A instalação da TAP não requer quase nenhum trabalho adicional da pessoa que a está configurando.
Obviamente, se você sabe como configurar o TUN, mas não entende o que está fazendo e simplesmente segue um tutorial, você estará lutando para configurar o TAP, mas não porque é mais difícil, mas porque você não sabe o que está fazendo. fazendo. O que facilmente pode levar a conflitos de rede em um ambiente TAP e, em seguida, parece que é mais complicado.
O fato é que, se você não precisa de um tutorial porque sabe o que está fazendo, a configuração da torneira leva tanto tempo quanto a configuração do tun.
Com o toque, há muitas soluções sobre sub-redes. Descobri que a maneira mais fácil é usar uma sub-rede de classe B. site1 (Rede1) usando 172.22.1.0/16 site2 (rede2) usando 172.22.2.0/16 site3 usando 172.22.3.0/16 etc.
você configura o site1 com o servidor oVPN e fornece aos clientes o intervalo de ip 172.22.254.2 - 172.22.254.255/16 para que você possa ter mais de 200 clientes ovpn (sub-redes), cada sub-rede pode ter mais de 200 clientes em si. Faz um total de 40.000 clientes com os quais você pode lidar (duvido que a oVPN possa lidar com isso, mas como você vê, a configuração de sub-rede adequada fornecerá mais do que o suficiente, conforme você provavelmente precisará)
você usa uma torneira e todos os clientes estão juntos como em uma enorme rede corporativa.
SE, no entanto, cada site tem seu próprio DHCP, e deveria ter, você precisa garantir o uso de ebtables ou iptables ou dnsmasq para bloquear a distribuição dhcp e tornar-se selvagem. ebtables, no entanto, diminuirá o desempenho. usando dnsmasq dhcp-host = 20: a9: 9b: 22: 33: 44, ignorar, por exemplo, será uma tarefa enorme para configurar em todos os servidores dhcp. no entanto, no hardware moderno, o impacto das ebtables não é tão grande. apenas 1 ou 2%
a sobrecarga da torneira, aproximadamente 32 para o tun, também não é um problema (pode estar em redes não criptografadas), mas em redes criptografadas geralmente é o AES que causará a desaceleração.
No meu wrt3200acm, por exemplo, não criptografado, recebo 360Mbps. Usando criptografia, ele desce para 54-100Mbps, dependendo do tipo de criptografia que eu escolher), mas o openvpn não faz criptografia em 1500 e uma segunda criptografia na sobrecarga de 32. Em vez disso, ele faz uma criptografia única em 1500 + 32overhead.
Portanto, o impacto aqui é mínimo.
No hardware antigo, você pode notar mais o impacto, mas no hardware moderno é realmente o mínimo.
A criptografia entre duas máquinas virtuais com suporte a AES me leva à ovpn com TAP de 120 a 150 Mbps.
Alguns relatam roteadores dedicados COM suporte à criptografia de hardware AES, chegando a 400 Mbps! 3 vezes mais rápido que um i5-3570k pode fazer (o que no meu sistema de teste não podia atingir 150Mbps a 100% da utilização de um núcleo). 25% do núcleo que o openvpn estava usando foi utilizado. Portanto, o E3 provavelmente poderia aumentar a conexão em 3 a 4 vezes.
então você teria algo entre 360Mbps e 600Mbps com uma conexão entre a E3-1231 v3 e a cpu tap AES265, auth SHA256 e ta.key, certificados tls-cipher Eu também usei o mais alto TLS-DHE-RSA-WITH-AES- 256-SHA256
Para salientar isso, com tap: wrt3200acm chega a 70-80mbps com criptografia. O i5-3570k chega a 120-150 com criptografia. O E3-1231 v3 obtém pelo menos 360 Mbps com criptografia (isso é interpolado das minhas descobertas nos casos 1 e 2 porque eu não tinha 2 E3-1231 v3 para testar.)
Estas são as minhas descobertas baseadas em janelas para janelas, copiando entre 2 clientes em 2 sub-redes diferentes conectadas pelo openvpn TAP