Nid yw eich pwll VPN yn ystod DHCP y LAN: pam mae'n methu

Y llwybr byr deniadol yw rhoi cyfeiriadau i gleientiaid VPN o'r un ystod ag y mae gweinydd DHCP y swyddfa yn ei defnyddio, ar y ddamcaniaeth mai un rhwydwaith yw popeth beth bynnag. Nid yw. Mae twmffyn wedi'i lwybro yn cario pecynnau unicast rhwng dau ben, tra bod pwll y LAN yn bodoli i ateb ceisiadau darlledu ar segment ffisegol. Mae ailddefnyddio'r rhifau yn rhoi dau ddosbarthwr yng ngofal un gofod cyfeiriadau ac yn gadael y llwybr dychwelyd heb ei ddiffinio.

Dau ddosbarthwr, un gofod cyfeiriadau

Mae gweinydd DHCP y LAN yn gwybod pa gyfeiriadau y mae wedi'u llogi a pha gyfeiriad MAC, ac yn eu hamddiffyn ag ARP. Mae gan weinydd VPN ei bwll ei hun ac nid yw'n gwybod dim am y llogiadau hynny. Nid oes yr un ohonynt yn anghywir; ni chawsant eu cyflwyno i'w gilydd erioed.

Gall cyfeiriad o bwll y LAN y mae'r gweinydd VPN yn ei roi fod eisoes yn perthyn i argraffydd. Nawr mae dau ddyfais yn hawlio un cyfeiriad ar yr un rhagddodiad, a bwrdd anfon y switsh sy'n penderfynu pa un sy'n ateb.

Dyma'r methiant y mae pobl yn dod ar ei draws gyntaf: cleient sy'n cysylltu'n llwyddiannus ac yna'n cyrraedd y peiriant anghywir, neu'n cyrraedd yr un cywir yn ysbeidiol.

Pam nad yw'r llwybrydd yn dosbarthu cyfeiriadau VPN

Mae darganfod DHCP yn ddarllediad, ac mae darllediadau'n stopio ar ffin wedi'i lwybro. Oni bai bod y dyluniad yn pontio'r twmffyn neu'n rhedeg cyfnewidydd DHCP ag awdurdod cyfatebol, ni fydd cais y cleient byth yn cyrraedd gweinydd y LAN.

Felly mae gweinydd VPN yn pennu'r cyfeiriad ei hun: pwll yng nghyfluniad y gweinydd, cyfeiriad i bob cymar mewn gosodiad WireGuard, neu gyfeiriad a wthir gan haen dilysu mewn gosodiad IKEv2. Mae'r mecanweithiau hyn yn annibynnol o gronfa llogiadau'r LAN, a dyna'n union pam mae angen ystod eu hunain arnynt.

Mae'r un rhesymeg yn esbonio pam nad yw newid cwmpas DHCP yn trwsio cleient VPN nad yw byth yn cael cyfeiriad. Nid yw'r cleient yn gofyn i weinydd y LAN, ac nid oes unrhyw faint o olygu cwmpas yn ei wneud i ofyn.

Mae'r gorgyffyrddiad yn ymddangos fel gwrthdaro, nid rhwydwaith araf

Mae dwy rwydwaith yn rhannu rhagddodiad heb ddyluniad â chymorth yn broblem wahanol i berchenogaeth ddyblyg, ac maent yn aml yn cael eu drysu. Os yw pwll VPN yn rhagddodiad ar wahân, dim ond pan fydd llwybr yn anfon traffig i'r ochr anghywir y mae'r gorgyffyrddiad yn bwysig. Os yw'r pwll y tu mewn i ragddodiad y LAN, mae'r gwrthdaro yn syth ac yn lleol.

Yn ymarferol gwelwch atebion ARP o'r ddyfais anghywir, cysylltiadau sy'n ailosod hanner ffordd, a chleient y mae rhywun arall yn hawlio ei gyfeiriad ei hun. Nid oes yr un ohonynt yn edrych fel problem llwybro, a dyna pam mae'r trwsio yn cael ei roi ar yr haen anghywir. Mae llogiad dyblyg yn hawdd ei gadarnhau ac yn annifyr i fyw ag ef. Mae hefyd yn goroesi ailgychwyn, oherwydd bod y ddau ddosbarthwr yn parhau i fynnu'r un cyfeiriad.

Mae'r llwybr dychwelyd yn broblem ar wahân

Hyd yn oed gyda phwll glân ac ar wahân, mae angen i letywyr y LAN wybod sut i ateb cleient. Eu porth mynediad diofyn yw'r llwybrydd, ac mae angen llwybr ar y llwybrydd ar gyfer y pwll sy'n pwyntio at weinydd VPN, oni bai bod y dyluniad yn cyfieithu traffig y cleient yn lle hynny.

Darllenwch y llwybr yn y ddau gyfeiriad cyn newid unrhyw beth. Ar y porth, gofynnwch pa ryngwyneb y byddai'r cnewyllyn yn ei ddefnyddio ar gyfer cyfeiriad cleient; ar y cleient, gofynnwch pa lwybr y mae'n ei ddefnyddio ar gyfer cyfeiriad LAN.

Mae'r gorchmynion hyn yn dangos y penderfyniad anfon ar y porth a'r cofnodion cymydog sy'n datgelu dyblygiad:

ip -4 route get 10.8.0.5
ip neigh show dev br-lan | grep 10.8
ip -4 route get 192.168.50.20

Os yw'r gorchymyn cyntaf yn ateb â'r rhyngwyneb twmffyn, mae'r llwybr dychwelyd yn bodoli. Os yw'n ateb â rhyngwyneb y LAN, mae'r llwybrydd yn credu bod y cleient ar y wifren ac yn ceisio ARP ar ei gyfer.

Mae dyluniadau pontiedig yn bodoli, ond rhaid eu dewis

Mae pontio twmffyn i'r LAN yn ddyluniad go iawn, a ddefnyddir pan fo'n rhaid i gleientiaid dderbyn darllediadau neu gael eu darganfod gan brotocolau sy'n tybio un segment. Mae'n gofyn i'r gweinydd fod yn berchen ar ymddygiad pontio hwnnw a'r trin cyfeiriadau sy'n mynd gydag ef.

Yr hyn nad yw'n gweithio yw dynwared y canlyniad trwy gopïo rhifau. Mae pwll a rennir heb bont yn rhoi'r gwrthdaro heb y darganfyddiad, sef y gwaethaf o'r ddau drefniad.

Dewiswch haen tri gyda phwll ar wahân oni bai bod yr ap yn wir angen y segment, a dogfennwch y pwll fel na fydd y gweinyddwr nesaf yn ailddefnyddio ystod DHCP er mwyn trefnusrwydd.