Nid yw cleient VPN â chyfeiriad LAN ar y LAN

Mae’r cleient yn cysylltu, yn derbyn 10.50.0.200, ac yn methu cyrraedd y gweinydd yn 10.50.0.20 er bod y ddau rif yn yr un /24. Y gred y tu ôl i’r ffurfweddiad hwnnw yw bod cyfeiriad o ragddodiad y LAN yn gwneud y cleient yn rhan o’r LAN. Nid yw’n gwneud hynny. Mae’r cleient ar gyswllt pwynt-i-bwynt, mae’r gweinydd yn credu bod y cyrchfan yn lleol, a’r darn coll yw ateb cymydog nad oes neb yn ei anfon.

Y myth: yr un rhagddodiad yw’r un segment

Mae rhagddodiad cyfeiriad yn dweud wrth y gwesteiwr pa gyrchfannau y gall eu cyrraedd yn uniongyrchol a pha rai sydd angen llwybrydd. Nid yw’n dweud wrth y gwesteiwr sut mae’r gyrchfan wedi’i chysylltu’n gorfforol, ac yn sicr nid yw’n gwarantu y gall y gyrchfan ateb cais haen gyswllt. Mae’r rhain yn gwestiynau gwahanol, a atebir gan wahanol dablau ar y gwesteiwr. Mae’r mwgwd yn ateb y cyntaf a’r tabl cymydog yr ail, a dim ond y cyntaf sydd o dan eich rheolaeth o ochr y VPN.

Pan fydd y gweinydd yn anfon at 10.50.0.200, mae’n cymharu’r gyrchfan â’i fwgwd ei hun, yn penderfynu bod y cyfeiriad ar-y-cyswllt, ac yn gofyn i’r segment lleol am y cyfeiriad caledwedd sy’n perchen arno. Mae’r cais hwnnw’n mynd allan ar y rhyngwyneb Ethernet, ac nid yw’r cleient VPN yno i’w glywed.

Ni all unrhyw beth yng nghyfluniad y cleient drwsio hynny o’i ochr ef. Mae llwybr yr ateb yn dibynnu ar ddyfais sydd ar y LAN yn ateb ar ran y cleient, neu ar y cleient yn cael cyfeiriad nad yw’r gweinydd yn ei ystyried yn lleol.

Beth mae’r gwesteiwr lleol yn ei wneud â’r cyfeiriad mewn gwirionedd

Mae’r ymddygiad yn hawdd i’w arsylwi ac yn werth ei arsylwi cyn i chi newid unrhyw beth. Edrychwch ar y tabl cymydog ar westeiwr LAN ar ôl iddo geisio cyrraedd y cleient: cofnod anghyflawn neu fethiant yw’r holl ddiagnosis mewn un llinell. Mae’r llinell honno hefyd yn dweud wrthych bod y nam yn lleol i’r segment yn hytrach nag yn rhywle y tu mewn i’r twnnel.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Bydd y chwiliad llwybr yn adrodd bod y gyrchfan ar-y-cyswllt drwy’r rhyngwyneb Ethernet, a dyna’r union broblem. Os bydd y cofnod cymydog yn aros yn anghyflawn tra bod y sesiwn VPN yn fyw, rydych wedi cadarnhau mai’r darn coll yw datrysiad haen gyswllt yn hytrach na llwybro neu bolisi tânfur.

Rhedwch yr un gwiriad o westeiwr mewn isrwyd wahanol a chymharwch. Nid oes angen cofnod cymydog o gwbl ar westeiwr sy’n cyrraedd y cleient drwy lwybrydd, a’r gwahaniaeth hwnnw yw’r penderfyniad dylunio ar raddfa fach.

Sut mae proxy ARP yn darparu naid nesaf

Mae proxy ARP yn gwneud i’r porthlwybr ateb y cais haen gyswllt ar ran cyrchfan y gall ei chyrraedd drwy ryngwyneb arall. Mae gwesteiwr y LAN yn derbyn cyfeiriad caledwedd, yn anfon y ffrâm at y porthlwybr, ac mae’r porthlwybr yn anfon y pecyn i’r sesiwn VPN. O safbwynt y gwesteiwr mae’r cleient yn syml yn edrych fel pe bai y tu ôl i’r porthlwybr. Nid oes unrhyw beth yng nghyfluniad y cleient yn newid.

