Mengapa dua situs dengan subnet yang sama bukan satu LAN

Dua kantor sama-sama memakai 192.168.77.0/24, dan seseorang mengusulkan terowongan agar keduanya menjadi satu jaringan. Kalimat itu terdengar sederhana dan menyembunyikan tiga desain berbeda: dua LAN independen yang bertabrakan, satu segmen Ethernet yang sengaja dibentangkan melintasi WAN, dan pengaturan proxy-ARP yang menjawab untuk alamat jauh. Yang mana yang Anda punya menentukan apa yang dilakukan host terhadap paket, dan jawabannya terlihat sebelum gateway VPN terlibat.

Host memutuskan sebelum router

Host dengan alamat 192.168.77.10/24 membandingkan tujuan dengan prefiksnya sendiri. Apa pun di dalam prefiks itu berada pada tautan langsung, sehingga host menyelesaikan alamat lapisan tautan tujuan secara langsung. Apa pun di luarnya menuju gateway default.

Keputusan itu terjadi di tumpukan host, bukan di terowongan. Rute yang ditambahkan pada gateway tidak dapat menyelamatkan paket yang tidak pernah dikirim host ke sana.

Jadi ketika 192.168.77.20 hanya ada di situs lain, host lokal menanyakannya lewat ARP dan tidak mendapat jawaban. Jabat tangan VPN bisa sepenuhnya sehat sementara ini gagal. Kegagalan itu tampak seperti host mati, bukan masalah perutean. Mengenali tanda itu menghemat satu jam penelusuran terowongan.

ARP adalah pertanyaan tautan lokal

ARP bertanya siapa yang memiliki alamat pada tautan ini, dan jawabannya harus datang dari sesuatu yang mendengar siaran. Router di ujung lain terowongan IPsec tidak mendengarnya kecuali desain menjadikan kedua situs satu domain siaran.

Dua perangkat dengan alamat yang sama memperburuknya: bahkan penyelesaian yang berhasil tidak dapat memberi tahu mana yang menjawab.

Pengalamatan ganda bukan bug perutean dan tidak ada rute yang memperbaikinya. Entah situs dinomori ulang ke prefiks yang berbeda, atau keduanya sengaja menjadi satu domain lapisan tautan.

Segmen yang dibentangkan membawa bingkai, bukan rute

Terowongan yang membawa Ethernet dan terpasang pada jembatan menjadikan kedua situs bagian dari satu domain lapisan tautan. Siaran ARP mencapai sisi jauh, dan setiap jembatan mempelajari di mana alamat MAC berada. Dokumentasi jembatan Linux menjelaskan batas penerusan berbasis MAC itu.

Di sini gateway jauh sama sekali tidak merutekan antara dua subnet identik. Bingkai melintasi lapisan bawah yang merutekan IP sendiri, sementara jembatan memperpanjang percakapan Ethernet.

Biayanya adalah radius dampak yang lebih besar. Banjir ke tujuan tak dikenal, loop, alokasi DHCP, dan pengalamatan unik semuanya memerlukan satu rencana yang mencakup kedua situs. Ketika WAN putus, host kehilangan lalu lintas yang mereka anggap lokal. Penyaringan pada jembatan dan aturan VLAN dapat membatasi apa yang melintas, tetapi pengangkutan tetap tidak menjamin setiap bingkai kendali tautan lokal tiba.

Proxy ARP adalah desain ketiga

Router dapat menjawab ARP untuk alamat jauh lalu merutekan ke sana. Itu membuat host jauh tampak berada pada tautan langsung bagi pengirim tanpa membentangkan domain siaran.

Ini alat yang lebih sempit daripada penjembatanan: bergantung pada penerusan, rute balik, dan pemilik yang jelas untuk setiap alamat.

Ini juga tidak membuat protokol non-IP sembarang menjadi bisa dirutekan, dan tidak mereproduksi domain siaran Ethernet. Gunakan saat kebutuhannya tepat substitusi itu, bukan sebagai jalan pintas untuk penomoran ulang yang ditunda.

Pilih dari kebutuhan, lalu verifikasi

Untuk akses aplikasi biasa antarkantor, prefiks yang berbeda dan rute eksplisit memberi batas yang lebih jelas. Jembatani ketika kebutuhannya benar-benar kedekatan lapisan tautan. Nomori ulang ketika satu-satunya alasan prefiks bersama adalah belum ada yang melakukannya.

Pastikan desain mana yang sebenarnya Anda miliki dengan menanyakan kepada host apa yang dilakukannya dengan tujuan:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Hasil pada tautan langsung dengan entri tetangga yang gagal menunjuk pada jalur lapisan tautan yang hilang. Hasil via menyebut gateway dan memindahkan pertanyaan ke perutean. Pada jembatan, periksa basis data penerusan untuk melihat apakah MAC dipelajari melalui terowongan. Setiap keluaran mempersempit pertanyaan desain alih-alih memulainya lagi.