عميل VPN بعنوان LAN ليس على LAN

يتصل العميل ويحصل على 10.50.0.200 ولا يستطيع الوصول إلى الخادم على 10.50.0.20 رغم أن الرقمين يقعان في الشبكة نفسها /24. الفكرة وراء هذا الإعداد هي أن عنواناً من بادئة LAN يجعل العميل جزءاً من LAN. وهذا غير صحيح. فالعميل على وصلة نقطة إلى نقطة، والخادم يعتقد أن الوجهة محلية، والناقص هو إجابة الجار التي لا يرسلها أحد.

الأسطورة: البادئة نفسها تعني المقطع نفسه

بادئة العنوان تخبر المضيف بالوجهات التي يمكنه الوصول إليها مباشرة وبالتي تحتاج إلى موجه. وهي لا تخبره كيف تُوصل الوجهة مادياً، ولا تضمن بأي حال أن الوجهة تستطيع الإجابة عن طلب على طبقة الوصلة. فهذه أسئلة مختلفة تجيب عنها جداول مختلفة على المضيف. القناع يجيب عن الأول وجدول الجيران عن الثاني، والأول وحده تحت سيطرتك من جانب VPN.

عندما يرسل الخادم إلى 10.50.0.200، يقارن الوجهة بقناعه، ويقرر أن العنوان على الوصلة، ويسأل المقطع المحلي عن العنوان العتادي الذي يملكه. يخرج هذا الطلب على واجهة Ethernet، وعميل VPN ليس هناك ليسمعه.

لا شيء في إعداد العميل يمكنه إصلاح ذلك من جانبه. يعتمد مسار الإجابة على جهاز موجود في LAN يجيب نيابة عن العميل، أو على أن يكون للعميل عنوان لا يعده الخادم محلياً.

ما يفعله المضيف المحلي فعلاً بالعنوان

السلوك سهل الملاحظة ويستحق الملاحظة قبل أن تغير أي شيء. انظر إلى جدول الجيران على مضيف LAN بعد أن يحاول الوصول إلى العميل: الإدخال الناقص أو الفاشل هو التشخيص كله في سطر واحد. ويخبرك ذلك السطر أيضاً أن العطل محلي في المقطع لا في مكان ما داخل النفق.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

سيُبلغ بحث المسار عن الوجهة على أنها على الوصلة عبر واجهة Ethernet، وهذه هي المشكلة بالضبط. وإذا بقي إدخال الجار ناقصاً بينما جلسة VPN قائمة، فقد أكدت أن الناقص هو تحليل طبقة الوصلة لا التوجيه أو سياسة الجدار الناري.

نفّذ الفحص نفسه من مضيف في شبكة فرعية أخرى وقارن. فالمضيف الذي يصل إلى العميل عبر موجه لا يحتاج إلى إدخال جار إطلاقاً، وهذا الفرق هو قرار التصميم مصغراً.

كيف يوفر Proxy ARP الخطوة التالية

يجعل Proxy ARP البوابة تجيب عن طلب طبقة الوصلة نيابة عن وجهة يمكنها الوصول إليها عبر واجهة أخرى. يتلقى مضيف LAN عنواناً عتادياً، ويرسل الإطار إلى البوابة، فتمرر البوابة الحزمة إلى جلسة VPN. ومن وجهة نظر المضيف يبدو العميل ببساطة خلف البوابة. ولا يتغير شيء في إعداد العميل.

تصف وثائق RouterOS ARP من MikroTik هذا الاستخدام للعملاء المتصلين هاتفياً الذين يستعيرون فضاء عناوين LAN المتصل. والآلية إصلاح لتحليل الجيران، وهي تعمل لأن البوابة موجودة فعلاً على المسارين.

هذا ليس مثل جسر العميل إلى LAN. فلا تزال البوابة مضطرة إلى تمرير الحزمة إلى الجلسة النشطة الصحيحة، ولا تزال سياسة التوجيه والجدار الناري لديها مضطرة إلى السماح بالخدمة. يغيّر Proxy ARP من يجيب عن طلب الجار، لا من يُسمح له بالحديث.

اقرأ أسماء الأنماط في المنصة بعناية. يفصل RouterOS بين proxy-arp و local-proxy-arp، والثاني يتعامل مع حركة تدخل الواجهة نفسها وتخرج منها. وهما ليسا تهجئتين متبادلتين، وتمكينهما معاً بلا تمييز ليس اختصاراً.

ما لا يمنحك إياه Proxy ARP

لا يوفر اكتشاف البث أو البث المتعدد. فالعميل الذي يحتاج إلى إيجاد خدمة عبر البث سيفشل مع ذلك، لأن البوابة تمرر unicast إلى الجلسة ولا تجعل العميل عضواً في نطاق البث في LAN. وبروتوكولات الاكتشاف التي تعتمد على البث مصدر شائع لتقارير تقول إن الأمر يعمل لشيء ولا يعمل لآخر في تصاميم العناوين المستعارة.

لا يحجز العنوان. فإذا كان الرقم المستعار موجوداً أيضاً في تجمع DHCP أو في تخصيص ثابت، فقد ينتهي جهازان إلى العنوان نفسه، ويعتمد السلوك الناتج على التوقيت. وتسجيل الدخول الناجح ليس حجزاً.

ولا يزيل الحاجة إلى التنسيق مع مالك LAN. فإدخال Proxy ARP يفاجئ مالك خطة العناوين هو حادث دعم ينتظر أسبوعاً هادئاً.

المقارنة مع تجمع يوجَّه بشكل منفصل

البديل هو منح عملاء VPN بادئة خاصة بهم وترك مضيفات LAN توجه إليها. عندئذ يرسل الخادم ردوداً خارج الوصلة إلى بوابته، وتوجّه البوابة البادئة إلى نقطة نهاية VPN، ولا حاجة إطلاقاً إلى تحليل الجيران على مقطع LAN. وهذا عدد أقل من الأجزاء المتحركة من عنوان مستعار إضافة إلى إجابة proxy.

هذا التصميم أسهل في التفكير فيه وأسهل في التدقيق، لأن نطاق العملاء منفصل بوضوح عن نطاق LAN. وهو يكلف مساراً ومسار عودة وقاعدة وصول، وهي الأشياء نفسها التي يحتاجها تصميم proxy ARP في موضع أقل وضوحاً.

اختر بين النموذجين عن قصد لا عن طريق الخطأ. فـ Proxy ARP يصلح علاقة محددة واحدة؛ والتجمع الموجَّه يغني عن ذلك الإصلاح. اكتب أي النموذجين اخترت ولماذا، فلن يضطر الشخص التالي إلى إعادة اكتشافه من إدخال جار فاشل.