Η δεξαμενή VPN σας δεν είναι το εύρος DHCP του LAN: γιατί χαλάει

Ο δελεαστικός συντομότερος δρόμος είναι να δίνετε στους πελάτες VPN διευθύνσεις από το ίδιο εύρος που χρησιμοποιεί ο διακομιστής DHCP του γραφείου, με τη θεωρία ότι όλα είναι ένα δίκτυο ούτως ή άλλως. Δεν είναι. Μια δρομολογημένη σήραγγα μεταφέρει πακέτα unicast ανάμεσα σε δύο άκρα, ενώ η δεξαμενή του LAN υπάρχει για να απαντά σε αιτήματα εκπομπής σε ένα φυσικό τμήμα. Η επαναχρησιμοποίηση των αριθμών βάζει δύο εκχωρητές υπεύθυνους για έναν χώρο διευθύνσεων και αφήνει τη διαδρομή επιστροφής ακαθόριστη.

Δύο εκχωρητές, ένας χώρος διευθύνσεων

Ο διακομιστής DHCP του LAN ξέρει ποιες διευθύνσεις έχει μισθώσει και σε ποια διεύθυνση MAC, και τις υπερασπίζεται με ARP. Ο διακομιστής VPN έχει τη δική του δεξαμενή και δεν γνωρίζει τίποτα για αυτές τις μισθώσεις. Κανένας από τους δύο δεν κάνει λάθος· απλώς δεν τους σύστησαν ποτέ ο ένας στον άλλο.

Μια διεύθυνση από τη δεξαμενή του LAN που εκχωρεί ο διακομιστής VPN μπορεί να ανήκει ήδη σε έναν εκτυπωτή. Τώρα δύο συσκευές διεκδικούν μία διεύθυνση στο ίδιο πρόθεμα, και ο πίνακας προώθησης του μεταγωγέα αποφασίζει ποια απαντά.

Αυτή είναι η βλάβη που συναντούν πρώτα οι άνθρωποι: ένας πελάτης που συνδέεται με επιτυχία και μετά φτάνει στο λάθος μηχάνημα, ή φτάνει στο σωστό κατά διαστήματα.

Γιατί ο δρομολογητής δεν μοιράζει διευθύνσεις VPN

Η ανακάλυψη DHCP είναι εκπομπή, και οι εκπομπές σταματούν σε ένα δρομολογημένο όριο. Εκτός αν ο σχεδιασμός γεφυρώνει τη σήραγγα ή τρέχει αναμεταδότη DHCP με αντίστοιχη εξουσία, το αίτημα του πελάτη δεν φτάνει ποτέ στον διακομιστή του LAN.

Γι' αυτό ο διακομιστής VPN εκχωρεί ο ίδιος τη διεύθυνση: μια δεξαμενή στη διαμόρφωση του διακομιστή, μια διεύθυνση ανά ομότιμο σε εγκατάσταση WireGuard, ή μια διεύθυνση που σπρώχνεται από το επίπεδο ταυτοποίησης σε μια ανάπτυξη IKEv2. Αυτοί οι μηχανισμοί είναι ανεξάρτητοι από τη βάση μισθώσεων του LAN, και γι' αυτό ακριβώς χρειάζονται δικό τους εύρος.

Η ίδια λογική εξηγεί γιατί η αλλαγή του εύρους DHCP δεν διορθώνει έναν πελάτη VPN που δεν παίρνει ποτέ διεύθυνση. Ο πελάτης δεν ρωτά τον διακομιστή του LAN, και καμία επεξεργασία του εύρους δεν τον κάνει να ρωτήσει.

Η επικάλυψη εμφανίζεται ως σύγκρουση, όχι ως αργό δίκτυο

Δύο δίκτυα που μοιράζονται ένα πρόθεμα χωρίς υποστηριζόμενο σχεδιασμό είναι διαφορετικό πρόβλημα από τη διπλή ιδιοκτησία, και συχνά συγχέονται. Αν η δεξαμενή VPN είναι ξεχωριστό πρόθεμα, η επικάλυψη μετράει μόνο όταν μια διαδρομή στέλνει την κίνηση στη λάθος πλευρά. Αν η δεξαμενή βρίσκεται μέσα στο πρόθεμα του LAN, η σύγκρουση είναι άμεση και τοπική.

