Konfiguracja TAP nie wymaga prawie żadnej dodatkowej pracy ze strony osoby, która go konfiguruje.
Oczywiście, jeśli wiesz, jak skonfigurować TUN, ale nie rozumiesz, co robisz i po prostu postępujesz zgodnie z samouczkiem tun, będziesz walczył o skonfigurowanie TAP, ale nie dlatego, że jest to trudniejsze, ale ponieważ nie wiesz, czym jesteś robić. Co z łatwością może prowadzić do konfliktów sieciowych w środowisku TAP, a wtedy wygląda na to, że jest bardziej skomplikowane.
Faktem jest, że jeśli nie potrzebujesz samouczka, ponieważ wiesz, co robisz, konfiguracja kranu zajmuje tyle samo czasu, co konfiguracja tun.
z kranem istnieje wiele rozwiązań dotyczących podsieci, znalazłem się najprostszym sposobem na użycie podsieci klasy B. site1 (Network1) przy użyciu 172.22.1.0/16 site2 (sieć2) przy użyciu 172.22.2.0/16 site3 przy użyciu 172.22.3.0/16 itd.
konfigurujesz site1 z serwerem oVPN i dajesz klientom zakres adresów IP 172.22.254.2 - 172.22.254.255/16, dzięki czemu możesz mieć ponad 200 klientów (podsieci ovpn) w każdej podsieci może mieć ponad 200 klientów. Sprawia, że możesz obsłużyć w sumie 40 000 klientów (wątpliwość, że oVPN może to obsłużyć, ale jak widzisz, skonfigurowanie odpowiedniej podsieci da ci więcej, niż najprawdopodobniej kiedykolwiek potrzebujesz)
używasz kranu, a wszyscy klienci są razem, jak w ogromnej sieci korporacyjnej.
JEŚLI jednak każda strona ma swój własny DHCP i powinna, musisz upewnić się, że używasz ebtables, iptables lub dnsmasq, aby zablokować dystrybucję dhcp, aby zwariować. ebtables spowalnia jednak wydajność. używając dnsmasq dhcp-host = 20: a9: 9b: 22: 33: 44, na przykład zignorowanie będzie ogromnym zadaniem na wszystkich serwerach dhcp. Jednak na nowoczesnym sprzęcie wpływ ebtabli nie jest tak duży. tylko 1 lub 2%
obciążenie kranu, w przybliżeniu 32 do tunu, również nie stanowi większego problemu (może być w sieciach niezaszyfrowanych), ale w sieciach szyfrowanych to zwykle AES spowoduje spowolnienie.
Na moim wrt3200acm, na przykład niezaszyfrowanym, otrzymuję 360 Mb / s. Używając szyfrowania spada do 54-100 Mb / s, w zależności od wybranego przeze mnie szyfrowania), ale openvpn nie wykonuje szyfrowania na 1500 i drugiego szyfrowania na 32 narzutach. Zamiast tego wykonuje szyfrowanie 1 raz na 1500 + 32 overhead.
Zatem wpływ tutaj jest minimalny.
Na starszym sprzęcie możesz zauważyć większy wpływ, ale na nowoczesnym sprzęcie jest to naprawdę minimum.
Szyfrowanie między 2 maszynami wirtualnymi z obsługą AES daje mi mój ovpn z TAP do 120-150 Mb / s.
Niektórzy twierdzą, że routery dedykowane ze wsparciem szyfrowania sprzętowego AES osiągają prędkość nawet 400 Mb / s! 3 razy szybszy niż i5-3570k (co w moim systemie testowym nie mogło przekroczyć 150 Mb / s przy 100% wykorzystania 1 rdzenia) Mój drugi koniec: E3-1231 v3, wtedy był mniej więcej na poziomie 7% wykorzystania procesora, około Wykorzystano 25% rdzenia wykorzystanego przez openvpn. E3 najprawdopodobniej może zwiększyć połączenie o 3 do 4 razy.
więc będziesz miał coś pomiędzy 360 Mb / s a 600 Mb / s przy połączeniu między procesorem E3-1231 v3 cpu, wykonując szyfr AES265, auth SHA256 i ta.key, certyfikaty tls-cipher Użyłem również najwyższego TLS-DHE-RSA-WITH-AES- 256-SHA256
Aby to podkreślić, dotknij: wrt3200acm uzyskuje do 70-80 Mb / s z szyfrowaniem. i5-3570k dostaje do 120-150 z szyfrowaniem. E3-1231 v3 dostaje co najmniej 360 Mb / s z szyfrowaniem (jest to interpolowane z moich ustaleń w przypadku 1 i 2, ponieważ nie miałem 2 E3-1231 v3 do testowania.)
Są to moje ustalenia oparte na kopiowaniu okien do okien między 2 klientami w 2 różnych podsieciach połączonych przez TAP openvpn