Waarom twee terreine met dieselfde subnet nie een LAN is nie

Twee kantore gebruik albei 192.168.77.0/24, en iemand stel ’n tonnel voor sodat dit een netwerk kan wees. Die frase klink eenvoudig en verberg drie verskillende ontwerpe: twee onafhanklike LAN's wat bots, een opsetlike Ethernet-segment wat oor ’n WAN gespan word, en ’n proxy-ARP-reëling wat vir afgeleë adresse antwoord. Watter een jy het, bepaal wat ’n gasheer met die pakkie doen, en die antwoord is sigbaar voordat die VPN-gateway betrokke is.

Die gasheer besluit voor die roeteerder

’n Gasheer met adres 192.168.77.10/24 vergelyk die bestemming met sy eie voorvoegsel. Enigiets binne daardie voorvoegsel is skakel-plaaslik, so die gasheer los die bestemming se skakellaagadres direk op. Enigiets buite dit gaan na die verstekgateway.

Daardie besluit gebeur in die gasheer se stapel, nie in die tonnel nie. ’n Roete wat op die gateway bygevoeg word, kan nie ’n pakkie red wat die gasheer nooit daarheen stuur nie.

Dus, wanneer 192.168.77.20 net by die ander terrein bestaan, vra die plaaslike gasheer per ARP daarvoor en kry geen antwoord nie. Die VPN-handdruk kan heeltemal gesond wees terwyl dit misluk. Die fout lyk soos ’n dooie gasheer eerder as ’n roeteringsprobleem. Om daardie kenmerk te herken, spaar ’n uur se tonnelontfouting.

ARP is ’n plaaslike-skakel-vraag

ARP vra wie besit ’n adres op hierdie skakel, en die antwoord moet kom van iets wat die uitsending kan hoor. ’n Roeteerder aan die ander kant van ’n IPsec-tonnel hoor dit nie, tensy die ontwerp die twee terreine een uitsaai-domein maak nie.

Twee toestelle met dieselfde adres maak dit erger: selfs ’n suksesvolle oplossing kan jou nie sê watter een geantwoord het nie.

Dubbele adressering is nie ’n roeteringsfout nie en geen roete maak dit reg nie. Of die terreine word hernommer na verskillende voorvoegsels, of hulle word doelbewus een skakellaagdomein.

’n Gespande segment dra rame, nie roetes nie

’n Tonnel wat Ethernet dra en aan bruggies gekoppel is, maak beide terreine deel van een skakellaagdomein. ARP-uitsendings bereik die oorkant, en elke brug leer watter MAC-adresse waar sit. Die Linux-brugdokumentasie beskryf daardie MAC-gebaseerde aanstuuringsgrens.

Hier roeteer die verafgeleë gateway glad nie tussen twee identiese subnette nie. Rame kruis ’n onderlaag wat IP op sy eie reg roeteer, terwyl die brûe die Ethernet-gesprek verleng.

Die koste is ’n groter impakgebied. Verspreiding vir onbekende bestemmings, lusse, DHCP-toekenning en unieke adressering het almal een plan nodig wat beide terreine dek. Wanneer die WAN val, verloor gashere verkeer wat hulle as plaaslik beskou. Filtering op die brug en VLAN-reëls kan beperk wat oorgaan, maar vervoer belowe steeds nie dat elke skakel-plaaslike beheerderraam deurkom nie.

Proxy-ARP is ’n derde ontwerp

’n Roeteerder kan ARP vir ’n afgeleë adres antwoord en dan daarnatoe roeteer. Dit laat die afgeleë gasheer skakel-plaaslik vir die sender lyk sonder om ’n uitsaai-domein te span.

Dit is ’n smaller gereedskap as brugging: dit hang af van aansturing, terugroetes en ’n duidelike eienaar vir elke adres.

Dit maak ook nie willekeurige nie-IP-protokolle roeteerbaar nie, en dit reproduseer nie ’n Ethernet-uitsaai-domein nie. Gebruik dit wanneer die vereiste presies daardie vervanging is, nie as ’n kortpad vir uitgestelde hernommering nie.

Kies uit die vereiste, dan verifieer

Vir gewone interkantoor-toepassingstoegang gee verskillende voorvoegsels en eksplisiete roetes ’n duideliker grens. Brug wanneer die vereiste werklik skakellaag-aangrensheid is. Hernommer wanneer die enigste rede vir die gedeelde voorvoegsel is dat niemand dit nog gedoen het nie.

Bevestig watter ontwerp jy werklik het deur ’n gasheer te vra wat hy met die bestemming doen:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

’n Skakel-plaaslike resultaat met ’n mislukte buurinskrywing wys op ’n ontbrekende skakellaagpad. ’n Via-resultaat noem die gateway en skuif die vraag na roetering. Op ’n brug, kyk na die aansturingsdatabasis om te sien of die MAC oor die tonnel geleer is. Elke uitset vernou die ontwerpvraag eerder as om dit te herbegin.