Configurar TAP casi no requiere trabajo adicional por parte de la persona que lo configura.
Por supuesto, si sabes cómo configurar TUN pero no entiendes lo que estás haciendo y simplemente siguiendo un tutorial de tun, estarás luchando para configurar TAP, pero no porque sea más difícil sino porque no sabes lo que estás haciendo. haciendo. Lo que fácilmente puede conducir a conflictos de red en un entorno TAP y luego parece que es más complicado.
De hecho, si no necesita un tutorial porque sabe lo que está haciendo, configurar tap toma tanto tiempo como configurar tun.
Con Tap hay muchas soluciones sobre subredes, descubrí que la forma más fácil es usar una subred de clase B. sitio1 (red1) usando 172.22.1.0/16 sitio2 (red2) usando 172.22.2.0/16 sitio3 usando 172.22.3.0/16 etc.
configura el sitio1 con el servidor oVPN y le da a los clientes el rango de IP 172.22.254.2 - 172.22.254.255/16 para que pueda tener más de 200 clientes ovpn (subredes) cada subred puede tener más de 200 clientes en sí mismo. Tiene un total de 40,000 clientes que puede manejar (dudo que oVPN pueda manejar eso, pero como puede ver, configurar una subred adecuada le dará más de lo suficiente como probablemente necesite)
usa un toque y todos los clientes están juntos como en una gran red corporativa.
SI, sin embargo, cada sitio tiene su propio DHCP, y debería tenerlo, debe asegurarse de usar ebtables o iptables o dnsmasq para bloquear la distribución de dhcp para volverse loco. Sin embargo, ebtables ralentizará el rendimiento. usando dnsmasq dhcp-host = 20: a9: 9b: 22: 33: 44, ignorar, por ejemplo, será una tarea enorme de configurar en todos los servidores dhcp. sin embargo, en el hardware moderno, el impacto de los ebtables no es tan grande. solo 1 o 2%
la sobrecarga del grifo, aproximadamente 32 para el tun, tampoco es un gran problema (podría estar en redes no encriptadas) pero en redes encriptadas es generalmente el AES el que causará la desaceleración.
En mi wrt3200acm, por ejemplo, sin cifrar, obtengo 360Mbps. El uso de cifrado se reduce a 54-100 Mbps dependiendo del tipo de cifrado que elija), pero openvpn no hace cifrado en 1500 y un segundo cifrado en la sobrecarga de 32. En su lugar, realiza un cifrado de 1 vez en 1500 + 32 por encima.
Entonces el impacto aquí es mínimo.
En el hardware más antiguo, es posible que note más el impacto, pero en el hardware moderno realmente se reduce al mínimo.
El cifrado entre 2 máquinas virtuales con soporte AES me lleva a mi ovpn con TAP a 120-150Mbps.
¡Algunos informan que los enrutadores dedicados CON soporte de cifrado de hardware AES alcanzan hasta 400Mbps! 3 veces más rápido de lo que puede hacer un i5-3570k (que en mi sistema de prueba no podía superar 150Mbps al 100% de la utilización de 1 núcleo) Mi otro extremo: E3-1231 v3, luego fue aproximadamente al 7% de utilización de la CPU, alrededor Se utilizó el 25% del núcleo que usaba openvpn. Por lo tanto, el E3 probablemente podría aumentar la conexión de 3 a 4 veces.
entonces tendría algo entre 360Mbps y 600Mbps con una conexión entre la CPU E3-1231 v3 haciendo clic en el cifrado AES265, auth SHA256 y ta.key, certificados tls-cipher También utilicé el TLS-DHE-RSA-WITH-AES- más alto 256-SHA256
Para señalar esto, con tap: wrt3200acm obtiene hasta 70-80mbps con cifrado. i5-3570k llega a 120-150 con cifrado. E3-1231 v3 obtiene al menos 360Mbps con cifrado (esto se interpola a partir de mis hallazgos con los casos 1 y 2 porque no tenía 2 E3-1231 v3 para probar).
Estos son mis hallazgos basados en la copia de Windows a Windows entre 2 clientes en 2 subredes diferentes conectadas por openvpn TAP