Ձեր VPN հասցեների պահոցը LAN-ի DHCP միջակայքը չէ. ինչու է այն ձախողվում

Գայթակղիչ կարճ ճանապարհը VPN հաճախորդներին նույն միջակայքից հասցեներ տալն է, որն օգտագործում է գրասենյակի DHCP սերվերը, այն տեսությամբ, թե ամեն ինչ միևնույն է մեկ ցանց է։ Այդպես չէ։ Երթուղավորված թունելը unicast փաթեթներ է տեղափոխում երկու ծայրերի միջև, մինչդեռ LAN-ի պահոցը գոյություն ունի ֆիզիկական սեգմենտում հեռարձակման հարցումներին պատասխանելու համար։ Համարների վերօգտագործումը երկու բաշխողի պատասխանատու է դարձնում մեկ հասցեային տարածքի համար և վերադարձի ուղին թողնում է չսահմանված։

Երկու բաշխող, մեկ հասցեային տարածք

LAN-ի DHCP սերվերը գիտի, թե որ հասցեներն է վարձակալել և որ MAC հասցեին, և դրանք պաշտպանում է ARP-ով։ VPN սերվերն ունի իր պահոցը և ոչինչ չգիտի այդ վարձակալությունների մասին։ Ոչ մեկը սխալ չէ, ուղղակի նրանց երբեք չեն ծանոթացրել։

LAN-ի պահոցից տրված հասցեն, որը բաշխում է VPN սերվերը, կարող է արդեն պատկանել տպիչի։ Այժմ երկու սարք հավակնում է մեկ հասցեի նույն նախածանցում, և անջատիչի փոխանցման աղյուսակը որոշում է, թե ով կպատասխանի։

Սա այն խափանումն է, որին մարդիկ առաջինը հանդիպում են՝ հաճախորդ, որը հաջողությամբ միանում է, ապա հասնում սխալ մեքենային, կամ ժամանակ առ ժամանակ հասնում ճիշտին։

Ինչու երթուղիչը VPN հասցեներ չի բաշխում

DHCP հայտնաբերումը հեռարձակում է, և հեռարձակումները կանգնում են երթուղավորված սահմանին։ Եթե նախագիծը թունելը կամուրջ չի դարձնում կամ համապատասխան լիազորությամբ DHCP ռելե չի աշխատեցնում, հաճախորդի հարցումը երբեք չի հասնում LAN սերվերին։

Այդ պատճառով VPN սերվերն ինքն է նշանակում հասցեն. պահոց սերվերի կարգաբերման մեջ, հասցե յուրաքանչյուր գործընկերոջ համար WireGuard տեղադրման մեջ, կամ հասցե, որն առաջ է մղում նույնականացման շերտը IKEv2 տեղակայման մեջ։ Այս մեխանիզմները անկախ են LAN-ի վարձակալությունների տվյալների բազայից, և հենց դրա համար են նրանց պետք սեփական միջակայք։

Նույն տրամաբանությունը բացատրում է, թե ինչու DHCP շրջանակի փոփոխությունը չի ուղղում VPN հաճախորդին, որը երբեք հասցե չի ստանում։ Հաճախորդը չի հարցնում LAN սերվերին, և շրջանակի խմբագրման ոչ մի չափը նրան չի ստիպի հարցնել։

Համընկնումը երևում է որպես հակամարտություն, ոչ որպես դանդաղ ցանց

Առանց աջակցվող նախագծի նույն նախածանցը կիսող երկու ցանցերը տարբեր խնդիր են, քան կրկնակի սեփականությունը, և դրանք հաճախ շփոթում են։ Եթե VPN պահոցը առանձին նախածանց է, համընկնումը նշանակություն ունի միայն այն ժամանակ, երբ երթուղին երթևեկությունը ուղարկում է սխալ կողմ։ Եթե պահոցը գտնվում է LAN նախածանցի ներսում, հակամարտությունն անմիջական և տեղական է։

Գործնականում տեսնում եք ARP պատասխաններ սխալ սարքից, կեսից վերականգնվող կապեր, և հաճախորդ, ում սեփական հասցեն ինչ-որ մեկ ուրիշն է պահանջում։ Դրանցից ոչ մեկը երթուղավորման խնդիր չի թվում, դրա համար էլ ուղղումը կիրառվում է սխալ շերտում։ Կրկնակի վարձակալությունը հեշտ է հաստատել և դժվար է հանդուրժել։ Այն նաև վերապրում է վերագործարկումները, քանի որ երկու բաշխողներն էլ շարունակում են պնդել նույն հասցեն։

Վերադարձի ուղին առանձին խնդիր է

Նույնիսկ մաքուր ու առանձին պահոցի դեպքում LAN-ի հոսթերը պետք է իմանան, թե ինչպես պատասխանեն հաճախորդին։ Նրանց լռելյայն դարպասը երթուղիչն է, և երթուղիչին պետք է պահոցի համար դեպի VPN սերվեր ուղղված երթուղի, եթե նախագիծը փոխարենը չի թարգմանում հաճախորդի երթևեկությունը։

Կարդացեք ուղին երկու ուղղությամբ, նախքան ինչ-որ բան փոխելը։ Դարպասի վրա հարցրեք, թե որ ինտերֆեյսը միջուկը կօգտագործեր հաճախորդի հասցեի համար՝ հաճախորդի վրա հարցրեք, թե որ երթուղին է օգտագործում LAN հասցեի համար։

Այս հրամանները ցույց են տալիս դարպասի փոխանցման որոշումը և հարևանների գրառումները, որոնք բացահայտում են կրկնօրինակը.

ip -4 route get 10.8.0.5
ip neigh show dev br-lan | grep 10.8
ip -4 route get 192.168.50.20

Եթե առաջին հրամանը պատասխանում է թունելի ինտերֆեյսով, վերադարձի երթուղին գոյություն ունի։ Եթե այն պատասխանում է LAN ինտերֆեյսով, երթուղիչը կարծում է, որ հաճախորդը լարի վրա է, և կփորձի ARP անել նրա համար։

Կամուրջային նախագծեր գոյություն ունեն, բայց դրանք պետք է ընտրել

Թունելը LAN-ին կամուրջով միացնելը իրական նախագիծ է, որն օգտագործվում է, երբ հաճախորդները պետք է ստանան հեռարձակումներ կամ հայտնաբերվեն պրոտոկոլներով, որոնք ենթադրում են մեկ սեգմենտ։ Այն պահանջում է, որ սերվերը տիրապետի այդ կամուրջային վարքագծին և դրա հետ եկող հասցեների կառավարմանը։

Այն, ինչ չի աշխատում, արդյունքի նմանակումն է համարները պատճենելով։ Առանց կամրջի ընդհանուր պահոցը ձեզ տալիս է հակամարտությունը առանց հայտնաբերման, ինչը երկու դասավորությունների ամենավատն է։

Ընտրեք երրորդ շերտը առանձին պահոցով, եթե հավելվածն իսկապես սեգմենտի կարիք չունի, և փաստաթղթավորեք պահոցը, որպեսզի հաջորդ ադմինիստրատորը կարգուկանոնի համար չօգտագործի DHCP միջակայքը։