VPN üzərindən DHCP: yayımı körpüləmək, yoxsa relay etmək?

Tunelin o tayındakı yeni noutbuk ünvan almır, halbuki eyni noutbuk baş ofisdə işləyir. Adi ilk ehtimal tunelin DHCP-ni bloklamasıdır. Daha çox olur ki, yayımın heç vaxt yolu olmayıb: konfiqurasiya edilməmiş klient 255.255.255.255 ünvanına göndərir və adi IP marşrutlaşdırıcısı bu paketi ötürmür. Tunel məhz marşrutlaşdırılmış tunelin etdiyini edir.

İki dizayn bunu dəyişə bilər və onlar ekvivalent deyil. Biri yayımı daşıyır, digəri isə sorğunu relay edir.

Yayım heç vaxt marşrutlaşdırıcıdan keçmir

Ünvanı olmayan DHCPv4 klienti 0.0.0.0 ünvanından məhdud yayım ünvanına UDP 67 və 68 portları ilə göndərir. Bu paket dizaynına görə öz linkində qalır. Onu ötürən marşrutlaşdırıcı xidmət etdiyi hər seqmenti daşqına uğradardı.

Beləliklə, marşrutlaşdırılmış sayt-sayt tuneli relay-i serverə birləşdirir. O, klientin yayım domenini genişləndirmir və heç bir firewall qaydası bunu etməsinə səbəb olmayacaq.

Körpülənmiş tunel əslində nəyi genişləndirir

Qəsdən körpülənmiş VPN öz dəstəklənən topologiyası çərçivəsində Ethernet yayımını daşıya bilər və sonra DHCP yerli trafik kimi keçə bilər. Bu real seçimdir, amma 2-ci qat dizayn seçimidir. Yayımla birlikdə nasazlıq domenini və giriş sərhədini də genişləndirirsiniz.

Körpüləmə həmçinin yayım fırtınasının, ARP taramasının və ya saxta DHCP serverinin nəyə çata biləcəyini dəyişir. Uzaq ofisi eyni svitçə qoşmayacaqsınızsa, yalnız ünvan paylamaq üçün tuneli körpüləməyin. Aktivləşdirməzdən əvvəl bu təsir radiusunu yoxlayın.

Bu, ünvan verməkdən daha böyük bir qərardır və qəsdən verilməlidir.

Əvəzində sorğunu relay edin

Adi cavab klientin yerli şəbəkəsində relay-dir. O, yayımı qəbul edir, onu unicast sorğuya çevirir və öz ünvanını şlüz ünvanı sahəsinə yazır. Server həmin relay ünvanına cavab verir.

Nümunə üçün uzaq ofisdə relay ofisin LAN-ında yerləşir və serverə sayt VPN-i ilə çatılır. Həmin ofis üçün skopu, relay və server kimliklərini və tam geri dönüş yolunu konfiqurasiya edin. Tuneldən UDP 67-yə icazə vermək serverə hansı hovuzun istifadə olunacağını demir.

Ötürən, lakin heç vaxt cavab almayan relay adətən geri dönüş yolu problemidir. Skopu dəyişməzdən əvvəl relay ünvanına geri marşrutu yoxlayın.

DHCP-ni ARP-dən və tunel ünvanlaşdırmasından ayırın

DHCP UDP/IP üzərində işləyir. Ethernet-də host həmçinin namizəd ünvanın artıq istifadədə olub-olmadığını yoxlamaq üçün ARP-dən istifadə edə bilər. Bu konflikt yoxlaması ayrıca link-yerli əməliyyatdır, DHCP mesajlarının transportu deyil. DHCP-nin mahiyyətcə ARP olduğunu demək səhvdir; ikisinin heç vaxt əlaqəli olmadığını demək isə həddindən artıq genişdir.

VPN klienti tunel ünvanını DHCP yayımından deyil, VPN protokolundan və ya serverin öz hovuzundan da ala bilər. Adında DHCP olan seçim relay edilmiş DHCP paketini deyil, ötürülən klient parametrlərini təsvir edə bilər. DHCP-nin ümumiyyətlə iştirak etdiyini fərz etməzdən əvvəl serverin hovuzunu yoxlayın.

Qəbuledici şəbəkəni, ayırma sahibini, skopu, relay-in olub-olmadığını və kəsinti zamanı gözlənilən davranışı qeyd edin. Sonra həmin model üzrə yeni icarə və yenilənməni sınaqdan keçirin. Əgər iki sayt eyni idarə olunmayan hovuza xidmət edə bilirsə, ilk gəzən noutbuku gözləyən konfliktiniz var.