VPN-biðlari með LAN-tölu er ekki á LAN-inu

Biðlarinn tengist, fær 10.50.0.200 og kemst ekki í þjóninn á 10.50.0.20 þótt báðar tölurnar séu í sama /24. Trúin á bak við þessa uppsetningu er sú að tala úr forskeyti LAN geri biðlarann að hluta LANsins. Það gerir það ekki. Biðlarinn er á punkt-til-punkt hlekk, þjónninn telur áfangastaðinn staðbundinn, og vantaði hlutinn er nágrannasvar sem enginn sendir.

Goðsögnin: sama forskeyti þýðir sama hlut

Forskeyti tölunnar segir hýsli hvaða áfangastaði hann nær beint og hverjir þurfa beini. Það segir hýslinum ekki hvernig áfangastaðurinn er líkamlega tengdur, og tryggir alls ekki að áfangastaðurinn geti svarað beiðni á hlekkjarinu. Þetta eru mismunandi spurningar sem mismunandi töflur á hýslinum svara. Gríman svarar þeirri fyrri og nágrannataflan þeirri seinni, og aðeins sú fyrri er undir þinni stjórn frá VPN-hliðinni.

Þegar þjónninn sendir til 10.50.0.200 ber hann áfangastaðinn saman við eigin grímu, ákveður að talan sé on-link og spyr staðbundna hlutann um vélbúnaðartöluna sem á hana. Sú beiðni fer út um Ethernet-tengið, og VPN-biðlarinn er ekki þar til að heyra hana.

Ekkert í uppsetningu biðlarans getur lagað þetta frá hans hlið. Svarleiðin fer eftir því að tæki á LAN-inu svari fyrir hönd biðlarans, eða að biðlarinn hafi tölu sem þjónninn telur ekki staðbundna.

Hvað staðbundni hýsillinn gerir í raun við töluna

Hegðunin er auðsýnileg og þess virði að skoða hana áður en þú breytir nokkru. Skoðaðu nágrannatöfluna á LAN-hýsli eftir að hann hefur reynt að ná í biðlarann: ófullkomin eða misheppnuð færsla er öll greiningin í einni línu. Sú lína segir þér líka að bilunin sé staðbundin á hlutann og ekki einhvers staðar inni í göngunni.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Leiðarleitin mun tilkynna áfangastaðinn sem on-link um Ethernet-tengið, og það er einmitt vandamálið. Ef nágrannafærslan helst ófullkomin meðan VPN-setan er virk hefur þú staðfest að vantaði hlutinn er upplausn á hlekkjarinu en ekki beining eða eldveggsstefna.

Keyrðu sömu athugun frá hýsli í öðru undirneti og bera saman. Hýsill sem nær í biðlarann gegnum beini þarf alls enga nágrannafærslu, og sá munur er hönnunarákvörðunin í smækkaðri mynd.

Hvernig proxy ARP veitir næsta hopp

Proxy ARP lætur gáttina svara beiðninni á hlekkjarinu fyrir hönd áfangastaðar sem hún nær gegnum annað tengi. LAN-hýsillinn fær vélbúnaðartölu, sendir rammann til gáttarinnar, og gáttin sendir pakkann áfram inn í VPN-setuna. Frá sjónarhóli hýsilsins virðist biðlarinn einfaldlega vera bak við gáttina. Ekkert í uppsetningu biðlarans breytist.

RouterOS ARP-skjöl MikroTik lýsa þeirri notkun fyrir innhringibiðlara sem taka að láni talnasvið tengda LANsins. Aðferðin er viðgerð á nágranna-upplausn, og hún virkar vegna þess að gáttin er raunverulega á báðum leiðum.

Það er ekki það sama og að brúa biðlarann inn í LANið. Gáttin verður samt að senda pakkann áfram til réttu virku setunnar, og beining hennar og eldveggsstefna verða samt að leyfa þjónustuna. Proxy ARP breytir því hver svarar nágrannabeiðninni, ekki hver má tala.

Lestu nöfn stillinga kerfisins vandlega. RouterOS greinir proxy-arp frá local-proxy-arp, og seinni stillingin sér um umferð sem fer inn og út um sama tengi. Þetta eru ekki skiptanlegar stafsetningar, og að virkja bæði án greinarmunar er ekki stutt leið.

Hvað proxy ARP gefur þér ekki

Það veitir enga broadcast- eða multicast-uppgötvun. Biðlari sem þarf að finna þjónustu með broadcast mistekst samt, vegna þess að gáttin sendir unicast inn í setuna og gerir biðlarann ekki að meðlim í broadcast-léni LANsins. Uppgötvunarferlar sem byggja á broadcast eru algeng uppspretta skýrslna um að það virki fyrir eitt en ekki annað í hönnun með lánuðum tölum.

Það áskilur ekki töluna. Ef lánaða talan er líka í DHCP-laug eða kyrrstæðri úthlutun geta tvö tæki endað með sömu tölu og hegðunin sem hlýst fer eftir tímasetningu. Árangursrík innskráning er ekki áskrift.

Og það fjarlægir ekki þörfina fyrir samhæfingu við eiganda LANsins. Proxy ARP-færsla sem kemur eiganda talnaplansins á óvart er stuðningsatvik sem bíður rólegrar viku.

Samanburður við sérbeitta laug

Valkosturinn er að gefa VPN-biðlum eigið forskeyti og láta LAN-hýsla beina þangað. Þá sendir þjónninn off-link svör til gáttarinnar, gáttin beinir forskeytinu til VPN-endapunktsins, og engin nágranna-upplausn er nauðsynleg á LAN-hlutanum. Það eru færri hreyfanlegir hlutar en lánuð tala auk proxy-svars.

Sú hönnun er auðveldari í hugsun og auðveldari í endurskoðun, vegna þess að svið biðlanna er sýnilega aðskilið frá sviði LANsins. Hún kostar leið, bakleið og aðgangsreglu, sömu hlutina og proxy ARP-hönnunin þarf á minna augljósum stað.

Veldu milli líkananna af ásettu ráði en ekki af tilviljun. Proxy ARP lagar eitt tiltekið samband; sérbeitt laug kemur í veg fyrir þörfina fyrir þá viðgerð. Skrifaðu niður hvort þú valdir og hvers vegna, og næsta manneskja þarf ekki að enduruppgötva það úr misheppnaðri nágrannafærslu.