Mae dogfennaeth RouterOS ARP MikroTik yn disgrifio’r defnydd hwnnw ar gyfer cleientiaid dial-in sy’n benthyca gofod cyfeiriad y LAN gysylltiedig. Mae’r mecanwaith yn drwsio datrysiad cymydog, ac mae’n gweithio oherwydd bod y porthlwybr yn wirioneddol ar y ddau lwybr.

Nid yw hyn yr un peth â phontio’r cleient i mewn i’r LAN. Mae’r porthlwybr yn dal i orfod anfon y pecyn i’r sesiwn actif gywir, ac mae’n rhaid i’w lwybro a’i bolisi tânfur barhau i ganiatáu’r gwasanaeth. Mae proxy ARP yn newid pwy sy’n ateb y cais cymydog, nid pwy sy’n cael siarad.

Darllenwch enwau modd y platfform yn ofalus. Mae RouterOS yn gwahanu proxy-arp oddi wrth local-proxy-arp, ac mae’r ail yn trin traffig sy’n dod i mewn ac yn mynd allan drwy’r un rhyngwyneb. Nid ydynt yn sillafiadau cyfnewidiol, ac nid yw galluogi’r ddau heb wahaniaethu yn llwybr byr.

Yr hyn nad yw proxy ARP yn ei roi i chi

Nid yw’n darparu darganfyddiad broadcast na multicast. Bydd cleient sydd angen dod o hyd i wasanaeth drwy broadcast yn dal i fethu, oherwydd mae’r porthlwybr yn anfon unicast i’r sesiwn ac nid yw’n gwneud y cleient yn aelod o barth broadcast y LAN. Mae protocolau darganfod sy’n dibynnu ar broadcast yn ffynhonnell gyffredin o adroddiadau bod yn gweithio i un peth ac nid i beth arall mewn dyluniadau cyfeiriadau benthyg.

Nid yw’n cadw’r cyfeiriad. Os yw’r rhif benthyg hefyd mewn pwll DHCP neu aseiniad statig, gall dau ddyfais orffen gyda’r un cyfeiriad ac mae’r ymddygiad canlyniadol yn dibynnu ar amseru. Nid yw mewngofnodi llwyddiannus yn gadwraeth.

Ac nid yw’n dileu’r angen i gydlynu â pherchennog y LAN. Mae cofnod proxy ARP sy’n synnu perchennog y cynllun cyfeiriadau yn ddigwyddiad cymorth yn aros am wythnos dawel.

Cymharu â phwll a lwybrir ar wahân

Y dewis arall yw rhoi rhagddodiad eu hunain i gleientiaid VPN a gadael i westeiwyr y LAN lwybro iddo. Yna mae’r gweinydd yn anfon atebion off-link at ei borthlwybr, mae’r porthlwybr yn llwybro’r rhagddodiad i bwynt terfyn y VPN, ac nid oes angen datrysiad cymydog o gwbl ar segment y LAN. Mae hynny’n llai o rannau symudol na chyfeiriad benthyg ynghyd ag ateb proxy.

Mae’r dyluniad hwnnw’n haws ei resymu ac yn haws ei archwilio, oherwydd mae ystod y cleientiaid yn amlwg ar wahân i ystod y LAN. Mae’n costio llwybr, llwybr dychwelyd a rheol mynediad, sef yr un pethau ag y mae’r dyluniad proxy ARP eu hangen mewn man llai amlwg.

Dewiswch rhwng y modelau yn fwriadol ac nid ar hap. Mae proxy ARP yn trwsio un berthynas benodol; mae pwll a lwybrir yn osgoi’r angen am y trwsio hwnnw. Ysgrifennwch pa un a ddewisoch a pham, ac ni fydd y person nesaf yn gorfod ailddarganfod hynny o gofnod cymydog aflwyddiannus.