Γιατί δύο τοποθεσίες με το ίδιο υποδίκτυο δεν είναι ένα LAN

Δύο γραφεία χρησιμοποιούν και τα δύο το 192.168.77.0/24, και κάποιος προτείνει ένα τούνελ ώστε να γίνουν ένα δίκτυο. Η φράση ακούγεται απλή και κρύβει τρία διαφορετικά σχέδια: δύο ανεξάρτητα LAN που συγκρούονται, ένα σκόπιμα εκτεταμένο τμήμα Ethernet πάνω από ένα WAN, και μια διάταξη proxy-ARP που απαντά για απομακρυσμένες διευθύνσεις. Ποιο από αυτά έχετε καθορίζει τι κάνει ο υπολογιστής με το πακέτο, και η απάντηση φαίνεται πριν εμπλακεί η πύλη VPN.

Ο υπολογιστής αποφασίζει πριν από τον δρομολογητή

Ένας υπολογιστής με διεύθυνση 192.168.77.10/24 συγκρίνει τον προορισμό με το δικό του πρόθεμα. Ό,τι βρίσκεται μέσα σε αυτό το πρόθεμα είναι στην απευθείας ζεύξη, οπότε ο υπολογιστής επιλύει απευθείας τη διεύθυνση επιπέδου ζεύξης του προορισμού. Ό,τι βρίσκεται έξω πηγαίνει στην προεπιλεγμένη πύλη.

Αυτή η απόφαση παίρνεται στη στοίβα του υπολογιστή, όχι στο τούνελ. Μια διαδρομή που προστίθεται στην πύλη δεν μπορεί να σώσει ένα πακέτο που ο υπολογιστής δεν στέλνει ποτέ εκεί.

Έτσι, όταν το 192.168.77.20 υπάρχει μόνο στην άλλη τοποθεσία, ο τοπικός υπολογιστής το ζητά με ARP και δεν παίρνει απάντηση. Η χειραψία VPN μπορεί να είναι απολύτως υγιής ενώ αυτό αποτυγχάνει. Η αποτυχία μοιάζει με νεκρό υπολογιστή και όχι με πρόβλημα δρομολόγησης. Η αναγνώριση αυτού του ίχνους γλιτώνει μια ώρα αποσφαλμάτωσης του τούνελ.

Το ARP είναι ερώτηση τοπικής ζεύξης

Το ARP ρωτά ποιος κατέχει μια διεύθυνση σε αυτή τη ζεύξη, και η απάντηση πρέπει να έρθει από κάτι που ακούει την εκπομπή. Ένας δρομολογητής στο άλλο άκρο ενός τούνελ IPsec δεν την ακούει, εκτός αν το σχέδιο κάνει τις δύο τοποθεσίες ένα πεδίο εκπομπής.

Δύο συσκευές με την ίδια διεύθυνση το χειροτερεύουν: ακόμη και μια επιτυχής επίλυση δεν μπορεί να σας πει ποια απάντησε.

Η διπλή διευθυνσιοδότηση δεν είναι σφάλμα δρομολόγησης και καμία διαδρομή δεν τη διορθώνει. Είτε οι τοποθεσίες επαναριθμούνται σε διακριτά προθέματα, είτε γίνονται σκόπιμα ένα πεδίο επιπέδου ζεύξης.

Ένα εκτεταμένο τμήμα μεταφέρει πλαίσια, όχι διαδρομές

Ένα τούνελ που μεταφέρει Ethernet και συνδέεται σε γέφυρες κάνει τις δύο τοποθεσίες μέρος ενός πεδίου επιπέδου ζεύξης. Οι εκπομπές ARP φτάνουν στην άλλη πλευρά, και κάθε γέφυρα μαθαίνει ποιες διευθύνσεις MAC βρίσκονται πού. Η τεκμηρίωση της γέφυρας Linux περιγράφει αυτό το όριο προώθησης με βάση τη MAC.

Εδώ η απομακρυσμένη πύλη δεν δρομολογεί καθόλου ανάμεσα σε δύο πανομοιότυπα υποδίκτυα. Τα πλαίσια περνούν από ένα υπόστρωμα που δρομολογεί IP από μόνο του, ενώ οι γέφυρες επεκτείνουν τη συνομιλία Ethernet.

Το κόστος είναι μεγαλύτερη ακτίνα επίπτωσης. Η πλημμύρα για άγνωστους προορισμούς, οι βρόχοι, η κατανομή DHCP και η μοναδική διευθυνσιοδότηση χρειάζονται όλα ένα σχέδιο που καλύπτει και τις δύο τοποθεσίες. Όταν πέσει το WAN, οι υπολογιστές χάνουν κίνηση που θεωρούν τοπική. Το φιλτράρισμα στη γέφυρα και οι κανόνες VLAN μπορούν να περιορίσουν τι περνά, αλλά η μεταφορά ακόμη δεν υπόσχεται ότι φτάνει κάθε τοπικό πλαίσιο ελέγχου.

Το proxy ARP είναι τρίτο σχέδιο

Ένας δρομολογητής μπορεί να απαντήσει σε ARP για μια απομακρυσμένη διεύθυνση και μετά να δρομολογήσει προς αυτή. Αυτό κάνει τον απομακρυσμένο υπολογιστή να φαίνεται στην απευθείας ζεύξη για τον αποστολέα χωρίς να εκτείνει πεδίο εκπομπής.

Είναι στενότερο εργαλείο από τη γεφύρωση: εξαρτάται από την προώθηση, τις διαδρομές επιστροφής και έναν σαφή ιδιοκτήτη για κάθε διεύθυνση.

Επίσης δεν κάνει αυθαίρετα πρωτόκολλα εκτός IP δρομολογήσιμα και δεν αναπαράγει πεδίο εκπομπής Ethernet. Χρησιμοποιήστε το όταν η απαίτηση είναι ακριβώς αυτή η υποκατάσταση, όχι ως συντόμευση για αναβληθείσα επαναρίθμηση.

Επιλέξτε με βάση την απαίτηση και μετά επαληθεύστε

Για συνήθη πρόσβαση εφαρμογών μεταξύ γραφείων, διακριτά προθέματα και ρητές διαδρομές δίνουν σαφέστερο όριο. Γεφυρώστε όταν η απαίτηση είναι πραγματικά γειτνίαση επιπέδου ζεύξης. Επαναριθμήστε όταν ο μόνος λόγος για το κοινό πρόθεμα είναι ότι κανείς δεν το έχει κάνει ακόμη.

Επιβεβαιώστε ποιο σχέδιο έχετε πραγματικά ρωτώντας έναν υπολογιστή τι κάνει με τον προορισμό:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Ένα αποτέλεσμα απευθείας ζεύξης με αποτυχημένη καταχώριση γείτονα δείχνει σε απούσα διαδρομή επιπέδου ζεύξης. Ένα αποτέλεσμα via ονομάζει την πύλη και μεταφέρει το ερώτημα στη δρομολόγηση. Σε μια γέφυρα, ελέγξτε τη βάση δεδομένων προώθησης για να δείτε αν η MAC μάθε μέσω του τούνελ. Κάθε έξοδος στενεύει το ερώτημα σχεδίου αντί να το ξεκινά από την αρχή.