Warum zwei Standorte mit demselben Subnetz kein LAN sind

Zwei Büros nutzen beide 192.168.77.0/24, und jemand schlägt einen Tunnel vor, damit sie ein Netz sind. Der Satz klingt einfach und verbirgt drei verschiedene Entwürfe: zwei unabhängige LANs, die kollidieren, ein absichtlich über ein WAN gestrecktes Ethernet-Segment und eine Proxy-ARP-Anordnung, die für entfernte Adressen antwortet. Welcher davon vorliegt, entscheidet, was ein Host mit dem Paket tut, und die Antwort ist sichtbar, bevor das VPN-Gateway beteiligt ist.

Der Host entscheidet vor dem Router

Ein Host mit der Adresse 192.168.77.10/24 vergleicht das Ziel mit seinem eigenen Präfix. Alles innerhalb dieses Präfixes ist on-link, also löst der Host die Sicherungsschichtadresse des Ziels direkt auf. Alles außerhalb geht an das Standard-Gateway.

Diese Entscheidung fällt im Stack des Hosts, nicht im Tunnel. Eine auf dem Gateway hinzugefügte Route kann ein Paket nicht retten, das der Host nie dorthin sendet.

Wenn 192.168.77.20 also nur am anderen Standort existiert, fragt der lokale Host per ARP danach und bekommt keine Antwort. Der VPN-Handshake kann völlig gesund sein, während dies scheitert. Der Fehler sieht wie ein toter Host aus, nicht wie ein Routingproblem. Diese Signatur zu erkennen spart eine Stunde Tunnel-Fehlersuche.

ARP ist eine Frage des lokalen Links

ARP fragt, wer eine Adresse auf diesem Link besitzt, und die Antwort muss von etwas kommen, das den Broadcast hört. Ein Router am anderen Ende eines IPsec-Tunnels hört ihn nicht, es sei denn, der Entwurf macht die beiden Standorte zu einer Broadcast-Domäne.

Zwei Geräte mit derselben Adresse verschlimmern es: Selbst eine erfolgreiche Auflösung sagt nicht, welches geantwortet hat.

Doppelte Adressierung ist kein Routingfehler, und keine Route behebt sie. Entweder werden die Standorte in verschiedene Präfixe umnummeriert, oder sie werden absichtlich eine Sicherungsschichtdomäne.

Ein gestrecktes Segment trägt Frames, keine Routen

Ein Ethernet-tragender Tunnel, der an Bridges hängt, macht beide Standorte zu einem Teil einer Sicherungsschichtdomäne. ARP-Broadcasts erreichen die ferne Seite, und jede Bridge lernt, welche MAC-Adressen wo liegen. Die Linux-Bridge-Dokumentation beschreibt diese MAC-basierte Weiterleitungsgrenze.

Hier routet das entfernte Gateway überhaupt nicht zwischen zwei identischen Subnetzen. Frames durchqueren ein Underlay, das selbst IP routet, während die Bridges das Ethernet-Gespräch verlängern.

Der Preis ist ein größerer Wirkungsradius. Flooding für unbekannte Ziele, Schleifen, DHCP-Zuteilung und eindeutige Adressierung brauchen alle einen Plan, der beide Standorte umfasst. Fällt das WAN aus, verlieren Hosts Verkehr, den sie für lokal halten. Filtern auf der Bridge und VLAN-Regeln können begrenzen, was hinübergeht, doch die Übertragung verspricht weiterhin nicht, dass jeder lokale Steuerrahmen ankommt.

Proxy-ARP ist ein dritter Entwurf

Ein Router kann ARP für eine entfernte Adresse beantworten und dann dorthin routen. Das lässt den fernen Host für den Absender on-link erscheinen, ohne eine Broadcast-Domäne zu strecken.

Es ist ein engeres Werkzeug als Bridging: Es hängt von Weiterleitung, Rückwegen und einem klaren Eigentümer je Adresse ab.

Es macht auch beliebige Nicht-IP-Protokolle nicht routbar und bildet keine Ethernet-Broadcast-Domäne nach. Nutze es, wenn die Anforderung genau diese Ersetzung ist, nicht als Abkürzung für aufgeschobene Umnummerierung.

Nach Anforderung wählen, dann prüfen

Für gewöhnlichen Anwendungszugriff zwischen Büros geben getrennte Präfixe und explizite Routen eine klarere Grenze. Bridge, wenn die Anforderung wirklich Link-Layer-Nachbarschaft ist. Nummeriere um, wenn der einzige Grund für das gemeinsame Präfix ist, dass es noch niemand getan hat.

Bestätige, welchen Entwurf du tatsächlich hast, indem du einen Host fragst, was er mit dem Ziel tut:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Ein On-Link-Ergebnis mit fehlgeschlagenem Nachbareintrag deutet auf einen fehlenden Sicherungsschichtpfad. Ein via-Ergebnis nennt das Gateway und verschiebt die Frage zum Routing. Prüfe auf einer Bridge die Weiterleitungsdatenbank, um zu sehen, ob die MAC über den Tunnel gelernt wurde. Jede Ausgabe verengt die Entwurfsfrage, statt sie neu zu beginnen.