DHCP přes VPN: přenášet broadcast, nebo ho přeposílat?
Klienti na vzdálené straně tunelu nedostanou adresu. Rozhodněte se, zda broadcast přenášet, nebo přeposílat, a držte DHCP oddělené od ARP.
Nový notebook na vzdálené straně tunelu nedostane adresu, zatímco stejný notebook v centrále funguje. Obvyklý první odhad je, že tunel blokuje DHCP. Častěji broadcast nikdy neměl cestu: nenakonfigurovaný klient posílá na 255.255.255.255 a běžný IP router tento paket nepředává. Tunel dělá přesně to, co dělá routovaný tunel.
Dva návrhy to mohou změnit a nejsou rovnocenné. Jeden broadcast přenáší; druhý požadavek přeposílá.
Broadcast nikdy nepřejde routerem
Klient DHCPv4 bez adresy posílá z 0.0.0.0 na adresu omezeného broadcastu na UDP portech 67 a 68. Tento paket podle návrhu zůstává na svém spoji. Router, který by ho přeposlal, by zaplavil každý segment, kterému slouží.
Routovaný tunel mezi lokalitami tedy propojuje relay se serverem. Nerozšiřuje broadcastovou doménu klienta a žádné pravidlo firewallu to nezmění.
Co přemostěný tunel skutečně rozšiřuje
Záměrně přemostěná VPN může přenášet Ethernet broadcast v rámci své podporované topologie a pak DHCP může procházet jako lokální provoz. Je to reálná možnost, ale je to designová volba vrstvy 2. Rozšiřujete doménu selhání a hranici přístupu spolu s broadcastem.
Mostování také mění, kam se může dostat broadcastová bouře, ARP sken nebo podvodný DHCP server. Pokud byste vzdálenou pobočku nepřipojili do stejného switche, nemoste tunel jen kvůli přidělování adres. Otestujte tento poloměr dopadu, než to zapnete.
Je to větší rozhodnutí než dodat adresu a mělo by se udělat vědomě.
Místo toho požadavek přeposílejte
Obvyklou odpovědí je relay v lokální síti klienta. Přijme broadcast, převede ho na unicast požadavek a vloží svou vlastní adresu do pole adresy brány. Server odpovídá na tuto adresu relaye.
Pro ilustrativní vzdálenou pobočku relay sedí v LAN pobočky a na server se dosahuje přes VPN lokality. Nakonfigurujte rozsah pro tuto pobočku, identity relaye a serveru a úplnou zpáteční cestu. Povolení UDP 67 tunelem serveru neřekne, který fond má použít.
Relay, který přeposílá, ale nikdy nedostane odpověď, je obvykle problém zpáteční cesty. Než změníte rozsah, zkontrolujte cestu zpět k adrese relaye.
Oddělte DHCP od ARP a od adresování tunelu
DHCP běží nad UDP/IP. Na Ethernetu může hostitel použít i ARP k ověření, zda kandidátská adresa již není obsazená. Tato kontrola konfliktu je samostatná operace lokální na spoji, nikoli transport zpráv DHCP. Říkat, že DHCP je v podstatě ARP, je špatné; říkat, že spolu nikdy nesouvisí, je příliš široké.
Klient VPN může svou adresu tunelu získat také z protokolu VPN nebo z vlastního fondu serveru, nikoli z broadcastu DHCP. Volba, jejíž název obsahuje DHCP, může popisovat protlačená nastavení klienta, ne přeposílaný paket DHCP. Než budete předpokládat, že DHCP vůbec zasahuje, zkontrolujte fond serveru.
Zaznamenejte cílovou síť, vlastníka přidělení, rozsah, zda existuje relay a očekávané chování při výpadku. Poté otestujte nový pronájem i obnovení tímto modelem. Pokud dvě lokality mohou obsluhovat stejný nespravovaný fond, máte konflikt, který čeká na první roamingový notebook.