DHCP דרך VPN: לגשר על השידור או להעביר אותו?

מחשב נייד חדש בצד השני של המנהרה לא מקבל כתובת, בעוד שאותו מחשב נייד עובד במטה. ההנחה הראשונה הרגילה היא שהמנהרה חוסמת DHCP. לעתים קרובות יותר לשידור מעולם לא היה נתיב: לקוח שאינו מוגדר שולח אל 255.255.255.255, ונתב IP רגיל אינו מעביר את החבילה הזו הלאה. המנהרה עושה בדיוק מה שמנהרה מנותבת עושה.

שני עיצובים יכולים לשנות זאת, והם אינם שקולים. האחד נושא את השידור; השני מעביר את הבקשה.

השידור לעולם אינו חוצה את הנתב

לקוח DHCPv4 ללא כתובת שולח מ-0.0.0.0 אל כתובת השידור המוגבלת בפורטי UDP 67 ו-68. החבילה הזו נשארת על הקישור שלה לפי התכנון. נתב שיעביר אותה הלאה יציף כל מקטע שהוא משרת.

לכן מנהרה מנותבת בין אתרים מחברת את הממסר לשרת. היא אינה מרחיבה את דומיין השידור של הלקוח, ושום כלל חומת אש לא יעשה זאת.

מה מנהרה מגושרת מרחיבה בפועל

VPN מגושר בכוונה יכול לשאת שידור Ethernet במסגרת הטופולוגיה הנתמכת שלו, ואז DHCP יכול לעבור כתנועה מקומית. זו אפשרות אמיתית, אבל זה בחירת עיצוב של שכבה 2. אתם מרחיבים את דומיין הכשל ואת גבול הגישה יחד עם השידור.

גישור משנה גם מה שסופת שידור, סריקת ARP או שרת DHCP זדוני יכולים להגיע אליו. אם לא הייתם מחברים את המשרד המרוחק לאותו מתג, אל תגשרו את המנהרה רק כדי לחלק כתובות. בדקו את רדיוס ההשפעה הזה לפני שתפעילו אותו.

זו החלטה גדולה יותר מאשר אספקת כתובת, ויש לקבל אותה במכוון.

העבירו את הבקשה במקום

התשובה הרגילה היא ממסר ברשת המקומית של הלקוח. הוא מקבל את השידור, הופך אותו לבקשת unicast, ומציב את הכתובת שלו בשדה כתובת השער. השרת משיב לכתובת הממסר הזו.

עבור משרד מרוחק לדוגמה, הממסר יושב ב-LAN של המשרד והשרת נגיש דרך VPN האתר. הגדירו את הטווח עבור אותו משרד, את זהויות הממסר והשרת, ואת נתיב החזרה המלא. מתן היתר ל-UDP 67 דרך המנהרה אינו אומר לשרת איזו בריכה להשתמש.

ממסר שמעביר אך לעולם אינו מקבל תשובה הוא בדרך כלל בעיית נתיב חזרה. בדקו את הנתיב בחזרה לכתובת הממסר לפני שתשנו את הטווח.

הפרידו בין DHCP ל-ARP ובין כתובות המנהרה

DHCP נוסע על UDP/IP. ב-Ethernet, מארח עשוי גם להשתמש ב-ARP כדי לבדוק אם כתובת מועמדת כבר בשימוש. בדיקת ההתנגשות הזו היא פעולה מקומית לקישור בנפרד, ולא ההובלה של הודעות DHCP. לומר ש-DHCP הוא בעצם ARP זה שגוי; לומר ששניהם אינם קשורים לעולם זה רחב מדי.

לקוח VPN יכול גם לקבל את כתובת המנהרה שלו מפרוטוקול ה-VPN או מהבריכה של השרת עצמו ולא משידור DHCP. אפשרות ששמה מכיל DHCP עשויה לתאר הגדרות לקוח שנדחפו, ולא חבילת DHCP מועברת. בדקו את הבריכה של השרת לפני שתניחו ש-DHCP בכלל מעורב.

תעדו את רשת היעד, את בעל ההקצאה, את הטווח, אם קיים ממסר, ואת ההתנהגות הצפויה בזמן תקלה. אחר כך בדקו חכירה חדשה וחידוש דרך המודל הזה. אם שני אתרים יכולים לשרת את אותה בריכה לא מנוהלת, יש לכם התנגשות שמחכה למחשב הנייד הנודד הראשון.