inetdoc.net

La création d'une interface TAP doit se faire par l'intermédiaire d'un programme de l'espace mémoire utilisateur. Il existe deux méthodes classiques de création d'interface à partir des outils fournis avec les paquets de la distribution Debian GNU/Linux.

Si on retient l'utilisation d'openvpn pour créer l'interface tap0, il est préférable d'utiliser un script qui permet aussi de configurer cette interface sur le système hôte.

#!/bin/bash

# $Id: tap-up.sh 1305 2008-06-08 20:59:09Z latu $
# Run this tap interface setup script before KVM/QEMU launch
# Sudo should be configured with the two following tools allowed from user level
# user    ALL = NOPASSWD: /sbin/ifconfig, /usr/sbin/openvpn
# These scripts should be located in ~/bin as they are run at normal user level

if [ -z $1 ] || [ -z $2 ]; then
        echo "Usage: tap-up.sh {tap interface} {IP address}"
        exit 1
fi

TAP=`/sbin/ifconfig 2>/dev/null|grep $1|cut -d " " -f 1`

if [ "$TAP" != "$1" ];
then
        sudo /usr/sbin/openvpn --mktun --dev $1 >/dev/null 2>&1
fi
sudo /sbin/ifconfig $1 $2

Dans cet exemple, l'exécution du script est indépendante du lancement de l'instance de machine virtuelle. Cette configuration autonome de l'interface TAP correspond au cas le plus général.

Comme ce script est utilisé au niveau utilisateur normal, on suppose qu'il est stocké dans le répertoire ~/bin/. C'est habituellement dans ce répertoire que l'on retrouve l'ensemble des (programmes|scripts) exécutables propres au compte utilisateur.

Pour généraliser l'utilisation d'une interface TAP, il est possible de la paramétrer directement au niveau système dans le fichier de configuration des interfaces réseau. Voici un extrait de fichier /etc/network/interfaces.

# The tap network interface
auto tap0
iface tap0 inet static 
        address 192.0.2.1
        netmask 255.255.255.224
        network 192.0.2.0
        broadcast 192.0.2.31
        pre-up /usr/sbin/openvpn --mktun --dev tap0 
        post-up su phil -c "vde_switch -d -F --tap tap0 -s /tmp/vde.ctl -M /tmp/vde.mgmt" 
        post-up iptables-restore </var/lib/iptables/active 
        pre-down kill `ps -o pid -C vde_switch --no-headers` 
        post-down /usr/sbin/openvpn --rmtun --dev tap0 

$ egrep  ' tap| tun' /var/log/kern.log
 tun: Universal TUN/TAP device driver, 1.6
 tun: (C) 1999-2004 Max Krasnyansky <maxk@qualcomm.com>
 tap0: no IPv6 routers present
 tun0: Disabled Privacy Extensions

# cat /var/lib/iptables/active
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -p tcp -m tcp --syn -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
-A POSTROUTING -o wlan0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT

# sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1

Sur un système Debian GNU/Linux, il est possible configurer directement une interface TAP tout en initialisant le commutateur Virtual Distributed Ethernet. Cette méthode de configuration est très voisine de celle présentée dans la section ci-dessus. Elle ne se différencie que par l'utilisation des scripts fournis avec le paquet vde2. Si on reprend un extrait du fichier /etc/network/interfaces, on obtient la syntaxe suivante.

auto tap0
iface tap0 inet static
        address 192.0.2.1
        netmask 255.255.255.224
        network 192.0.2.0
        broadcast 192.0.2.31
        vde2-switch -

La dernière instruction : vde2-switch - déclenche l'initialisation du commutateur virtuel avec les attributs définis dans les scripts du paquet vde2.

$ ps aux | grep vde
/usr/bin/vde_switch -s /var/run/vde2/tap0.ctl \ 
                    -m 660 -g vde2-net \ 
                    -p /var/run/vde2/tap0.pid \
                    -t tap0 \
                    -M /var/run/vde2/tap0.mgmt --mgmtmode 660 \ 
                    -d

L'ensemble des options de configuration du commutateur est présenté à la Section 14, « Communications réseau en mode commutation virtuelle ».

On relève cependant les éléments relatifs au groupe propriétaire du processus et à son masque de permissions.

$ ll /var/run/ | grep vde
drwxrws--- 3 vde2-net   vde2-net   4,0K jun 27 14:12 vde2

D'après les éléments identifiés ci-dessus, il est nécessaire que le compte utilisateur «normal» appartienne au groupe vde2-net pour utiliser le commutateur et l'interface tap0. Si on reprend l'exemple de la section précédente, c'est le compte utilisateur phil qui est concerné.

$ grep vde /etc/group
vde2-net:x:120:phil

Les scripts proposés avec le paquet vde2 assurent la configuration de l'interface tap0 mais non son activation. De plus, il manque la partie filtrage relativement à la section précédente. On implante donc un script supplémentaire dans le répertoire /etc/network/if-up.d/ qui se charge de ces opérations.

# cat /etc/network/if-up.d/tap0
#!/bin/sh

if [ -d "/proc/sys/net/ipv4/conf/tap0" ]
then
        /sbin/ifup tap0
fi

if [ -f "/var/lib/iptables/active" ]
then
        /sbin/iptables-restore </var/lib/iptables/active
fi

Une fois ce dernier script en place, on dispose d'une interface de communication fonctionnelle entre le système hôte et les instances de machines virtuelles.