика и риторика (С.Голубев)

  • Технология Tru64 AdvFS

  • Ханс Райзер предлагает отвести полицейских к телу Нины

    18 июня

  • Проекты по управлению данными в Google (Пересказ: С. Кузнецов)

    CITKIT.ru:

  • ОС и поддержка "железа": мифы и реальность (А. Федорчук)

  • Linux в школе: другие дистрибутивы

  • Пинок (С. Голубев)

    4 июня

  • Ландшафт области управления данными: аналитический обзор (С. Кузнецов)

    CITKIT.ru:

  • Linux в школе: слово заинтересованным лицам

  • SlackBuild: пакеты своими руками

  • Linux от компании Novell. Установка и обзор openSUSE Linux

    Все публикации >>>




  • IT-консалтинг Software Engineering Программирование СУБД Безопасность Internet Сети Операционные системы Hardware

    Информация для рекламодателей PR-акции, размещение рекламы — тел. +7 495 4119920, ICQ 232284597 Пресс-релизы — pr@citcity.ru
    Послать комментарий
    Информация для авторов
    Rambler's Top100 TopList liveinternet.ru: показано число просмотров за 24 часа, посетителей за 24 часа и за сегодня This Web server launched on February 24, 1997
    Copyright © 1997-2000 CIT, © 2001-2007 CIT Forum
    Внимание! Любой из материалов, опубликованных на этом сервере, не может быть воспроизведен в какой бы то ни было форме и какими бы то ни было средствами без письменного разрешения владельцев авторских прав. Подробнее...