Pam mae gwesteiwr LAN yn anfon ARP ar gyfer cyfeiriad cleient OpenVPN

Mae problemau cyrraedd rhwng gwesteiwr LAN a chleient VPN yn aml yn mynd yn ôl at y cynllun cyfeiriadau ei hun. Rhowch ryngwyneb ar 10.0.100.0/22 i'r gwesteiwr hwnnw a bydd yn trin pob cyfeiriad o 10.0.100.0 hyd at 10.0.103.255 fel un wedi'i gysylltu'n uniongyrchol, gan gynnwys pwll cleientiaid a osodwyd yn dawel ar 10.0.101.0/24. Nid yw'r ateb byth yn mynd i lwybrydd, oherwydd o safbwynt y gwesteiwr nid oes unrhyw lwybrydd yn rhan ohono. Mae'r pecyn wedi'i gyfeirio at gymydog ac yn cael ei ofyn amdano ar y wifren.

Mae'r mecanwaith hwnnw y tu ôl i deulu cyfan o adroddiadau: mae'r tiwnel i fyny, mae gan y gweinydd lwybr, ac eto ni all gwesteiwr y LAN gyrraedd y cleient.

Y /22 sy'n llyncu'r /24

Darllenwch y rhagddodiad fel amrediad, nid fel llinyn. Mae /22 yn cynnwys 1024 o gyfeiriadau, ac mae 10.0.100.0/22 yn ymestyn o 10.0.100.0 i 10.0.103.255, felly mae pwll ar 10.0.101.0/24 yn gorwedd yn gyfan gwbl y tu mewn iddo. Mae'r camgymeriad yn goroesi'r adolygiad oherwydd bod octedau cyntaf y pwll yn edrych yn wahanol i octedau cyntaf y LAN, a dim ond y trydydd octed sy'n datgelu'r cynnwys. Ysgrifennwch y ddau amrediad mewn rhifau cyn eu datgan yn wahanol.

Gall yr un cynnwys ymddangos yr ochr arall. Gall pwll sy'n edrych yn wag oherwydd nad oes neb yn ei ddefnyddio ar hyn o bryd ostwng y tu mewn i ragbarth a gyhoeddir gan ryw lwybrydd safle, a'r cynllun cyfeiriadau yw'r unig ddogfen sy'n dangos hynny.

Mae cyswllt uniongyrchol yn golygu ARP, nid llwybro

Pan fydd gwesteiwr â rhyngwyneb /22 yn anfon at 10.0.101.25, mae'r cnewyllyn yn cymharu'r gyrchfan â rhagddodiad y rhyngwyneb ac yn dod o hyd i gydweddiad. Mae'r pecyn yn dod yn chwiliad cymydog yn hytrach na phecyn wedi'i lwybro, ac ar Ethernet mae'r chwiliad cymydog yn gais ARP ar gyfer y cyfeiriad hwnnw. Os yw'r cyfeiriad yn perthyn i gleient VPN y tu ôl i borth wedi'i lwybro, nid oes unrhyw westeiwr ar y LAN yn berchen arno, felly mae'r cais yn parhau heb ateb ac mae'r pecynnau'n cael eu gollwng. Nid y tiwnel sydd ar fai, ac ni fydd y cleient byth yn gweld y traffig.

Dyna pam mae'r methiant yn edrych yn anghymesur ac yn ysbeidiol ar adegau. Mae gwesteiwr VPN yn aml yn cyrraedd y LAN oherwydd bod ei lwybrau ei hun yn pwyntio'r ffordd iawn, tra na all gwesteiwr y LAN ateb, ac mae unrhyw beth sy'n cadw cofnod ARP hen mewn storfa yn gwneud i'r symptom grynu.

TUN, TAP a'r hyn y mae pob un yn ei gludo

Mae dyfais TUN yn cludo pecynnau IP, ac mae dyfais TAP yn cludo fframiau Ethernet. Nid oes angen i ddolen TUN wedi'i llwybro gludo ARP i ddarparu cyrhaeddiad IP, a dyna'n union pam mae'r cais heb ateb uchod yn ddisgwyliedig ac nid yn ddiffygiol. Gall TAP gyda phont fwriadol ymestyn y parth darlledu a gwneud i ARP weithio, ond mae'n newid yr hyn y gall y cleient ei weld, mae'n gofyn am bennau sy'n cefnogi'r un fframio, ac mae'n ailddylunio'r model rhwydwaith yn hytrach na thrwsio rhagddodiad sy'n gorgyffwrdd. Mae troi defnyddiad wedi'i lwybro i TAP i wella camgymeriad cynllun cyfeiriadau yn cyfnewid problem fach am un fwy.

Cofnodwch ble y gwelwyd y cais ARP a pha system a'i hanfonodd cyn dod i gasgliadau. Mae'r anfonwr yn dweud wrthych beth y mae'n ei gredu am y gyrchfan, nid beth mae'r tiwnel yn ei wneud.

Dyluniwch bwll na all orgyffwrdd

Dewiswch bwll y tu allan i bob rhagddodiad cysylltiedig a phob rhagddodiad safle a gyhoeddir, yna ychwanegwch y llwybrau sy'n ei wneud yn gyrhaeddadwy i'r ddau gyfeiriad. Mae amrediad fel 10.8.0.0/24 mewn rhan nas defnyddiwyd o'r cynllun yn hawdd ei resymu, ac mae LAN sydd angen ei gyrraedd yn cael llwybr statig sy'n pwyntio at weinydd y VPN. Newidiwch y dyrannu, y llwybrau a gyhoeddir, y cyfeiriadau ffynhonnell a ganiateir a'r rheolau tân gyda'i gilydd, oherwydd maent yn disgrifio un dyluniad ac nid pedair gosodiad.

Gall Source NAT ar y gweinydd guddio'r pwll y tu ôl i gyfeiriad llwybredig o'r LAN, ac mae'n offeryn mudo dilys. Mae hefyd yn ailysgrifennu'r ffynhonnell, felly mae'r LAN yn colli'r gallu i briodoli cysylltiadau i gleientiaid unigol ac i gymhwyso rheolau fesul cleient.

Ar gyfer derbyn, defnyddiwch gyfeiriad a neilltuwyd i'r cleient go iawn a chais cymhwysiad go iawn o westeiwr LAN, yna cadarnhewch fod yr ateb yn dilyn y porth a gynlluniwyd yn hytrach na'r wifren.