Zergatik subneta bera duten bi gune ez diren LAN bakarra

Bi bulegoek 192.168.77.0/24 erabiltzen dute, eta norbaitek tunel bat proposatzen du sare bakarra izan daitezen. Esaldiak sinplea dirudi eta hiru diseinu desberdin ezkutatzen ditu: talka egiten duten bi LAN independente, WAN baten gainean nahita hedatutako Ethernet segmentu bat, eta urrutiko helbideen erantzuten duen proxy-ARP antolaketa bat. Zein duzun gailuak paketearekin egiten duena erabakitzen du, eta erantzuna VPN ateak esku hartu aurretik ikusten da.

Ostalariak bideratzaileak baino lehen erabakitzen du

192.168.77.10/24 helbidea duen ostalari batek helmuga bere prefijoarekin alderatzen du. Prefijo horren barruan dagoen guztia lotura zuzenean dago, beraz ostalariak helmugaren esteka-geruzako helbidea zuzenean ebazten du. Kanpoan dagoen guztia lehenetsitako atea joaten da.

Erabaki hori ostalariaren pilan gertatzen da, ez tunelaren. Atean gehitutako bideak ezin du ostalariak inoiz horra bidaltzen ez duen pakete bat salbatu.

Beraz, 192.168.77.20 beste gunean bakarrik badago, tokiko ostalariak ARP bidez eskatzen du eta ez du erantzunik jasotzen. VPN esku-uzketa erabat osasuntsua izan daiteke hau huts egiten duen bitartean. Hutsegiteak ostalari hil baten itxura du, ez bideratze arazoarena. Sinadura hori ezagutzeak ordubete aurrezten du tuneleko arazketa.

ARP tokiko estekaren galdera da

ARPk esteka honetan helbidea nori dagokion galdetzen du, eta erantzunak igorpena entzuten duen zerbaitetik etorri behar du. IPsec tunel baten beste muturrean dagoen bideratzaile batek ez du entzuten, diseinuak bi gune igorpen domeinu bakar bihurtzen ez baditu.

Helbide bera duten bi gailuk okerragotzen dute: ebazpen arrakastatsuak ere ezin du erantzun zeinek erantzun zuen.

Helbideratze bikoiztua ez da bideratze akats bat eta inolako biderik ez du konpontzen. Edo guneak prefijo ezberdinetan birzenbakitzen dira, edo nahita esteka-geruzako domeinu bakar bihurtzen dira.

Segmentu hedatuak markoak daramatza, ez bideak

Zubiei lotutako Ethernet eramaten duen tunel batek bi gune esteka-geruzako domeinu baten parte egiten ditu. ARP igorpenak beste aldera iristen dira, eta zubi bakoitzak ikasten du zein MAC helbide non dauden. Linux zubiaren dokumentazioa MAC-ean oinarritutako birbidaltze muga hori deskribatzen du.

Hemen urrutiko ateak ez du batere bideratzen bi azpisare berdin artean. Markoak IP bere kabuz bideratzen duen azpiko geruza bat zeharkatzen dute, zubiek Ethernet elkarrizketa luzatzen duten bitartean.

Kostua inpaktu erradio handiagoa da. Helmuga ezezagunetarako uholdeak, begiztak, DHCP esleipena eta helbideratze bakarra bi guneak hartzen dituen plan bakar bat behar dute. WAN-a erortzen denean, ostalariek tokikotzat jotzen duten trafikoa galtzen dute. Zubian iragazteak eta VLAN arauek zeharkatzen duena mugatu dezakete, baina garraioak oraindik ez du agintzen esteka lokaleko kontrol marko bakoitza iritsiko denik.

Proxy ARP hirugarren diseinua da

Bideratzaile batek urrutiko helbide baten ARPari erantzun eta gero hara bidera dezake. Horrek urrutiko ostalaria bidaltzailearentzat lotura zuzenean agertarazten du igorpen domeinua hedatu gabe.

Zubigintza baino tresna estuagoa da: birbidaltzearen, itzulera bideen eta helbide bakoitzaren jabe argi baten mende dago.

Ez ditu IP ez diren protokolo arbitrarioak bideragarri egiten, eta ez du Ethernet igorpen domeinu bat birsortzen. Erabili ezazu baldintza ordezkapen hori bera denean, ez atzeratutako birzenbakitzearen lasterbide gisa.

Aukeratu baldintzaren arabera, gero egiaztatu

Bulegoen arteko aplikazio sarbide arrunterako, prefijo ezberdinek eta bide esplizituek muga argiagoa ematen dute. Zubitu baldintza benetan esteka-geruzako albokotasuna denean. Birzenbakitu prefijo partekatuaren arrazoi bakarra oraindik inork egin ez duela denean.

Baieztatu zein diseinu duzun benetan ostalari bati galdetuz helmugarekin zer egiten duen:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Lotura zuzenean emandako emaitza bizilagun sarrera huts eginda duela esteka-geruzako bide bat falta dela adierazten du. via emaitzak atea izendatzen du eta galdera bideratzera eramaten du. Zubi batean, egiaztatu birbidaltze datu-basea MAC tunelaren bidez ikasi zen jakiteko. Irteera bakoitzak diseinu galdera estutzen du, berriro hasi beharrean.