Pontitaj ejoj ankoraŭ bezonas decidon pri loka interreta eliro

La VLAN-etendo trapasis pure: gastigantoj en ambaŭ ejoj vidas unu la alian, dosierkomunigado funkcias kaj printiloj respondas. Tiam iu en la pli malgranda ejo rimarkas, ke ĉiu elŝuto uzas la interretan linion de la alia ejo, kaj la bileto alvenas kiel plendo pri bendolarĝo. La ponto faris ĝuste tion, kion oni petis. Ĝi portis kadrojn inter du konstruaĵoj, kaj ĝi neniam havis opinion pri tio, kiun enkursigilon tiuj kadroj uzu por la interreto.

La ponto portas kadrojn, ne decidojn

Etendo de tavolo 2 igas du lokojn aspekti kiel unu dissendada domajno, do ARP-petoj, DHCP-dissendoj kaj trafiko en la sama subreto ĉiuj trapasas la tunelon. Tio estas la tuta servo, kiun ĝi liveras. Nenio en la ponto ekzamenas celan adreson, komparas ĝin kun la suprena ligilo de ejo aŭ direktas trafikon al la pli proksima eliro. Ĉiu kliento ankoraŭ faras sian propran lokan kontraŭ malproksiman decidon per la adreso kaj masko, per kiuj ĝi estis agordita.

Metu du enkursigilojn en tiun komunigitan subreton kaj ambaŭ fariĝas kredindaj pordegoj, sendepende ĉu iu el ili estas proksima al la kliento, kiu uzas ĝin.

Kiel kliento elektas sian pordegon

La IPv4-decidaĵo priskribita en RFC 1122 estas simpla. Celo ene de la konektita subreto de la kliento atingiĝas rekte, per ARP, kaj celo ekster ĝi iras al la agordita implicita pordego. Tial trafiko en la sama subreto inter la ejoj povas trapasi la ponton sen ia enkursigila partopreno, kaj tial interreta trafiko tute dependas de la pordega adreso, kiun la kliento ricevis. La du kondutoj estas sendependaj, kaj funkcianta dosierkomunigado pruvas nur la unuan.

Se kliento en la malgranda ejo estis agordita kun la enkursigilo de la granda ejo, ĝiaj interretaj kadroj unue trapasas la tunelon kaj eliras tie.

Ŝanĝi la propran implicitan vojon de la VPN-aparato ne movas la pordegon de tiu kliento, ĉar la kliento tute ne uzas la aparaton kiel enkursigilon. La aparato ankaŭ bezonas apartan vojon al sia malproksima partnero por ke la tunelo portanta tiujn kadrojn restu aktiva, kaj konfuzi la du aferojn estas kiel ponta etendo faligas sian propran transporton.

Lasu DHCP esprimi la celatan eliron

Opcio 3 en DHCP-respondo liveras liston de enkursigilaj adresoj en la subreto de la kliento, laŭ prefera ordo, kaj klientoj kutime prenas la unuan, kiu respondas. La mekanismo estas bona; la posedanteco estas kie dezajnoj misfunkcias. Notu, kion reala luo liveras en ĉiu ejo anstataŭ supozi, ke la plej proksima DHCP-servilo donos la plej proksiman pordegon.

Funkciigu unu kunordigitan alokanton, aŭ du eksplicite agorditajn por la sama politiko, kaj donu al la politiko posedanton. Dua sendependa alokanto aldonita en la malproksima ejo ne kreas lokalecon, ĝi kreas du aŭtoritatojn por la sama dissendada domajno.

Ne atribuu unu pordegan adreson al du sendepende aktivaj enkursigiloj nur por ke la agordoj de ambaŭ ejoj aspektu identaj. Komunigita virtuala adreso trans pontita segmento estas unua-salta redunda dezajno kun propraj postuloj, kaj permane farita versio produktas ARP-konfliktojn, kiuj aspektas kiel intermita paketa perdo. Se la aplikaĵo vere ne bezonas komunigitan segmenton de tavolo 2, apartaj enkursigaj prefiksoj kun lokaj implicitaj pordegoj estas pli simplaj funkciigi kaj pli facile klarigeblaj dum incidento.

Testu la kvar aferojn aparte

Petu kvar observojn, ne unu. Prenu novan DHCP-luon en ĉiu ejo kaj notu la enkursigilon kaj maskon, kiujn ĝi ricevis. Atingu servon en la sama subreto en la alia ejo kaj konfirmu, ke la vojo estas la ponto, ne enkursigita ĉirkaŭvojo. Eltiru ion el la publika interreto en ĉiu ejo kaj konfirmu, kiu suprena ligilo portis ĝin. Poste faligu la tunelon kaj vidu, kio rompiĝas, ĉar ejo, kiu perdas ĉian konektecon kiam la ponto fiaskas, dependis de la malproksima pordego sen ke iu rimarkis.

Tiuj kvar rezultoj diras al vi, ĉu vi havas interejan ponton, lokan eliron aŭ hazardan returnan vojon, kaj kolekti ilin daŭras dek minutojn.

La dezajna principo ne estas glama: pontado decidas atingeblon, DHCP decidas la pordegon, kaj la enkursiga tabelo de la aparato decidas la propran vojon de la tunelo. Tenu la tri en apartaj interparoloj, ĉar unu sola ŝanĝo, kiu provas ripari ĉiujn tri, kutime rompas du.