Как объеденить tun* в мост?

Question

[syxoi]

Это в продолжение моего предыдущего вопроса.
Так вот, мысль такая: поднять несколько подключений vpn, сначала не прописывая маршрут по умолчанию, объеденить в мост с режимом mode=0 (balance-rr), как рассказано в этой статье. Но дело в том, что при создании моста, все сетевые интерфейсы отрубаются и подключаются одновременно, а если опустить интерфейс tun, то соединение оборвется и нужно будет подключаться к впн заново и ничего не выйдет. В инете есть статьи по поводу объединения в мост openvpn, но у меня не получилось, там на сервере что-то надо прописывать, ничего не понятно вобщем.

Answer 1

[Алексей Черемисин]

Ну, в общем так. TUN объединить в мост (bridge) не получится, просто по определению. Так как tun, это туннельный интерфейс. А объединить в мост можно только то, что как-то напоминает ethernet, например интерфейс TAP.
Соответственно, чтобы осуществить задуманное, нужно перевести все openvpn на использование tap.
На всякий случай, почитать отличия - https://ru.wikipedia.org/wiki/TUN/TAP
PS. Помните, что при использовании TAP, в туннель польется вся грязь из всего сегмента ethernet.

Comments

[syxoi]

К примеру, вот эта статья: https://www.opennet.ru/base/net/openvpn_bridging.t... , но здесь автор указывает и "физический" интерфейс, и тап. LOCAL_IF="eth0" REMOTE_IF="tap0", а нужно объеденить несколько тап'ов в режим balance-rr (то есть, чтобы пакеты распределялись по всем объедененным интерфейсам) и сделать маршрутизацию

[syxoi]

то есть, получается, что в конечном итоге делаем так: iptables -t nat -A POSTROUTING -o br0 -j MASQUERADE

[Алексей Черемисин]

syxoi: это зависит от того, что хочется получить в конечном итоге, из вашего вопроса не очень понятно. как вариант, можно использовать хуки (скрипты), которые openvnp будет вызывать при поднятии и отключении канала. тогда в скрипте модно прописать добавление/удаление tap-интерфейса к виртуальному свичу. ну и еще можно посмотреть на openvswitsh. он умеет делать очень многое.

[syxoi]

Алексей Черемисин: знаете, есть менджеры закачек по http (download master, например), так вот, они позволяют качать один файл в несколько соединений, тем самым обходя ограничения скорости узла (что очень редко) и ограничение скорости провайдером (очень частая проблема), так вот, здесь принцип примерно такой же. только вот иногда распаллелить просто так нельзя: к примеру, когда качаешь программы из play market'a, его никак не заставишь качать в многопотоке, так на помощь придет как раз таки роутер, который распараллеливает одно соедиение на несколько (они идут на впн сервер, и с него в интернет)

[Алексей Черемисин]

syxoi: Вы путаете мягкое с тёплым, причем все в одну кучу. Одно дело - многопоточная закачка "в несколько соединений", и совсем другое - "распараллелить" на несколько провайдеров! Да и в этой ситуации, с плеймаркетом - никак не поможет, ведь ваш VPN сервер будет все равно выдавать пакеты от ОДНОГО IP-адреса (такое понятие как маскарадинг ip-адресов), хоть миллион параллельных потоков между двумя VPN-серверами сделать в виде балансировки. Выходная точка будет одна! При это еще не забудьте про транспортный уровень в виде TCP-сессии!
Что в общем, уж извините за прямоту, для вас совершенно незнакомые понятия в плане механизмов их работы, исходя из Вашего ответа.
Вы пытаетесь решить задачу или неправильными методами, или оригинальный вопрос был совсем не про VPN!

[Алексей Черемисин]

syxoi: Просто попробуйте описать стоящую перед Вами проблему, Вам постараются подсказать правильное решение. И не факт, что это будет VPN. Может быть это будет TOR или еще что-то похожее на P2P.

[Saenara]

Проблема-то как раз понятна. Менеджеры закачек тоже качают с одного IP, но открывают несколько TCP соединений. Т.е., согласно описанию топикстартера, получается, что провайдер режет скорость по потокам. Либо у него такая технология предоставления услуг.
Соответственно, объединение нескольких VPN линков в один виртуальный канал, с распределением пакетов типа round-roubin по ним должно увеличить скорость скачивания при условии только одного потока.

[Алексей Черемисин]

Saenara: Я то примерно догадываюсь, сто вопрошающему хочется получить.
Но:
1) причем здесь VPN и как он нам поможет?
2) Хотелось бы совсем не догадками оперировать, а поставленной проблемой или задачей.

И. Это, простите, как же оно будет делать из одной (sic!) TCP-сессии, несколько?

Итого, есть одна (sic!) TCP-сессия, она разобьется по пакетам на несколько маршрутов по нескольким VPN-соединениям, но на другом конце все равно это будут куски одной (sic!) TCP-сессии!
Если уж и нужно качать в несколько потоков, то и делайте несколько TCP-сессий, каждой из них назначайте какой кусок брать (это если HTTP/FTP и похожие протоколы с возможностью выкачать кусок, а не сначала и целиком).
И еще нникто ничего не сказал, что полосу можно ограничивать например по ID пользователя. Тогда, хоть мульён сессий запусти от одной авторизации - будет 200к на весь мульен. Ко всему, еще есть штук 100 методов, как ограничить трафик от пользователя.