Wêrom twa sites mei itselde subnet net ien LAN binne

Twa kantoaren brûke beide 192.168.77.0/24, en immen stelt in tunnel foar sadat se ien netwurk wêze kinne. De sin klinkt ienfâldich en ferberget trije ferskillende ûntwerpen: twa selstannige LAN’s dy’t botsje, ien opsetlik oer in WAN útwreide Ethernet-segmint, en in proxy-ARP-regeling dy’t foar fiere adressen antwurdet. Hokker oft jo hawwe, beslút wat in host mei it pakket docht, en it antwurd is sichtber foardat de VPN-gateway belutsen is.

De host beslút foar de router

In host mei adres 192.168.77.10/24 ferliket it doel mei syn eigen foarheaksel. Alles binnen dat foarheaksel is op ’e direkte keppeling, dus de host lûkt it keppelingslaachadres fan it doel direkt op. Alles dêrbûten giet nei de standertgateway.

Dat beslút falt yn ’e stâl fan ’e host, net yn ’e tunnel. In rûte dy’t op ’e gateway tafoege wurdt, kin in pakket net rêde dat de host der nea hinne stjoert.

Dus as 192.168.77.20 allinnich op it oare site bestiet, freget de lokale host dernei fia ARP en krijt gjin antwurd. De VPN-hânskikking kin folslein sûn wêze wylst dit mislearret. De flater liket op in deade host, net op in routingprobleem. It werkenmen fan dat sinjaal besparret in oere tunneldebugging.

ARP is in fraach oer de lokale keppeling

ARP freget wa’t in adres op dizze keppeling hat, en it antwurd moat komme fan eat dat de útstjoering heart. In router oan ’e oare kant fan in IPsec-tunnel heart it net, útsein as it ûntwerp de twa sites ien útstjoerdomein makket.

Twa apparaten mei itselde adres meitsje it slimmer: sels in slagge oplossing kin net sizze hokker fan beide antwurde.

Dûbele adressearring is gjin routingfout en gjin rûte reparearret it. Of de sites wurde omnummerearre nei ferskillende foarheaksels, of se wurde mei opsetsin ien keppelingslaachdomein.

In útwreide segmint draacht frames, gjin rûtes

In tunnel dy’t Ethernet draacht en oan brêgen fêstsit, makket beide sites diel fan ien keppelingslaachdomein. ARP-útstjoeringen berikke de oare kant, en elke brêge leart hokker MAC-adressen wêr sitte. De Linux-brêgedokumintaasje beskriuwt dy MAC-basearre trochstjoeringsgrins.

Hjir rûtet de fiere gateway hielendal net tusken twa identike subnetten. Frames geane oer in ûnderlaach dy’t sels IP rûtet, wylst de brêgen it Ethernet-petear ferlingje.

De priis is in grutter ynfloedberik. Oerstreaming foar ûnbekende doelen, lussen, DHCP-taskenning en unike adressearring freegje allegear ien plan dat beide sites omfettet. As it WAN falt, ferlieze hosts ferkear dat se lokaal fine. Filtering op ’e brêge en VLAN-regels kinne beheine wat oergiet, mar ferfier belooft noch altyd net dat elk lokaal kontrôleframe oankomt.

Proxy ARP is in tredde ûntwerp

In router kin ARP beäntwurdzje foar in fier adres en dan dêrhinne rûte. Dat lit de fiere host foar de stjoerder op ’e direkte keppeling lykje sûnder in útstjoerdomein út te wreidzjen.

It is in smeller helpmiddel as brêgjen: it hinget ôf fan trochstjoering, weromrûtes en in dúdlike eigner foar elk adres.

It makket ek willekeurige net-IP-protokollen net rûtber en it reprodusearret gjin Ethernet-útstjoerdomein. Brûk it as de eask krekt dy ferfanging is, net as fluchwei foar útstelde omnummering.

Kies út ’e eask, kontrolearje dan

Foar gewoane tagong tusken kantoaren jouwe ferskillende foarheaksels en eksplisite rûtes in dúdliker grins. Brêgje as de eask wier keppelingslaach-oanbuorren is. Omnummerje as de iennige reden foar it dielde foarheaksel is dat nimmen it noch dien hat.

Befêstigje hokker ûntwerp jo eins hawwe troch in host te freegjen wat it mei it doel docht:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

In resultaat op ’e direkte keppeling mei in mislearre buer-ynskriuwing wiist op in ûntbrekkend keppelingslaachpaad. In via-resultaat neamt de gateway en ferpleatst de fraach nei routing. Kontrolearje op in brêge de trochstjoeringsdatabank om te sjen oft de MAC oer de tunnel leard is. Elk resultaat fersmalt de ûntwerpfraach yn stee fan dy opnij te begjinnen.