VPN-asiakas, jolla on LAN-osoite, ei ole LAN-verkossa

Asiakas muodostaa yhteyden, saa osoitteen 10.50.0.200 eikä tavoita palvelinta osoitteessa 10.50.0.20, vaikka molemmat numerot ovat samassa /24-verkossa. Tämän kokoonpanon taustalla on uskomus, että LAN-etuliitteestä tuleva osoite tekee asiakkaasta osan LAN-verkkoa. Ei tee. Asiakas on pisteestä pisteeseen -linkissä, palvelin pitää kohdetta paikallisena, ja puuttuva pala on naapurivastaus, jota kukaan ei lähetä.

Myytti: sama etuliite tarkoittaa samaa segmenttiä

Osoitteen etuliite kertoo isännälle, mitkä kohteet se tavoittaa suoraan ja mitkä tarvitsevat reitittimen. Se ei kerro isännälle, miten kohde on fyysisesti kytketty, eikä se varmasti takaa, että kohde voi vastata linkkikerroksen pyyntöön. Ne ovat eri kysymyksiä, joihin isännän eri taulukot vastaavat. Maski vastaa ensimmäiseen ja naapuritaulukko toiseen, ja vain ensimmäinen on VPN:n puolelta sinun hallinnassasi.

Kun palvelin lähettää osoitteeseen 10.50.0.200, se vertaa kohdetta omaan maskiinsa, päättää, että osoite on on-link, ja kysyy paikalliselta segmentiltä sitä omistavaa laiteosoitetta. Pyyntö lähtee Ethernet-liitännästä, eikä VPN-asiakas ole siellä kuulemassa sitä.

Mikään asiakkaan kokoonpanossa ei voi korjata tätä sen puolelta. Vastauspolku riippuu siitä, että LAN-verkossa oleva laite vastaa asiakkaan puolesta, tai siitä, että asiakkaalla on osoite, jota palvelin ei pidä paikallisena.

Mitä paikallinen isäntä todella tekee osoitteella

Käyttäytyminen on helppo havaita ja kannattaa havaita ennen kuin muutat mitään. Katso LAN-isännän naapuritaulukkoa sen jälkeen, kun se on yrittänyt tavoittaa asiakasta: puutteellinen tai epäonnistunut merkintä on koko diagnoosi yhdellä rivillä. Se rivi kertoo myös, että vika on segmentin paikallinen eikä jossain tunnelin sisällä.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Reittihaku raportoi kohteen on-linkiksi Ethernet-liitännän kautta, ja juuri se on ongelma. Jos naapurimerkintä jää puutteelliseksi VPN-istunnon ollessa käynnissä, olet vahvistanut, että puuttuva pala on linkkikerroksen selvitys eikä reititys tai palomuurikäytäntö.

Tee sama tarkistus toisessa aliverkossa olevasta isännästä ja vertaa. Isäntä, joka tavoittaa asiakkaan reitittimen kautta, ei tarvitse naapurimerkintää lainkaan, ja tuo ero on suunnittelupäätös pienoiskoossa.

Miten proxy ARP tarjoaa seuraavan hypyn

Proxy ARP saa yhdyskäytävän vastaamaan linkkikerroksen pyyntöön kohteen puolesta, jonka se tavoittaa toisen liitännän kautta. LAN-isäntä saa laiteosoitteen, lähettää kehyksen yhdyskäytävälle, ja yhdyskäytävä välittää paketin VPN-istuntoon. Isännän näkökulmasta asiakas näyttää yksinkertaisesti olevan yhdyskäytävän takana. Asiakkaan kokoonpanossa ei muutu mikään.

MikroTikin RouterOS ARP -dokumentaatio kuvaa tätä käyttöä sisäänsoittaville asiakkaille, jotka lainaavat yhdistetyn LAN-verkon osoiteavaruutta. Mekanismi on naapuriselvityksen korjaus, ja se toimii, koska yhdyskäytävä on todella molemmilla poluilla.

Tämä ei ole sama kuin asiakkaan siltaaminen LAN-verkkoon. Yhdyskäytävän on edelleen välitettävä paketti oikeaan aktiiviseen istuntoon, ja sen reitityksen ja palomuurikäytännön on edelleen sallittava palvelu. Proxy ARP muuttaa sitä, kuka vastaa naapuripyyntöön, ei sitä, kuka saa puhua.

Lue alustan tilanimet huolellisesti. RouterOS erottaa proxy-arp ja local-proxy-arp, ja jälkimmäinen käsittelee liikennettä, joka tulee sisään ja lähtee ulos samasta liitännästä. Ne eivät ole vaihdettavia kirjoitusasuja, eikä molempien ottaminen käyttöön valikoimatta ole oikotie.

Mitä proxy ARP ei anna sinulle

Se ei tarjoa broadcast- tai multicast-löytämistä. Asiakas, jonka on löydettävä palvelu broadcastin avulla, epäonnistuu silti, koska yhdyskäytävä välittää unicastin istuntoon eikä tee asiakkaasta LAN-verkon broadcast-toimialueen jäsentä. Broadcastiin nojaavat löytämisprotokollat ovat lainattuihin osoitteisiin perustuvissa suunnitelmissa tavallinen lähde raporteille, että se toimii yhdelle asialle eikä toiselle.

Se ei varaa osoitetta. Jos lainattu numero on myös DHCP-altaassa tai staattisessa määrityksessä, kaksi laitetta voi päätyä samaan osoitteeseen, ja seurauksena oleva käyttäytyminen riippuu ajoituksesta. Onnistunut kirjautuminen ei ole varaus.

Eikä se poista tarvetta sovittaa asiat LAN-verkon omistajan kanssa. Proxy ARP -merkintä, joka yllättää osoitesuunnitelman omistajan, on tukitapaus, joka odottaa rauhallista viikkoa.

Vertailu erikseen reititettyyn altaaseen

Vaihtoehto on antaa VPN-asiakkaille oma etuliite ja antaa LAN-isäntien reitittää siihen. Silloin palvelin lähettää off-link-vastaukset yhdyskäytävälleen, yhdyskäytävä reitittää etuliitteen VPN:n päätepisteeseen, eikä LAN-segmentillä tarvita lainkaan naapuriselvitystä. Se on vähemmän liikkuvia osia kuin lainattu osoite plus proxy-vastaus.

Tätä suunnitelmaa on helpompi pohtia ja helpompi auditoida, koska asiakasalue on näkyvästi erillään LAN-alueesta. Se maksaa reitin, paluupolun ja käyttösäännön, samat asiat, jotka proxy ARP -suunnitelma tarvitsee vähemmän ilmeisessä paikassa.

Valitse mallien välillä tietoisesti, ei vahingossa. Proxy ARP korjaa yhden tietyn suhteen; reititetty allas poistaa tuon korjauksen tarpeen. Kirjoita muistiin, kumman valitsit ja miksi, niin seuraavan henkilön ei tarvitse löytää sitä uudelleen epäonnistuneesta naapurimerkinnästä.