Miért küld ARP-t a LAN-gazdagép egy OpenVPN-kliens címére

A LAN-gazdagép és a VPN-kliens közötti elérhetőségi problémák gyakran magához a címtervhez vezetnek vissza. Adjon ennek a gazdagépnek egy interfészt a 10.0.100.0/22 címen, és minden címet 10.0.100.0-tól 10.0.103.255-ig közvetlenül csatlakozónak tekint, beleértve egy csendesen a 10.0.101.0/24 címre helyezett klienscsoportot is. A válasz soha nem megy útválasztóhoz, mert a gazdagép szempontjából egyetlen útválasztó sem vesz részt. A csomag egy szomszédnak van címezve, és a vezetéken kérdezik le.

Ez a mechanizmus áll egy egész jelentéscsalád mögött: az alagút fent van, a kiszolgálónak van útvonala, a LAN-gazdagép mégsem éri el a klienst.

A /22-es előtag, amely lenyeli a /24-est

Az előtagot tartományként olvassa, ne karakterláncként. A /22-es előtag 1024 címet tartalmaz, és a 10.0.100.0/22 a 10.0.100.0-tól a 10.0.103.255-ig terjed, így a 10.0.101.0/24-en lévő csoport teljes egészében benne van. A hiba túléli a felülvizsgálatot, mert a csoport első oktettjei másképp néznek ki, mint a LAN első oktettjei, és csak a harmadik oktett fedi fel a tartalmazást. Írja fel mindkét tartományt számokkal, mielőtt különállónak nyilvánítja őket.

Ugyanez a tartalmazás fordítva is megjelenhet. Egy csoport, amely szabadnak látszik, mert jelenleg senki sem használja, mégis beleeshet egy olyan előtagba, amelyet valamely telephelyi útválasztó hirdet, és a címterv az egyetlen dokumentum, amely ezt megmutatja.

A közvetlen kapcsolat ARP-t jelent, nem útválasztást

Amikor egy /22-es interfésszel rendelkező gazdagép a 10.0.101.25 címre küld, a kernel összehasonlítja a célt az interfész előtagjával, és egyezést talál. A csomagból szomszédkeresés lesz útválasztott csomag helyett, Etherneten pedig a szomszédkeresés ARP-kérés arra a címre. Ha a cím egy útválasztott átjáró mögötti VPN-klienshez tartozik, a LAN egyetlen gazdagépe sem birtokolja, így a kérés válasz nélkül marad, és a csomagok eldobódnak. Az alagút nem hibás, és a kliens soha nem látja a forgalmat.

Ezért a hiba aszimmetrikusnak és időnként szaggatottnak tűnik. A VPN-gazdagép gyakran eléri a LAN-t, mert a saját útvonalai a helyes irányba mutatnak, míg a LAN-gazdagép nem tud válaszolni, és bármi, ami egy elavult ARP-bejegyzést gyorsítótáraz, villogni készteti a tünetet.

TUN, TAP és mit szállít melyik

A TUN-eszköz IP-csomagokat, a TAP-eszköz Ethernet-kereteket szállít. Az útválasztott TUN-kapcsolatnak nem kell ARP-t szállítania az IP-elérhetőséghez, és éppen ezért a fenti válasz nélküli kérés várható, és nem hibás. A TAP szándékos híddal kiterjesztheti a sugárzási tartományt és működésbe hozhatja az ARP-t, de megváltoztatja, mit láthat a kliens, azonos keretezést támogató végpontokat igényel, és a hálózati modell újratervezése, nem pedig egy átfedő előtag javítása. Egy útválasztott telepítés TAP-ra váltása egy címterv-hiba gyógyításáért egy kis problémát cserél nagyobbra.

Jegyezze fel, hol jelent meg az ARP-kérés, és melyik rendszer küldte, mielőtt következtetéseket von le. A küldő azt mondja el, mit gondol a célról, nem azt, mit tesz az alagút.

Tervezzen olyan csoportot, amely nem fedhet át

Válasszon egy csoportot minden csatlakoztatott előtagon és minden hirdetett telephelyi előtagon kívül, majd adja hozzá azokat az útvonalakat, amelyek mindkét irányban elérhetővé teszik. Egy olyan tartomány, mint a 10.8.0.0/24 a terv kihasználatlan részén, könnyen átgondolható, és a LAN, amelynek el kell érnie, statikus útvonalat kap, amely a VPN-kiszolgálóra mutat. Módosítsa együtt a kiosztást, a hirdetett útvonalakat, az engedélyezett forráscímeket és a tűzfalszabályokat, mert egyetlen tervet írnak le, nem négy beállítást.

A kiszolgálón lévő Source NAT elrejtheti a csoportot egy LAN-ból útválasztható cím mögé, és ez legitim migrációs eszköz. Átírja a forrást is, így a LAN elveszíti annak képességét, hogy a kapcsolatokat egyedi kliensekhez rendelje, és kliensenkénti szabályokat alkalmazzon.

Az átvételhez használja a valódi kliens ténylegesen kiosztott címét és egy valódi alkalmazáskérést egy LAN-gazdagépről, majd erősítse meg, hogy a válasz a tervezett átjárót követi, nem a vezetéket.