DHCP üle VPN-i: kas leviedastust sildistada või edasi edastada?

Uus sülearvuti tunneli teisel poolel ei saa aadressi, samas kui sama sülearvuti töötab peakontoris. Tavaline esimene oletus on, et tunnel blokeerib DHCP. Sagedamini ei olnud leviedastusel kunagi teed: seadistamata klient saadab aadressile 255.255.255.255 ja tavaline IP-ruuter ei edasta seda paketti edasi. Tunnel teeb täpselt seda, mida teeb marsruuditud tunnel.

Kaks lahendust saavad seda muuta ja need ei ole samaväärsed. Üks kannab leviedastust; teine edastab päringu edasi.

Leviedastus ei ületa kunagi ruuterit

Aadressita DHCPv4 klient saadab aadressilt 0.0.0.0 piiratud leviedastuse aadressile UDP-portidel 67 ja 68. See pakett jääb konstruktsiooni järgi oma lülile. Ruuter, mis seda edasi edastaks, ujutaks üle iga segmendi, mida ta teenindab.

Nii ühendab marsruuditud saidi-saidi tunnel relee serveriga. See ei laienda kliendi leviedastusdomeeni ja ükski tulemüürireegel ei tee seda.

Mida sildistatud tunnel tegelikult laiendab

Teadlikult sildistatud VPN suudab oma toetatud topoloogias kanda Etherneti leviedastust ja siis saab DHCP üle minna kohaliku liiklusena. See on tõeline valik, kuid see on 2. kihi disainiotsus. Te laiendate rikkepiirkonda ja juurdepääsupiiri koos leviedastusega.

Sildistamine muudab ka seda, mida leviedastustorm, ARP-skaneerimine või pahatahtlik DHCP-server suudab tabada. Kui te ei ühendaks kaugkontorit sama kommutaatoriga, ärge sildistage tunnelit ainult aadresside jagamiseks. Testige seda mõjuraadiust enne lubamist.

See on suurem otsus kui aadressi andmine ja see tuleks teha teadlikult.

Edastage selle asemel päring edasi

Tavaline vastus on relee kliendi kohalikus võrgus. See võtab leviedastuse vastu, muudab selle unicast-päringuks ja paneb oma aadressi lüüsi aadressi väljale. Server vastab sellele relee aadressile.

Näitliku kaugkontori puhul asub relee kontori LAN-is ja serverile jõutakse saidi VPN-i kaudu. Seadistage selle kontori ulatus, relee ja serveri identiteedid ning täielik tagasitee. UDP 67 lubamine läbi tunneli ei ütle serverile, millist basseini kasutada.

Relee, mis edastab, kuid ei saa kunagi vastust, on tavaliselt tagasitee probleem. Kontrollige marsruuti tagasi relee aadressile enne ulatuse muutmist.

Eraldage DHCP ARP-ist ja tunneli adresseerimisest

DHCP töötab UDP/IP peal. Ethernetis võib host kasutada ka ARP-i, et kontrollida, kas kandidaataadress on juba kasutusel. See konfliktikontroll on eraldi lülilokaalne toiming, mitte DHCP-sõnumite transport. Öelda, et DHCP on sisuliselt ARP, on vale; öelda, et need kaks ei ole kunagi seotud, on liiga lai.

VPN-klient võib saada oma tunneli aadressi ka VPN-protokollilt või serveri enda basseinist, mitte DHCP leviedastusest. Valik, mille nimi sisaldab DHCP-d, võib kirjeldada peale surutud kliendiseadeid, mitte edasi edastatud DHCP-paketti. Kontrollige serveri basseini enne, kui eeldate, et DHCP üldse osaleb.

Kirjutage üles vastuvõtjavõrk, jaotuse omanik, ulatus, kas relee on olemas ja oodatav käitumine katkestuse ajal. Seejärel testige selle mudeli kaudu uut liisingut ja uuendamist. Kui kaks saiti saavad teenindada sama haldamata basseini, on teil konflikt, mis ootab esimest rändsülearvutit.