Proč dva areály se stejnou podsítí nejsou jedna LAN

Dvě kanceláře obě používají 192.168.77.0/24 a někdo navrhuje tunel, aby byly jednou sítí. Ta věta zní jednoduše a skrývá tři různá řešení: dvě nezávislé LAN, které kolidují, jeden záměrně protažený ethernetový segment přes WAN a uspořádání s proxy-ARP, které odpovídá za vzdálené adresy. Které z nich máte, rozhoduje o tom, co hostitel s paketem udělá, a odpověď je vidět dřív, než se zapojí brána VPN.

Hostitel rozhoduje dřív než router

Hostitel s adresou 192.168.77.10/24 porovná cíl se svým prefixem. Vše uvnitř tohoto prefixu je na přímém spojení, takže hostitel přímo rozliší adresu linkové vrstvy cíle. Vše mimo něj jde na výchozí bránu.

Toto rozhodnutí vzniká v síťovém zásobníku hostitele, ne v tunelu. Trasa přidaná na bráně nezachrání paket, který hostitel nikdy tam nepošle.

Když tedy 192.168.77.20 existuje jen v druhém areálu, místní hostitel se na něj zeptá přes ARP a nedostane odpověď. VPN handshake může být zcela v pořádku, zatímco tohle selhává. Selhání vypadá jako mrtvý hostitel, ne jako problém směrování. Rozpoznání tohoto podpisu ušetří hodinu ladění tunelu.

ARP je otázka místního spojení

ARP se ptá, kdo vlastní adresu na tomto spojení, a odpověď musí přijít od něčeho, co slyší broadcast. Router na druhém konci tunelu IPsec ho neslyší, pokud z návrhu neudělá z obou areálů jednu broadcastovou doménu.

Dvě zařízení se stejnou adresou to zhoršují: ani úspěšné rozlišení neřekne, které z nich odpovědělo.

Duplicitní adresování není chyba směrování a žádná trasa to nespraví. Buď se areály přečíslují do odlišných prefixů, nebo se záměrně stanou jednou doménou linkové vrstvy.

Protažený segment přenáší rámce, ne trasy

Tunel přenášející Ethernet připojený k mostům udělá z obou areálů součást jedné domény linkové vrstvy. Broadcasty ARP se dostanou na druhou stranu a každý most se učí, které MAC adresy jsou kde. Dokumentace mostu v Linuxu popisuje tuto hranici přeposílání založenou na MAC.

Tady vzdálená brána vůbec nesměruje mezi dvěma identickými podsítěmi. Rámce procházejí podkladovou sítí, která sama směruje IP, zatímco mosty prodlužují ethernetový rozhovor.

Cena je větší poloměr dopadu. Flooding pro neznámé cíle, smyčky, přidělování DHCP a jedinečné adresování potřebují jeden plán přesahující oba areály. Když WAN spadne, hostitelé ztratí provoz, který považují za místní. Filtrování na mostu a pravidla VLAN mohou omezit, co projde, ale přenos stále neslibuje, že dorazí každý místní řídicí rámec.

Proxy ARP je třetí řešení

Router může odpovědět na ARP za vzdálenou adresu a pak k ní směrovat. Tím se vzdálený hostitel jeví odesílateli jako na přímém spojení, aniž by se protahovala broadcastová doména.

Je to užší nástroj než mostování: závisí na přeposílání, zpětných trasách a jasném vlastníkovi každé adresy.

Také nečiní směrovatelnými libovolné protokoly mimo IP a nereprodukuje ethernetovou broadcastovou doménu. Použijte ho, když je požadavkem přesně tato náhrada, ne jako zkratku pro odložené přečíslování.

Vyberte podle požadavku, pak ověřte

Pro běžný přístup aplikací mezi kancelářemi dávají odlišné prefixy a explicitní trasy jasnější hranici. Mostujte, když je požadavkem skutečně sousedství linkové vrstvy. Přečíslujte, když jediným důvodem sdíleného prefixu je, že to ještě nikdo neudělal.

Potvrďte, které řešení skutečně máte, tím že se zeptáte hostitele, co s cílem dělá:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Výsledek na přímém spojení s neúspěšnou položkou souseda ukazuje na chybějící cestu linkové vrstvy. Výsledek via pojmenuje bránu a přesouvá otázku do směrování. Na mostu zkontrolujte přeposílací databázi, zda se MAC naučila přes tunel. Každý výstup zužuje otázku návrhu, místo aby ji začínal znovu.