Per què un amfitrió de la LAN envia ARP per a l’adreça d’un client OpenVPN

Els problemes d’abast entre un amfitrió de la LAN i un client VPN sovint es remunten al mateix pla d’adreçament. Doneu a aquest amfitrió una interfície a 10.0.100.0/22 i tractarà cada adreça des de 10.0.100.0 fins a 10.0.103.255 com a directament connectada, incloent-hi un conjunt de clients col·locat discretament a 10.0.101.0/24. La resposta no va mai a un encaminador, perquè des del punt de vista de l’amfitrió no hi intervé cap encaminador. El paquet s’adreça a un veí i es reclama al cable.

Aquest mecanisme hi ha darrere de tota una família d’informes: el túnel està actiu, el servidor té una ruta i l’amfitrió de la LAN continua sense abastar el client.

El /22 que s’empassa el /24

Llegeix el prefix com un interval, no com una cadena. Un /22 conté 1024 adreces, i 10.0.100.0/22 abasta de 10.0.100.0 a 10.0.103.255, així que un conjunt a 10.0.101.0/24 queda completament a dins. L’error sobreviu a la revisió perquè els primers octets del conjunt semblen diferents dels primers octets de la LAN, i només el tercer octet revela la contenció. Escriu tots dos intervals en xifres abans de declarar-los separats.

La mateixa contenció pot aparèixer a l’inrevés. Un conjunt que sembla lliure perquè ara mateix res no l’usa pot caure igualment dins d’un prefix que anuncia algun encaminador de seu, i el pla d’adreçament és l’únic document que ho mostra.

Enllaç directe vol dir ARP, no encaminament

Quan un amfitrió amb una interfície /22 envia a 10.0.101.25, el nucli compara la destinació amb el prefix de la interfície i troba una coincidència. El paquet es converteix en una resolució de veí en lloc d’un paquet encaminat, i a Ethernet la resolució de veí és una sol·licitud ARP per a aquesta adreça. Si l’adreça pertany a un client VPN darrere d’una porta d’enllaç encaminada, cap amfitrió de la LAN la posseeix, així que la sol·licitud queda sense resposta i els paquets es descarten. El túnel no en té la culpa, i el client no veu mai el trànsit.

Per això la fallada sembla asimètrica i de vegades intermitent. L’amfitrió VPN sovint pot abastar la LAN perquè les seves pròpies rutes apunten en la direcció correcta, mentre que l’amfitrió de la LAN no pot respondre, i qualsevol memòria cau d’una entrada ARP obsoleta fa parpellejar el símptoma.

TUN, TAP i què transporta cadascun

Un dispositiu TUN transporta paquets IP, i un dispositiu TAP transporta trames Ethernet. Un enllaç TUN encaminat no necessita transportar ARP per oferir abast IP, i és exactament per això que la sol·licitud sense resposta d’aquí dalt és esperada i no un defecte. TAP amb un pont deliberat pot ampliar el domini de difusió i fer funcionar ARP, però canvia què pot veure el client, exigeix extrems que admetin el mateix encapsulat i és un redisseny del model de xarxa en lloc d’una reparació per a un prefix solapat. Passar un desplegament encaminat a TAP per curar un error de pla d’adreçament canvia un problema petit per un de més gran.

Anota on va aparèixer la sol·licitud ARP i quin sistema la va emetre abans de treure conclusions. L’emissor et diu què creu sobre la destinació, no què fa el túnel.

Dissenya un conjunt que no es pugui solapar

Tria un conjunt fora de cada prefix connectat i de cada prefix de seu anunciat, i després afegeix les rutes que el fan abastable en tots dos sentits. Un interval com 10.8.0.0/24 en una part no usada del pla és fàcil de raonar, i una LAN que l’ha d’abastar rep una ruta estàtica que apunta al servidor VPN. Canvia alhora l’assignació, les rutes anunciades, les adreces d’origen permeses i les regles del tallafoc, perquè descriuen un sol disseny i no quatre ajustos.

El NAT d’origen al servidor pot amagar el conjunt darrere d’una adreça encaminable des de la LAN, i és una eina de migració legítima. També reescriu l’origen, així que la LAN perd la capacitat d’atribuir connexions a clients individuals i d’aplicar regles per client.

Per a l’acceptació, usa l’adreça realment assignada al client real i una sol·licitud d’aplicació real des d’un amfitrió de la LAN, i després confirma que la resposta segueix la porta d’enllaç prevista i no el cable.