DHCP oor ’n VPN: oorbrug die uitsending of herlei dit?

’n Nuwe skootrekenaar oorkant die tonnel kry geen adres nie, terwyl dieselfde skootrekenaar by die hoofkantoor werk. Die gewone eerste vermoede is dat die tonnel DHCP blokkeer. Meer dikwels het die uitsending nooit ’n pad gehad nie: ’n onopgestelde kliënt stuur na 255.255.255.255, en ’n gewone IP-roeteerder stuur daardie pakkie nie aan nie. Die tonnel doen presies wat ’n tonnel met roetering doen.

Twee ontwerpe kan dit verander, en hulle is nie gelykwaardig nie. Een dra die uitsending; die ander herlei die versoek.

Die uitsending steek nooit die roeteerder oor nie

’n DHCPv4-kliënt sonder ’n adres stuur van 0.0.0.0 na die beperkte uitsendingsadres op UDP-poorte 67 en 68. Daardie pakkie bly volgens ontwerp op sy skakel. ’n Roeteerder wat dit sou aanstuur, sou elke segment oorstroom wat hy bedien.

Dus verbind ’n gerouteerde werf-tot-werf-tonnel die herleier aan ’n bediener. Dit brei nie die kliënt se uitsendingsdomein uit nie, en geen vuurmuurreël sal dit laat gebeur nie.

Wat ’n oorbrugde tonnel werklik uitbrei

’n Doelbewus oorbrugde VPN kan Ethernet-uitsending onder sy ondersteunde topologie dra, en dan kan DHCP as plaaslike verkeer oorgaan. Dit is ’n werklike opsie, maar dit is ’n Laag 2-ontwerpkeuse. Jy brei die foutdomein en die toegangsgrens saam met die uitsending uit.

Oorbrugging verander ook wat ’n uitsendingstorm, ’n ARP-skandering of ’n kwaadwillige DHCP-bediener kan bereik. As jy nie die afgeleë kantoor aan dieselfde skakelaar sou koppel nie, moenie die tonnel oorbrug net om adresse uit te deel nie. Toets daardie impakradius voordat jy dit aktiveer.

Dit is ’n groter besluit as om ’n adres te voorsien, en dit moet doelbewus geneem word.

Herlei eerder die versoek

Die gewone antwoord is ’n herleier op die kliënt se plaaslike netwerk. Dit ontvang die uitsending, verander dit in ’n unicast-versoek, en plaas sy eie adres in die gateway-adresveld. Die bediener antwoord na daardie herleieradres.

Vir ’n illustratiewe afgeleë kantoor sit die herleier op die kantoor se LAN en word die bediener oor die werf-VPN bereik. Stel die omvang vir daardie kantoor op, die identiteite van die herleier en die bediener, en die volledige terugpad. Om UDP 67 deur die tonnel toe te laat, sê nie vir die bediener watter poel om te gebruik nie.

’n Herleier wat aanstuur maar nooit ’n antwoord ontvang nie, is gewoonlik ’n terugpadprobleem. Kontroleer die roete terug na die herleieradres voordat jy die omvang verander.

Skei DHCP van ARP en van tonneladressering

DHCP ry oor UDP/IP. Op Ethernet kan ’n gasheer ook ARP gebruik om te kontroleer of ’n kandidaatadres reeds in gebruik is. Daardie konfliktoets is ’n aparte skakelplaaslike bewerking, nie die vervoer vir DHCP-boodskappe nie. Om te sê DHCP is in wese ARP, is verkeerd; om te sê die twee het nooit iets met mekaar te doen nie, is te wyd.

’n VPN-kliënt kan ook sy tonneladres van die VPN-protokol of die bediener se eie poel kry eerder as van ’n DHCP-uitsending. ’n Opsie waarvan die naam DHCP bevat, kan gestuurde kliëntinstellings beskryf, nie ’n herleide DHCP-pakkie nie. Kontroleer die bediener se poel voordat jy aanvaar dat DHCP hoegenaamd betrokke is.

Teken die ontvangernetwerk, die eienaar van die toekenning, die omvang, of ’n herleier bestaan en die verwagte gedrag tydens ’n onderbreking aan. Toets dan ’n nuwe huurkontrak en ’n hernuwing deur daardie model. As twee terreine dieselfde onbestuurde poel kan bedien, het jy ’n konflik wat vir die eerste rondloper-skootrekenaar wag.