Kial du ejoj kun la sama subreto ne estas unu LAN

Du oficejoj ambaŭ uzas 192.168.77.0/24, kaj iu proponas tunelon por ke ili estu unu reto. La frazo sonas simpla kaj kaŝas tri malsamajn dezajnojn: du sendependaj LAN-oj kiuj kolizias, unu intence etendita Ethernet-segmento trans WAN, kaj proxy-ARP aranĝo kiu respondas por malproksimaj adresoj. Kiun vi havas decidas kion gastiganto faras kun la paketo, kaj la respondo videblas antaŭ ol la VPN-enirejo partoprenas.

La gastiganto decidas antaŭ la enkursigilo

Gastiganto kun adreso 192.168.77.10/24 komparas la celon kun sia propra prefikso. Ĉio ene de tiu prefikso estas sur rekta ligo, do la gastiganto solvas la ligtavolan adreson de la celo rekte. Ĉio ekstere iras al la defaŭlta enirejo.

Tiu decido okazas en la stako de la gastiganto, ne en la tunelo. Vojo aldonita sur la enirejo ne povas savi paketon kiun la gastiganto neniam sendas tien.

Do kiam 192.168.77.20 ekzistas nur en la alia ejo, la loka gastiganto demandas pri ĝi per ARP kaj ricevas neniun respondon. La VPN-manpremo povas esti tute sana dum ĉi tio malsukcesas. La fiasko aspektas kiel mortinta gastiganto anstataŭ kiel enkursiga problemo. Rekoni tiun signaturon ŝparas horon da tunela sencimigado.

ARP estas demando pri loka ligo

ARP demandas kiu posedas adreson sur ĉi tiu ligo, kaj la respondo devas veni de io kio aŭdas la dissendon. Enkursigilo ĉe la alia fino de IPsec-tunelo ne aŭdas ĝin krom se la dezajno faras la du ejojn unu dissenda domajno.

Du aparatoj kun la sama adreso plimalbonigas tion: eĉ sukcesa solvo ne povas diri kiu el ili respondis.

Duobla adresado ne estas enkursiga cimo kaj neniu vojo ĝin riparas. Aŭ la ejoj renumeriĝas en apartajn prefiksojn, aŭ ili intence fariĝas unu ligtavola domajno.

Etendita segmento portas kadrojn, ne vojojn

Ethernet-portanta tunelo ligita al pontoj faras ambaŭ ejojn parto de unu ligtavola domajno. ARP-dissendoj atingas la alian flankon, kaj ĉiu ponto lernas kie kuŝas kiuj MAC-adresoj. La dokumentaro de la Linuksa ponto priskribas tiun MAC-bazitan plusendan limon.

Ĉi tie la malproksima enirejo tute ne enkursigas inter du identaj subretoj. Kadroj transiras subbazon kiu mem enkursigas IP, dum la pontoj etendas la Ethernet-konversacion.

La kosto estas pli granda efika radiuso. Inundado por nekonataj celoj, bukloj, DHCP-disdonado kaj unika adresado ĉiuj bezonas unu planon kiu kovras ambaŭ ejojn. Kiam la WAN falas, gastigantoj perdas trafikon kiun ili konsideras loka. Filtrado sur la ponto kaj VLAN-reguloj povas limigi kio transiras, sed transportado ankoraŭ ne promesas ke ĉiu loka kontrolkadro alvenas.

Proxy ARP estas tria dezajno

Enkursigilo povas respondi al ARP por malproksima adreso kaj poste enkursigi al ĝi. Tio igas la malproksiman gastiganton aperi sur la rekta ligo por la sendanto sen etendi dissendan domajnon.

Ĝi estas pli mallarĝa ilo ol pontado: ĝi dependas de plusendado, reiraj vojoj kaj klara posedanto por ĉiu adreso.

Ĝi ankaŭ ne igas arbitrajn ne-IP protokolojn enkursigeblaj, kaj ĝi ne reproduktas Ethernet-dissendan domajnon. Uzu ĝin kiam la postulo estas ĝuste tiu anstataŭigo, ne kiel mallongigon por prokrastita renumerado.

Elektu laŭ la postulo, poste kontrolu

Por ordinara interoficeja aplika aliro, apartaj prefiksoj kaj eksplicitaj vojoj donas pli klaran limon. Pontu kiam la postulo estas vere ligtavola apudeco. Renumeru kiam la sola kialo por la komuna prefikso estas ke neniu ankoraŭ faris tion.

Konfirmu kiun dezajnon vi vere havas demandante gastiganton kion ĝi faras kun la celo:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Rekta-liga rezulto kun malsukcesa najbara ero montras al mankanta ligtavola vojo. Rezulto via nomas la enirejon kaj movas la demandon al enkursigado. Sur ponto, kontrolu la plusendan datumbazon por vidi ĉu la MAC lerniĝis trans la tunelo. Ĉiu eligo mallarĝigas la dezajnan demandon anstataŭ rekomenci ĝin.