Γιατί ένας κεντρικός υπολογιστής του LAN κάνει ARP για τη διεύθυνση ενός πελάτη OpenVPN

Τα προβλήματα προσβασιμότητας ανάμεσα σε έναν κεντρικό υπολογιστή του LAN και σε έναν πελάτη VPN συχνά ανάγονται στο ίδιο το σχέδιο διευθύνσεων. Δώστε σε αυτόν τον υπολογιστή μια διεπαφή στο 10.0.100.0/22 και θα θεωρεί κάθε διεύθυνση από 10.0.100.0 έως 10.0.103.255 ως άμεσα συνδεδεμένη, μαζί με μια δεξαμενή πελατών που βρίσκεται διακριτικά στο 10.0.101.0/24. Η απάντηση δεν πηγαίνει ποτέ σε δρομολογητή, γιατί από την οπτική του υπολογιστή δεν εμπλέκεται κανένας δρομολογητής. Το πακέτο απευθύνεται σε έναν γείτονα και ζητείται στο καλώδιο.

Ο μηχανισμός αυτός κρύβεται πίσω από μια ολόκληρη οικογένεια αναφορών: η σήραγγα είναι ενεργή, ο διακομιστής έχει διαδρομή και ο υπολογιστής του LAN εξακολουθεί να μην φτάνει τον πελάτη.

Το /22 που καταπίνει το /24

Διαβάστε το πρόθεμα ως εύρος, όχι ως συμβολοσειρά. Ένα /22 περιέχει 1024 διευθύνσεις και το 10.0.100.0/22 καλύπτει από 10.0.100.0 έως 10.0.103.255, οπότε μια δεξαμενή στο 10.0.101.0/24 βρίσκεται ολόκληρη μέσα του. Το λάθος επιβιώνει της αναθεώρησης επειδή οι πρώτες οκτάδες της δεξαμενής φαίνονται διαφορετικές από τις πρώτες οκτάδες του LAN και μόνο η τρίτη οκτάδα αποκαλύπτει την επικάλυψη. Γράψτε και τα δύο εύρη αριθμητικά πριν τα χαρακτηρίσετε χωριστά.

Η ίδια επικάλυψη μπορεί να εμφανιστεί και αντίστροφα. Μια δεξαμενή που φαίνεται ελεύθερη επειδή τίποτα δεν τη χρησιμοποιεί τώρα μπορεί παρ' όλα αυτά να πέφτει μέσα σε ένα πρόθεμα που διαφημίζει κάποιος δρομολογητής τοποθεσίας, και το σχέδιο διευθύνσεων είναι το μόνο έγγραφο που το δείχνει.

Η άμεση σύνδεση σημαίνει ARP, όχι δρομολόγηση

Όταν ένας υπολογιστής με διεπαφή /22 στέλνει προς το 10.0.101.25, ο πυρήνας συγκρίνει τον προορισμό με το πρόθεμα της διεπαφής και βρίσκει αντιστοιχία. Το πακέτο γίνεται επίλυση γείτονα αντί για δρομολογημένο πακέτο, και στο Ethernet η επίλυση γείτονα είναι αίτημα ARP για εκείνη τη διεύθυνση. Αν η διεύθυνση ανήκει σε πελάτη VPN πίσω από δρομολογημένη πύλη, κανένας υπολογιστής του LAN δεν την κατέχει, άρα το αίτημα μένει αναπάντητο και τα πακέτα απορρίπτονται. Η σήραγγα δεν φταίει, και ο πελάτης δεν βλέπει ποτέ την κίνηση.

Γι' αυτό η βλάβη φαίνεται ασύμμετρη και περιστασιακά διακοπτόμενη. Ο υπολογιστής VPN μπορεί συχνά να φτάσει το LAN επειδή οι δικές του διαδρομές δείχνουν προς τη σωστή κατεύθυνση, ενώ ο υπολογιστής του LAN δεν μπορεί να απαντήσει, και οτιδήποτε αποθηκεύει μια παλιά καταχώριση ARP κάνει το σύμπτωμα να τρεμοπαίζει.

TUN, TAP και τι μεταφέρει το καθένα

Μια συσκευή TUN μεταφέρει πακέτα IP, και μια συσκευή TAP μεταφέρει πλαίσια Ethernet. Μια δρομολογημένη ζεύξη TUN δεν χρειάζεται να μεταφέρει ARP για να προσφέρει προσβασιμότητα IP, και γι' αυτό ακριβώς το αναπάντητο αίτημα παραπάνω είναι αναμενόμενο και όχι βλάβη. Το TAP με μια σκόπιμη γέφυρα μπορεί να επεκτείνει το πεδίο εκπομπής και να κάνει το ARP να λειτουργεί, αλλά αλλάζει το τι βλέπει ο πελάτης, απαιτεί άκρα που υποστηρίζουν την ίδια πλαισίωση και είναι ανασχεδιασμός του μοντέλου δικτύου και όχι επισκευή για ένα επικαλυπτόμενο πρόθεμα. Το να μετατρέψετε μια δρομολογημένη ανάπτυξη σε TAP για να θεραπεύσετε ένα λάθος σχεδίου διευθύνσεων ανταλλάσσει ένα μικρό πρόβλημα με ένα μεγαλύτερο.

Καταγράψτε πού εμφανίστηκε το αίτημα ARP και ποιο σύστημα το εξέπεμψε πριν βγάλετε συμπεράσματα. Ο αποστολέας σας λέει τι πιστεύει για τον προορισμό, όχι τι κάνει η σήραγγα.

Σχεδιάστε μια δεξαμενή που δεν μπορεί να επικαλυφθεί

Διαλέξτε μια δεξαμενή έξω από κάθε συνδεδεμένο πρόθεμα και κάθε διαφημιζόμενο πρόθεμα τοποθεσίας και μετά προσθέστε τις διαδρομές που την κάνουν προσβάσιμη και προς τις δύο κατευθύνσεις. Ένα εύρος όπως το 10.8.0.0/24 σε ένα αχρησιμοποίητο μέρος του σχεδίου είναι εύκολο να το σκεφτεί κανείς, και ένα LAN που πρέπει να το φτάσει παίρνει μια στατική διαδρομή που δείχνει στον διακομιστή VPN. Αλλάξτε μαζί την κατανομή, τις διαφημιζόμενες διαδρομές, τις επιτρεπόμενες διευθύνσεις προέλευσης και τους κανόνες του τείχους προστασίας, γιατί περιγράφουν ένα σχέδιο και όχι τέσσερις ρυθμίσεις.

Το NAT προέλευσης στον διακομιστή μπορεί να κρύψει τη δεξαμενή πίσω από μια διεύθυνση δρομολογήσιμη από το LAN, και είναι ένα νόμιμο εργαλείο μετανάστευσης. Επίσης ξαναγράφει την προέλευση, οπότε το LAN χάνει τη δυνατότητα να αποδίδει συνδέσεις σε μεμονωμένους πελάτες και να εφαρμόζει κανόνες ανά πελάτη.

Για την αποδοχή, χρησιμοποιήστε την πραγματικά εκχωρημένη διεύθυνση του πραγματικού πελάτη και ένα πραγματικό αίτημα εφαρμογής από υπολογιστή του LAN και μετά επιβεβαιώστε ότι η απάντηση ακολουθεί την προγραμματισμένη πύλη και όχι το καλώδιο.