Στην πράξη βλέπετε απαντήσεις ARP από τη λάθος συσκευή, συνδέσεις που επαναφέρονται στη μέση, και έναν πελάτη του οποίου τη δική του διεύθυνση διεκδικεί κάποιος άλλος. Κανένα από αυτά δεν μοιάζει με πρόβλημα δρομολόγησης, γι' αυτό η διόρθωση εφαρμόζεται στο λάθος επίπεδο. Μια διπλή μίσθωση επιβεβαιώνεται εύκολα και είναι ενοχλητική στη συμβίωση. Επιβιώνει και από επανεκκινήσεις, επειδή και οι δύο εκχωρητές επιμένουν στην ίδια διεύθυνση.

Η διαδρομή επιστροφής είναι ξεχωριστό πρόβλημα

Ακόμη και με καθαρή, ξεχωριστή δεξαμενή, οι υπολογιστές του LAN πρέπει να ξέρουν πώς να απαντήσουν σε έναν πελάτη. Η προεπιλεγμένη πύλη τους είναι ο δρομολογητής, και ο δρομολογητής χρειάζεται μια διαδρομή για τη δεξαμενή προς τον διακομιστή VPN, εκτός αν ο σχεδιασμός μεταφράζει την κίνηση του πελάτη.

Διαβάστε τη διαδρομή και προς τις δύο κατευθύνσεις πριν αλλάξετε οτιδήποτε. Στην πύλη, ρωτήστε ποια διεπαφή θα χρησιμοποιούσε ο πυρήνας για μια διεύθυνση πελάτη· στον πελάτη, ρωτήστε ποια διαδρομή χρησιμοποιεί για μια διεύθυνση LAN.

Αυτές οι εντολές δείχνουν την απόφαση προώθησης στην πύλη και τις καταχωρίσεις γειτόνων που αποκαλύπτουν διπλότυπο:

ip -4 route get 10.8.0.5
ip neigh show dev br-lan | grep 10.8
ip -4 route get 192.168.50.20

Αν η πρώτη εντολή απαντήσει με τη διεπαφή της σήραγγας, η διαδρομή επιστροφής υπάρχει. Αν απαντήσει με τη διεπαφή του LAN, ο δρομολογητής πιστεύει ότι ο πελάτης είναι στο καλώδιο και θα προσπαθήσει ARP γι' αυτόν.

Υπάρχουν σχεδιασμοί με γέφυρα, αλλά πρέπει να επιλεγούν

Η γεφύρωση μιας σήραγγας στο LAN είναι πραγματικός σχεδιασμός, που χρησιμοποιείται όταν οι πελάτες πρέπει να λαμβάνουν εκπομπές ή να τους ανακαλύπτουν πρωτόκολλα που υποθέτουν ένα τμήμα. Απαιτεί ο διακομιστής να κατέχει αυτή τη συμπεριφορά γεφύρωσης και τη διαχείριση διευθύνσεων που τη συνοδεύει.

Αυτό που δεν δουλεύει είναι η απομίμηση του αποτελέσματος με αντιγραφή αριθμών. Μια κοινή δεξαμενή χωρίς γέφυρα σας δίνει τη σύγκρουση χωρίς την ανακάλυψη, που είναι το χειρότερο και των δύο διατάξεων.

Διαλέξτε επίπεδο τρία με ξεχωριστή δεξαμενή εκτός αν η εφαρμογή χρειάζεται πραγματικά το τμήμα, και τεκμηριώστε τη δεξαμενή ώστε ο επόμενος διαχειριστής να μην ξαναχρησιμοποιήσει το εύρος DHCP για λόγους τακτοποίησης.