LAN 호스트가 OpenVPN 클라이언트 주소로 ARP를 보내는 이유

LAN 호스트와 VPN 클라이언트 사이의 도달성 문제는 흔히 주소 계획 자체로 거슬러 올라갑니다. 그 호스트에 10.0.100.0/22 인터페이스를 주면 10.0.100.0부터 10.0.103.255까지의 모든 주소를 직접 연결로 취급하며, 10.0.101.0/24에 조용히 놓인 클라이언트 풀도 포함합니다. 응답은 결코 라우터로 가지 않는데, 호스트의 관점에서는 어떤 라우터도 관여하지 않기 때문입니다. 패킷은 이웃에게 주소가 지정되어 선로에서 요청됩니다.

이 메커니즘 뒤에는 보고의 한 갈래 전체가 있는데, 터널은 올라와 있고 서버에는 경로가 있는데도 LAN 호스트는 여전히 클라이언트에 닿지 못합니다.

/24를 삼키는 /22

프리픽스를 문자열이 아니라 범위로 읽으세요. /22에는 1024개의 주소가 있고 10.0.100.0/22는 10.0.100.0부터 10.0.103.255까지 이어지므로 10.0.101.0/24의 풀은 완전히 그 안에 있습니다. 이 실수가 검토를 통과하는 것은 풀의 첫 옥텟이 LAN의 첫 옥텟과 달라 보이고, 세 번째 옥텟만이 포함 관계를 드러내기 때문입니다. 두 범위를 숫자로 적어 본 뒤에 분리되어 있다고 선언하세요.

같은 포함 관계가 반대 방향으로 나타날 수도 있습니다. 지금 아무도 쓰지 않아 비어 보이는 풀도 어느 사이트 라우터가 광고하는 프리픽스 안에 들어갈 수 있고, 주소 계획만이 그것을 보여 주는 문서입니다.

직접 연결은 ARP를 뜻하지 라우팅이 아닙니다

/22 인터페이스를 가진 호스트가 10.0.101.25로 보내면 커널은 목적지를 인터페이스의 프리픽스와 비교해 일치를 찾습니다. 패킷은 라우팅되는 대신 이웃 조회가 되고, 이더넷에서 이웃 조회는 그 주소에 대한 ARP 요청입니다. 주소가 라우팅된 게이트웨이 뒤의 VPN 클라이언트에 속한다면 LAN의 어떤 호스트도 그것을 소유하지 않으므로 요청은 응답 없이 남고 패킷은 버려집니다. 터널은 잘못이 없고 클라이언트는 그 트래픽을 결코 보지 못합니다.

그래서 장애가 비대칭으로 보이고 때때로 간헐적입니다. VPN 호스트는 자신의 경로가 올바른 방향을 가리키므로 LAN에 자주 닿지만 LAN 호스트는 응답할 수 없고, 오래된 ARP 항목을 캐시하는 무엇이든 증상을 깜박이게 합니다.

TUN, TAP 그리고 각각이 나르는 것

TUN 장치는 IP 패킷을 나르고 TAP 장치는 이더넷 프레임을 나릅니다. 라우팅된 TUN 링크는 IP 도달성을 제공하기 위해 ARP를 나를 필요가 없으며, 위의 응답 없는 요청이 고장이 아니라 예상된 일인 이유가 바로 여기에 있습니다. 의도적인 브리지를 갖춘 TAP는 브로드캐스트 도메인을 넓히고 ARP를 동작시킬 수 있지만, 클라이언트가 볼 수 있는 것을 바꾸고 같은 프레이밍을 지원하는 끝점을 요구하며, 겹치는 프리픽스에 대한 수리가 아니라 네트워크 모델의 재설계입니다. 주소 계획 오류를 고치려고 라우팅 구성을 TAP로 바꾸는 것은 작은 문제를 더 큰 문제와 맞바꾸는 일입니다.

결론을 내리기 전에 ARP 요청이 어디에서 나타났고 어느 시스템이 보냈는지 기록하세요. 송신자는 목적지에 대해 무엇을 믿는지 말해 줄 뿐, 터널이 무엇을 하는지는 말하지 않습니다.

겹칠 수 없는 풀을 설계하세요

연결된 모든 프리픽스와 광고된 모든 사이트 프리픽스 밖에서 풀을 고르고, 그다음 양방향으로 도달 가능하게 만드는 경로를 추가하세요. 계획의 사용되지 않는 부분에 있는 10.8.0.0/24 같은 범위는 생각하기 쉽고, 그곳에 닿아야 하는 LAN은 VPN 서버를 가리키는 정적 경로를 받습니다. 할당, 광고되는 경로, 허용되는 출발지 주소, 방화벽 규칙은 네 가지 설정이 아니라 하나의 설계를 설명하므로 함께 바꾸세요.

서버의 Source NAT는 풀을 LAN에서 라우팅 가능한 주소 뒤에 숨길 수 있고, 이는 정당한 이전 도구입니다. 또한 출발지를 다시 쓰므로 LAN은 연결을 개별 클라이언트에 귀속하고 클라이언트별 규칙을 적용하는 능력을 잃습니다.

인수 시에는 실제 클라이언트에 실제로 할당된 주소와 LAN 호스트에서의 실제 애플리케이션 요청을 사용하고, 응답이 선로가 아니라 계획된 게이트웨이를 따르는지 확인하세요.