DHCP VPN:n yli: sillataanko broadcast vai välitetäänkö se?

Uusi kannettava tunnelin toisella puolella ei saa osoitetta, kun taas sama kannettava toimii pääkonttorissa. Tavallinen ensimmäinen arvaus on, että tunneli estää DHCP:n. Useammin broadcastilla ei koskaan ollut reittiä: konfiguroimaton asiakas lähettää osoitteeseen 255.255.255.255, eikä tavallinen IP-reititin välitä sitä pakettia eteenpäin. Tunneli tekee täsmälleen sen, minkä reititetty tunneli tekee.

Kaksi mallia voi muuttaa sen, eivätkä ne ole samanarvoisia. Toinen kantaa broadcastin; toinen välittää pyynnön.

Broadcast ei koskaan ylitä reititintä

Vailla osoitetta oleva DHCPv4-asiakas lähettää osoitteesta 0.0.0.0 rajoitettuun broadcast-osoitteeseen UDP-porteilla 67 ja 68. Paketti pysyy suunnittelun mukaan omalla linkillään. Reititin, joka välittäisi sen eteenpäin, tulvisi jokaisen palvelemansa segmentin.

Niinpä reititetty toimipaikkojen välinen tunneli yhdistää välittäjän palvelimeen. Se ei laajenna asiakkaan broadcast-aluetta, eikä mikään palomuurisääntö saa sitä tekemään niin.

Mitä sillattu tunneli tosiasiassa laajentaa

Tarkoituksella sillattu VPN voi kantaa Ethernet-broadcastia tuetussa topologiassaan, ja silloin DHCP voi kulkea paikallisena liikenteenä. Se on todellinen vaihtoehto, mutta se on kerroksen 2 suunnitteluratkaisu. Laajennat vikavyöhykettä ja pääsyrajaa yhdessä broadcastin kanssa.

Sillaus muuttaa myös sitä, mihin broadcast-myrsä, ARP-kehys tai luvaton DHCP-palvelin voi yltää. Jos et kytkisi etätoimistoa samaan kytkimeen, älä sillaa tunnelia vain osoitteiden jakamiseksi. Testaa tuo vaikutussäde ennen käyttöönottoa.

Se on suurempi päätös kuin osoitteen antaminen, ja se on tehtävä tietoisesti.

Välitä pyyntö sen sijaan

Tavallinen vastaus on välittäjä asiakkaan paikallisverkossa. Se vastaanottaa broadcastin, muuttaa sen unicast-pyynnöksi ja laittaa oman osoitteensa yhdyskäytävän osoite -kenttään. Palvelin vastaa tuohon välittäjän osoitteeseen.

Esimerkinomaisessa etätoimistossa välittäjä sijaitsee toimiston LAN-verkossa ja palvelimeen päästään toimipaikan VPN:n kautta. Määritä kyseisen toimiston alue, välittäjän ja palvelimen identiteetit sekä täydellinen paluureitti. UDP 67:n salliminen tunnelin läpi ei kerro palvelimelle, mitä allasta käytetään.

Välittäjä, joka välittää mutta ei koskaan saa vastausta, on yleensä paluureitin ongelma. Tarkista reitti takaisin välittäjän osoitteeseen ennen alueen muuttamista.

Erottele DHCP ARP:sta ja tunnelin osoitteista

DHCP kulkee UDP/IP:n yli. Ethernetissä isäntä voi käyttää myös ARP:ta tarkistaakseen, onko ehdokasosoite jo käytössä. Tämä ristiriitatarkistus on erillinen linkin paikallinen toimenpide, ei DHCP-viestien kuljetus. Väite, että DHCP on olennaisesti ARP, on väärä; väite, että nämä kaksi eivät koskaan liity toisiinsa, on liian laaja.

VPN-asiakas voi saada tunneliosoitteensa myös VPN-protokollalta tai palvelimen omasta altaasta broadcastin sijaan. Vaihtoehto, jonka nimessä on DHCP, voi kuvata työnnettyjä asiakasasetuksia, ei välitettyä DHCP-pakettia. Tarkista palvelimen allas ennen kuin oletat DHCP:n olevan ylipäätään mukana.

Kirjaa vastaanottava verkko, jaon omistaja, alue, onko välittäjää olemassa ja odotettu käyttäytyminen katkoksen aikana. Testaa sitten uusi vuokraus ja uusiminen tämän mallin kautta. Jos kaksi toimipaikkaa voi palvella samaa hallitsematonta allasta, sinulla on ristiriita, joka odottaa ensimmäistä vaeltavaa kannettavaa.