Ένας πελάτης VPN με διεύθυνση LAN δεν είναι στο LAN

Ο πελάτης συνδέεται, λαμβάνει 10.50.0.200 και δεν μπορεί να φτάσει τον διακομιστή στη 10.50.0.20 παρόλο που και οι δύο αριθμοί βρίσκονται στο ίδιο /24. Η πεποίθηση πίσω από αυτή τη ρύθμιση είναι ότι μια διεύθυνση από το πρόθεμα του LAN κάνει τον πελάτη μέρος του LAN. Δεν το κάνει. Ο πελάτης βρίσκεται σε σύνδεσμο σημείου-προς-σημείο, ο διακομιστής θεωρεί τον προορισμό τοπικό, και το κομμάτι που λείπει είναι μια απάντηση γείτονα που δεν στέλνει κανείς.

Ο μύθος: ίδιο πρόθεμα σημαίνει ίδιο τμήμα

Ένα πρόθεμα διεύθυνσης λέει σε έναν υπολογιστή ποιους προορισμούς μπορεί να φτάσει άμεσα και ποιοι χρειάζονται δρομολογητή. Δεν του λέει πώς ο προορισμός είναι φυσικά συνδεδεμένος, και σίγουρα δεν εγγυάται ότι ο προορισμός μπορεί να απαντήσει σε αίτημα του επιπέδου ζεύξης. Αυτά είναι διαφορετικά ερωτήματα, που απαντώνται από διαφορετικούς πίνακες στον υπολογιστή. Η μάσκα απαντά στο πρώτο και ο πίνακας γειτόνων στο δεύτερο, και μόνο το πρώτο είναι υπό τον έλεγχό σας από την πλευρά του VPN.

Όταν ο διακομιστής στέλνει στη 10.50.0.200, συγκρίνει τον προορισμό με τη δική του μάσκα, κρίνει ότι η διεύθυνση είναι on-link, και ζητά από το τοπικό τμήμα τη διεύθυνση υλικού που την κατέχει. Το αίτημα βγαίνει από τη διεπαφή Ethernet, και ο πελάτης VPN δεν είναι εκεί για να το ακούσει.

Τίποτα στη ρύθμιση του πελάτη δεν μπορεί να το διορθώσει από την πλευρά του. Η διαδρομή της απάντησης εξαρτάται από μια συσκευή στο LAN που απαντά εκ μέρους του πελάτη, ή από το να έχει ο πελάτης διεύθυνση που ο διακομιστής δεν θεωρεί τοπική.

Τι κάνει στην πραγματικότητα ο τοπικός υπολογιστής με τη διεύθυνση

Η συμπεριφορά είναι εύκολο να παρατηρηθεί και αξίζει να την δεις πριν αλλάξεις οτιδήποτε. Κοίτα τον πίνακα γειτόνων σε έναν υπολογιστή του LAN αφού προσπαθήσει να φτάσει τον πελάτη: μια ελλιπής ή αποτυχημένη εγγραφή είναι ολόκληρη η διάγνωση σε μία γραμμή. Αυτή η γραμμή σου λέει επίσης ότι η βλάβη είναι τοπική στο τμήμα και όχι κάπου μέσα στη σήραγγα.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Η αναζήτηση διαδρομής θα αναφέρει τον προορισμό ως on-link μέσω της διεπαφής Ethernet, και αυτό είναι ακριβώς το πρόβλημα. Αν η εγγραφή γείτονα παραμένει ελλιπής όσο η συνεδρία VPN είναι ενεργή, έχεις επιβεβαιώσει ότι το κομμάτι που λείπει είναι η επίλυση στο επίπεδο ζεύξης και όχι η δρομολόγηση ή η πολιτική του τείχους προστασίας.

Εκτέλεσε τον ίδιο έλεγχο από υπολογιστή σε άλλο υποδίκτυο και σύγκρινε. Ένας υπολογιστής που φτάνει τον πελάτη μέσω δρομολογητή δεν χρειάζεται καθόλου εγγραφή γείτονα, και αυτή η διαφορά είναι η απόφαση σχεδιασμού σε μικρογραφία.

Πώς το proxy ARP παρέχει επόμενο άλμα

Το proxy ARP κάνει την πύλη να απαντά στο αίτημα του επιπέδου ζεύξης εκ μέρους ενός προορισμού που μπορεί να φτάσει μέσω άλλης διεπαφής. Ο υπολογιστής του LAN λαμβάνει μια διεύθυνση υλικού, στέλνει το πλαίσιο στην πύλη, και η πύλη προωθεί το πακέτο στη συνεδρία VPN. Από την οπτική του υπολογιστή ο πελάτης απλώς μοιάζει να είναι πίσω από την πύλη. Τίποτα στη ρύθμιση του πελάτη δεν αλλάζει.

