Dyn VPN-pool is net it DHCP-berik fan 'e LAN: wêrom't it brekt

De ferliedlike koarte wei is om VPN-klanten adressen te jaan út itselde berik dat de DHCP-tsjinner fan it kantoar brûkt, mei de teory dat alles dochs ien netwurk is. Dat is it net. In rûtearre tunnel ferfiert unicast-pakketten tusken twa einpunten, wylst de LAN-pool bestiet om broadcast-oantwurden op in fysyk segmint te beäntwurdzjen. It werbrûken fan de nûmers set twa taskenners oan it haad fan ien adresromte en lit it werompaad ûnbepaald.

Twa taskenners, ien adresromte

De DHCP-tsjinner fan 'e LAN wit hokker adressen er fergeas hat en oan hokker MAC-adres, en hy ferdigenet se mei ARP. De VPN-tsjinner hat syn eigen pool en wit neat fan dy fergees. Net ien fan beiden is ferkeard; se binne gewoan nea oan elkoar foarsteld.

In adres út 'e LAN-pool dat de VPN-tsjinner útjout, kin al fan in printer wêze. No easkje twa apparaten ien adres op itselde foarheaksel, en de trochstjoertabel fan 'e switch beslút wa't antwurdet.

Dat is de flater dêr't minsken earst tsjin oan rinne: in klant dy't mei súkses ferbynt en dan by de ferkearde masine útkomt, of by de juste ien mei tuskenskoften.

Wêrom't de router gjin VPN-adressen útjout

DHCP-ûntdekking is in broadcast, en broadcasts stopje by in rûtearre grins. Behalven as it ûntwerp de tunnel brêget of in DHCP-relay mei byhearrende foech draait, berikt de oanfraach fan 'e klant nea de LAN-tsjinner.

Dêrom taskent de VPN-tsjinner it adres sels ta: in pool yn 'e konfiguraasje fan 'e tsjinner, in adres per peareftige yn in WireGuard-opsetsel, of in adres dat troch de autentikaasjelaach yn in IKEv2-útrulling treaun wurdt. Dy meganismen binne ûnôfhinklik fan 'e fergeesdatabase fan 'e LAN, en dêrom krekt hawwe se in eigen berik nedich.

Deselde redenaaasje ferklearret wêrom't it feroarjen fan 'e DHCP-omfang in VPN-klant net reparearret dy't nea in adres krijt. De klant freget de LAN-tsjinner net, en gjin inkel bedrach oan omfangbewurking krijt him safier.

De oerlaap docht bliken as in konflikt, net as in stadich netwurk

Twa netwurken dy't in foarheaksel diele sûnder stipe ûntwerp binne in oar probleem as dûbele eigendom, en se wurde faak ferwiksele. As de VPN-pool in apart foarheaksel is, docht oerlaap der allinnich ta as in rûte ferkear nei de ferkearde kant stjoert. As de pool binnen it LAN-foarheaksel sit, is it konflikt daliks en lokaal.

Yn 'e praktyk sjogge jo ARP-antwurden fan it ferkearde apparaat, ferbiningen dy't healwei weromsette, en in klant waans eigen adres troch immen oars opeaske wurdt. Net ien fan dy liket op in rûteprobleem, dêrom wurdt de oplossing op 'e ferkearde laach tapast. In dûbele fergees is maklik te befêstigjen en ferfelend om mei te libjen. It oerlibbet ek werstarten, om't beide taskenners op itselde adres oanhâlde.

It werompaad is in apart probleem

Sels mei in skjinne, aparte pool moatte LAN-hosts witte hoe't se in klant beäntwurdzje. Harren standertgateway is de router, en de router hat in rûte foar de pool nedich dy't nei de VPN-tsjinner wiist, behalven as it ûntwerp ynstee it ferkear fan 'e klant oerset.

Lês it paad yn beide rjochtingen foardat jo eat feroarje. By de gateway, freegje hokker ynterface de kearn brûke soe foar in klantadres; by de klant, freegje hokker rûte er brûkt foar in LAN-adres.

Dizze kommando's litte de trochstjoerbeslissing by de gateway sjen en de buerynskriuwingen dy't in duplikaat ferriede:

ip -4 route get 10.8.0.5
ip neigh show dev br-lan | grep 10.8
ip -4 route get 192.168.50.20

As it earste kommando antwurdet mei de tunnel-ynterface, bestiet de weromrûte. As it antwurdet mei de LAN-ynterface, mient de router dat de klant op 'e tried is en sil er ARP foar him besykje.

Brêge ûntwerpen bestean, mar se moatte keazen wurde

In tunnel nei de LAN brêgje is in echt ûntwerp, brûkt as klanten broadcasts ûntfange moatte of ûntdutsen wurde moatte troch protokollen dy't ien segmint ferûnderstelle. It easket dat de tsjinner dat brêgegedrach besit en it adresbehear dat dermei giet.

Wat net wurket, is it resultaat neibeare troch nûmers te kopiearjen. In dielde pool sûnder brêge jout jo it konflikt sûnder de ûntdekking, wat it slimste fan beide regelingen is.

Kies laach trije mei in aparte pool, útsein as de tapassing it segmint echt nedich hat, en dokumintearje de pool sadat de folgjende behearder it DHCP-berik net wer brûkt om 't it sa nettsjes is.