LAN мекенжайы бар VPN клиенті LAN-да емес

Клиент қосылады, 10.50.0.200 алады және екі нөмір де бір /24 ішінде болса да, 10.50.0.20 мекенжайындағы серверге жете алмайды. Бұл конфигурацияның артындағы сенім — LAN префиксінен алынған мекенжай клиентті LAN-ның бөлігі етеді деген ой. Олай емес. Клиент нүкте-нүкте буынында, сервер межелі мекенжайды жергілікті деп санайды, ал жетіспейтін бөлік — ешкім жібермейтін көрші жауабы.

Аңыз: бірдей префикс бірдей сегмент дегенді білдіреді

Мекенжай префиксі хостқа қандай межелерге тікелей жетуге болатынын және қайсыларына маршрутизатор керектігін айтады. Ол хостқа меженің физикалық түрде қалай қосылғанын айтпайды және меженің буын деңгейіндегі сұранысқа жауап бере алатынына ешқандай кепілдік бермейді. Бұлар хосттағы әртүрлі кестелер жауап беретін әртүрлі сұрақтар. Маска біріншісіне жауап береді, көршілер кестесі екіншісіне, ал тек біріншісі ғана VPN жағынан сіздің бақылауыңызда.

Сервер 10.50.0.200-ге жібергенде, ол межені өз маскасымен салыстырады, мекенжайды on-link деп шешеді және жергілікті сегменттен оған тиесілі аппараттық мекенжайды сұрайды. Бұл сұраныс Ethernet интерфейсінен шығады, ал VPN клиенті оны есту үшін онда емес.

Клиенттің конфигурациясында ештеңе мұны өз жағынан түзете алмайды. Жауап жолы LAN-дағы құрылғының клиенттің атынан жауап беруіне немесе клиенттің сервер жергілікті деп санамайтын мекенжайы болуына байланысты.

Жергілікті хост мекенжаймен шын мәнінде не істейді

Мінез-құлықты байқау оңай және бірдеңе өзгерту алдында байқаған жөн. LAN хост клиентке жетуге әрекеттенгеннен кейін оның көршілер кестесіне қараңыз: толық емес немесе сәтсіз жазба — бір жолдағы бүкіл диагноз. Бұл жол сізге ақаудың сегментке жергілікті екенін, туннельдің ішінде емес екенін де айтады.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Маршрут іздеу межені Ethernet интерфейсі арқылы on-link деп хабарлайды, және дәл осы мәселе. VPN сессиясы жұмыс істеп тұрғанда көрші жазбасы толық емес болып қалса, сіз жетіспейтін бөліктің буын деңгейіндегі шешім екенін, маршруттау немесе файрвол саясаты емес екенін растадыңыз.

Дәл сол тексеруді басқа ішкі желідегі хосттан жасап, салыстырыңыз. Клиентке маршрутизатор арқылы жететін хостқа көрші жазбасы мүлде қажет емес, ал бұл айырмашылық — кішігірім дизайн шешімі.

proxy ARP келесі секірісті қалай қамтамасыз етеді

proxy ARP шлюзді басқа интерфейс арқылы жете алатын меже атынан буын деңгейіндегі сұранысқа жауап беруге мәжбүр етеді. LAN хост аппараттық мекенжай алады, кадрды шлюзге жібереді, ал шлюз пакетті VPN сессиясына жөнелтеді. Хост тұрғысынан клиент жай ғана шлюздің артында көрінеді. Клиент конфигурациясында ештеңе өзгермейді.

MikroTik-тің RouterOS ARP құжаттамасы қосылған LAN-ның мекенжай кеңістігін қарызға алатын dial-in клиенттері үшін осы қолданысты сипаттайды. Тетік көршілерді шешуді жөндеу болып табылады, және ол шлюз шынымен екі жолда да тұрғандықтан жұмыс істейді.

Бұл клиентті LAN-ға көпірмен қосқанмен бірдей емес. Шлюз пакетті дұрыс белсенді сессияға жөнелтуі керек, ал оның маршруттауы мен файрвол саясаты қызметке рұқсат беруі керек. proxy ARP көрші сұранысына кім жауап беретінін өзгертеді, кім сөйлеуге құқылы екенін емес.

Платформаның режим атауларын мұқият оқыңыз. RouterOS proxy-arp мен local-proxy-arp-ні ажыратады, ал екіншісі сол интерфейске кіріп, одан шығатын трафикті өңдейді. Бұлар бірін-бірі алмастыратын жазылымдар емес, және екеуін де алаламай қосу қысқа жол емес.

proxy ARP сізге не бермейді

Ол broadcast немесе multicast арқылы табуды қамтамасыз етпейді. Қызметті broadcast арқылы табуы керек клиент бәрібір сәтсіздікке ұшырайды, өйткені шлюз unicast-ты сессияға жөнелтеді және клиентті LAN-ның broadcast доменінің мүшесі етпейді. Broadcast-қа сүйенетін табу протоколдары қарызға алынған мекенжай дизайндарында «бір нәрсеге жарайды, екіншісіне жарамайды» деген есептердің жиі көзі.

Ол мекенжайды брондамайды. Егер қарызға алынған нөмір DHCP пулында немесе статикалық тағайындауда да болса, екі құрылғы бір мекенжайға тап болуы мүмкін, ал нәтижелі мінез-құлық уақытқа байланысты. Сәтті кіру брондау емес.

Және ол LAN иесімен үйлестіру қажеттілігін жоймайды. Мекенжай жоспарының иесін таңқалдыратын proxy ARP жазбасы — тыныш апта күтіп тұрған қолдау оқиғасы.

Бөлек маршрутталған пулмен салыстыру

Балама — VPN клиенттеріне өз префиксін беру және LAN хосттарына сол жаққа маршруттауға рұқсат ету. Сонда сервер өз шлюзіне off-link жауаптар жібереді, шлюз префиксті VPN-нің соңғы нүктесіне маршруттайды, ал LAN сегментінде көршілерді шешу мүлде қажет емес. Бұл қарызға алынған мекенжай мен proxy жауабынан гөрі қозғалатын бөліктері аз.

Бұл дизайн туралы ойлау да, аудит жасау да жеңіл, өйткені клиенттер ауқымы LAN ауқымынан көрінетіндей бөлек. Ол бір маршрут, қайтару жолы және қатынау ережесіне тұрады, бұл proxy ARP дизайны азырақ айқын жерде қажет ететін нәрселер.

Модельдер арасында әдейі таңдаңыз, кездейсоқ емес. proxy ARP бір нақты қатынасты жөндейді; маршрутталған пул сол жөндеуге деген қажеттілікті болдырмайды. Қайсысын таңдағаныңызды және неге екенін жазып қойыңыз, сонда келесі адам оны сәтсіз көрші жазбасынан қайта ашпайды.