Η τεκμηρίωση του RouterOS για το ARP της MikroTik περιγράφει αυτή τη χρήση για πελάτες dial-in που δανείζονται τον χώρο διευθύνσεων του συνδεδεμένου LAN. Ο μηχανισμός είναι διόρθωση της επίλυσης γειτόνων και λειτουργεί επειδή η πύλη βρίσκεται πραγματικά και στις δύο διαδρομές.

Αυτό δεν είναι το ίδιο με τη γεφύρωση του πελάτη μέσα στο LAN. Η πύλη πρέπει ακόμη να προωθήσει το πακέτο στη σωστή ενεργή συνεδρία, και η δρομολόγηση και η πολιτική του τείχους προστασίας πρέπει ακόμη να επιτρέπουν την υπηρεσία. Το proxy ARP αλλάζει ποιος απαντά στο αίτημα γείτονα, όχι ποιος επιτρέπεται να μιλήσει.

Διάβασε προσεκτικά τα ονόματα λειτουργιών της πλατφόρμας. Το RouterOS ξεχωρίζει το proxy-arp από το local-proxy-arp, και το δεύτερο χειρίζεται κίνηση που μπαίνει και βγαίνει από την ίδια διεπαφή. Δεν είναι εναλλάξιμες γραφές, και το να ενεργοποιείς και τα δύο χωρίς διάκριση δεν είναι συντόμευση.

Τι δεν σου δίνει το proxy ARP

Δεν παρέχει ανακάλυψη μέσω broadcast ή multicast. Ένας πελάτης που πρέπει να βρει μια υπηρεσία μέσω broadcast θα αποτύχει ακόμη, επειδή η πύλη προωθεί unicast στη συνεδρία και δεν κάνει τον πελάτη μέλος του broadcast τομέα του LAN. Τα πρωτόκολλα ανακάλυψης που βασίζονται σε broadcast είναι συχνή πηγή αναφορών ότι δουλεύει για το ένα και όχι για το άλλο σε σχέδια με δανεικές διευθύνσεις.

Δεν δεσμεύει τη διεύθυνση. Αν ο δανεικός αριθμός βρίσκεται επίσης σε μια δεξαμενή DHCP ή σε στατική εκχώρηση, δύο συσκευές μπορούν να καταλήξουν με την ίδια διεύθυνση και η συμπεριφορά που προκύπτει εξαρτάται από τον χρονισμό. Μια επιτυχής σύνδεση δεν είναι δέσμευση.

Και δεν αφαιρεί την ανάγκη συντονισμού με τον ιδιοκτήτη του LAN. Μια εγγραφή proxy ARP που εκπλήσσει τον ιδιοκτήτη του σχεδίου διευθύνσεων είναι περιστατικό υποστήριξης που περιμένει μια ήσυχη εβδομάδα.

Σύγκριση με ξεχωριστή δεξαμενή με δρομολόγηση

Η εναλλακτική είναι να δώσεις στους πελάτες VPN δικό τους πρόθεμα και να αφήσεις τους υπολογιστές του LAN να δρομολογούν προς αυτό. Τότε ο διακομιστής στέλνει off-link απαντήσεις στην πύλη του, η πύλη δρομολογεί το πρόθεμα στο τελικό σημείο του VPN, και δεν χρειάζεται καθόλου επίλυση γειτόνων στο τμήμα του LAN. Αυτό είναι λιγότερα κινούμενα μέρη από μια δανεική διεύθυνση συν μια απάντηση proxy.

Αυτό το σχέδιο είναι ευκολότερο να το σκεφτείς και ευκολότερο να το ελέγξεις, επειδή το εύρος των πελατών είναι ορατά χωριστό από το εύρος του LAN. Κοστίζει μια διαδρομή, μια διαδρομή επιστροφής και έναν κανόνα πρόσβασης, δηλαδή τα ίδια πράγματα που το σχέδιο proxy ARP χρειάζεται σε λιγότερο προφανές σημείο.

Διάλεξε ανάμεσα στα μοντέλα σκόπιμα και όχι τυχαία. Το proxy ARP επιδιορθώνει μια συγκεκριμένη σχέση· μια δεξαμενή με δρομολόγηση αποφεύγει την ανάγκη αυτής της επιδιόρθωσης. Γράψε ποιο διάλεξες και γιατί, και ο επόμενος δεν θα χρειαστεί να το ανακαλύψει ξανά από μια αποτυχημένη εγγραφή γείτονα.