Miksi LAN-isäntä lähettää ARP-pyynnön OpenVPN-asiakkaan osoitteelle

Tavoitettavuusongelmat LAN-isännän ja VPN-asiakkaan välillä johtavat usein takaisin itse osoitesuunnitelmaan. Antakaa tuolle isännälle liitäntä osoitteessa 10.0.100.0/22, niin se käsittelee jokaisen osoitteen 10.0.100.0:sta 10.0.103.255:een suoraan kytkettynä, mukaan lukien asiakasryhmä, joka on hiljaa sijoitettu osoitteeseen 10.0.101.0/24. Vastaus ei mene koskaan reitittimelle, koska isännän näkökulmasta mikään reititin ei ole mukana. Paketti on osoitettu naapurille ja sitä kysytään johdolta.

Tämä mekanismi on kokonaisen raporttiperheen taustalla: tunneli on ylhäällä, palvelimella on reitti, eikä LAN-isäntä silti tavoita asiakasta.

/22, joka nielee /24:n

Lukekaa prefiksi välinä, ei merkkijonona. /22-prefiksi sisältää 1024 osoitetta, ja 10.0.100.0/22 ulottuu osoitteesta 10.0.100.0 osoitteeseen 10.0.103.255, joten ryhmä osoitteessa 10.0.101.0/24 on kokonaan sen sisällä. Virhe selviää katselmoinnista, koska ryhmän ensimmäiset oktetit näyttävät erilaisilta kuin LANin ensimmäiset oktetit, ja vain kolmas oketti paljastaa sisältyvyyden. Kirjoittakaa molemmat välit numeroina, ennen kuin julistatte ne erillisiksi.

Sama sisältyvyys voi ilmetä myös päinvastoin. Ryhmä, joka näyttää vapaalta, koska mikään ei käytä sitä juuri nyt, voi silti pudota prefiksin sisään, jota jokin toimipaikan reititin mainostaa, ja osoitesuunnitelma on ainoa asiakirja, joka sen näyttää.

Suora yhteys tarkoittaa ARPia, ei reititystä

Kun isäntä, jolla on /22-liitäntä, lähettää osoitteeseen 10.0.101.25, ydin vertaa kohdetta liitännän prefiksiin ja löytää vastaavuuden. Paketista tulee naapurihaku reititetyn paketin sijaan, ja Ethernetissä naapurihaku on ARP-pyyntö kyseiselle osoitteelle. Jos osoite kuuluu reititetyn yhdyskäytävän takana olevalle VPN-asiakkaalle, mikään LANin isäntä ei omista sitä, joten pyyntö jää vastaamatta ja paketit hylätään. Tunneli ei ole syyllinen, eikä asiakas koskaan näe liikennettä.

Siksi vika näyttää epäsymmetriseltä ja ajoittain katkonaiselta. VPN-isäntä tavoittaa usein LANin, koska sen omat reitit osoittavat oikeaan suuntaan, kun taas LAN-isäntä ei voi vastata, ja mikä tahansa vanhentuneen ARP-merkinnän välimuistiin jättäminen saa oireen välkkymään.

TUN, TAP ja mitä kumpikin kuljettaa

TUN-laite kuljettaa IP-paketteja ja TAP-laite kuljettaa Ethernet-kehyksiä. Reititetyn TUN-yhteyden ei tarvitse kuljettaa ARPia tarjotakseen IP-tavoitettavuuden, ja juuri siksi yllä oleva vastaamaton pyyntö on odotettua eikä rikki. TAP tarkoituksellisella sillalla voi laajentaa lähetysalueen aluetta ja saada ARPin toimimaan, mutta se muuttaa sitä, mitä asiakas näkee, vaatii samaa kehystystä tukevia päätepisteitä ja on verkkömallin uudelleensuunnittelu eikä päällekkäisen prefiksin korjaus. Reititetyn käyttöönoton vaihtaminen TAPiin osoitesuunnitelman virheen parantamiseksi vaihtaa pienen ongelman suurempaan.

Merkitkää muistiin, missä ARP-pyyntö ilmeni ja mikä järjestelmä sen lähetti, ennen kuin teette johtopäätöksiä. Lähettäjä kertoo teille, mitä se uskoo kohteesta, ei mitä tunneli tekee.

Suunnitelkaa ryhmä, joka ei voi mennä päällekkäin

Valitkaa ryhmä jokaisen kytketyn prefiksin ja jokaisen mainostetun toimipaikan prefiksin ulkopuolelta ja lisätkää sitten reitit, jotka tekevät siitä tavoitettavan molempiin suuntiin. Väli kuten 10.8.0.0/24 suunnitelman käyttämättömässä osassa on helppo ajatella, ja LAN, jonka täytyy tavoittaa se, saa staattisen reitin, joka osoittaa VPN-palvelimelle. Muuttakaa yhdessä jakoa, mainostettuja reittejä, sallittuja lähdeosoitteita ja palomuurisääntöjä, koska ne kuvaavat yhtä suunnitelmaa eivätkä neljää asetusta.

Palvelimen Source NAT voi piilottaa ryhmän LANista reititettävän osoitteen taakse, ja se on laillinen migraatiotyökalu. Se kirjoittaa myös lähteen uudelleen, joten LAN menettää kyvyn kohdistaa yhteydet yksittäisiin asiakkaisiin ja soveltaa sääntöjä asiakaskohtaisesti.

Käyttäkää hyväksynnässä todellisen asiakkaan tosiasiallisesti määritettyä osoitetta ja todellista sovelluspyyntöä LAN-isännästä ja vahvistakaa sitten, että vastaus seuraa suunniteltua yhdyskäytävää eikä johtoa.