LAN дареги бар VPN кардары LANда эмес

Кардар туташат, 10.50.0.200 алат жана эки сан тең бир /24 ичинде болсо да, 10.50.0.20 дарегиндеги серверге жете албайт. Бул конфигурациянын артындагы ишеним — LAN префиксинен алынган дарек кардарды LANдын бөлүгү кылат деген ой. Андай эмес. Кардар чекит-чекит байланышында, сервер барар жерди жергиликтүү деп эсептейт, ал эми жетишпеген бөлүк — эч ким жибербеген кошуна жообу.

Уламыш: бирдей префикс бирдей сегментти билдирет

Дарек префикси хостко кайсы жерлерге түз жете аларын жана кайсыларына маршрутизатор керек экенин айтат. Ал хостко барар жердин физикалык түрдө кантип туташканын айтпайт жана барар жер байланыш катмарындагы суроого жооп бере аларына эч кандай кепилдик бербейт. Бул хосттогу ар башка таблицалар жооп берүүчү ар башка суроолор. Маска биринчисине жооп берет, кошуналар таблицасы экинчисине, жана VPN тараптан сиздин көзөмөлүңүздө болгону биринчиси гана.

Сервер 10.50.0.200 дарегине жибергенде, ал барар жерди өз маскасы менен салыштырат, даректи on-link деп чечет жана жергиликтүү сегменттен ага таандык аппараттык даректи сурайт. Бул суроо Ethernet интерфейсинен чыгат, ал эми VPN кардары аны угуу үчүн ал жерде эмес.

Кардардын конфигурациясында эч нерсе муну өз тарабынан оңдой албайт. Жооп жолу LANдагы түзмөктүн кардардын атынан жооп беришине же кардардын сервер жергиликтүү деп эсептебеген дарегине ээ болушуна көз каранды.

Жергиликтүү хост дарек менен чындыгында эмне кылат

Жүрүм-турумду байкоо оңой жана бир нерсени өзгөртүүдөн мурун байкоого татыктуу. LAN хост кардарга жетүүгө аракет кылгандан кийин анын кошуналар таблицасын караңыз: толук эмес же ийгиликсиз жазуу — бир саптагы бүт диагноз. Бул сап сизге бузулуу сегментке жергиликтүү экенин, туннелдин ичинде эмес экенин да айтат.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Маршрут издөө барар жерди Ethernet интерфейси аркылуу on-link деп билдирет, жана дал ушул көйгөй. VPN сессиясы иштеп турганда кошуна жазуусу толук эмес бойдон калса, сиз жетишпеген бөлүк байланыш катмарындагы чечим экенин, маршруттоо же файрвол саясаты эмес экенин тастыктадыңыз.

Ушул текшерүүнү башка ички тармактагы хосттон жасап, салыштырыңыз. Кардарга маршрутизатор аркылуу жеткен хостко кошуна жазуусу такыр керек эмес, жана бул айырма — кичинекей масштабдагы долбоор чечими.

proxy ARP кийинки секирүүнү кантип камсыздайт

proxy ARP шлюзду башка интерфейс аркылуу жете ала турган барар жердин атынан байланыш катмарындагы суроого жооп берүүгө мажбурлайт. LAN хост аппараттык дарек алат, кадрды шлюзга жиберет, ал эми шлюз пакетти VPN сессиясына өткөрөт. Хосттун көз карашынан кардар жөн гана шлюздун артында көрүнөт. Кардардын конфигурациясында эч нерсе өзгөрбөйт.

MikroTikтин RouterOS ARP документтери туташкан LANдын дарек мейкиндигин карызга алган dial-in кардарлар үчүн ушул колдонууну сүрөттөйт. Механизм кошуналарды чечүүнү оңдоо болуп саналат, жана ал шлюз чындыгында эки жолдо тең тургандыктан иштейт.

Бул кардарды LANга көпүрө менен туташтыруу менен бирдей эмес. Шлюз пакетти туура активдүү сессияга өткөрүүгө тийиш, ал эми анын маршруттоосу жана файрвол саясаты кызматка уруксат бериши керек. proxy ARP кошуна суроосуна ким жооп берерин өзгөртөт, ким сүйлөөгө укуктуу экенин эмес.

Платформанын режим аттарын кылдат окуңуз. RouterOS proxy-arp менен local-proxy-arp-ни ажыратат, ал эми экинчиси ошол эле интерфейске кирип, андан чыккан трафикти иштетет. Булар бири-бирин алмаштыруучу жазуулар эмес, жана экөөнү тең талгалбай күйгүзүү кыска жол эмес.

proxy ARP сизге эмнени бербейт

Ал broadcast же multicast аркылуу табууну камсыз кылбайт. Кызматты broadcast аркылуу табышы керек кардар баары бир ийгиликсиз болот, анткени шлюз unicastти сессияга өткөрөт жана кардарды LANдын broadcast доменинин мүчөсү кылбайт. Broadcastка таянган табуу протоколдору карызга алынган дарек долбоорлорунда «бир нерсеге жарайт, экинчисине жарабайт» деген билдирүүлөрдүн көп кезигүүчү булагы.

Ал даректи ээлеп калбайт. Эгер карызга алынган сан DHCP пулунда же статикалык дайындоодо да болсо, эки түзмөк бир эле дарекке туш болушу мүмкүн, ал эми натыйжалуу жүрүм-турум убакытка байланыштуу. Ийгиликтүү кирүү ээлөө эмес.

Жана ал LANдын ээси менен шайкеш келүү зарылдыгын жок кылбайт. Дарек пландын ээсин таң калтырган proxy ARP жазуусу — тынч аптаны күткөн колдоо окуясы.

Өзүнчө маршрутталган пул менен салыштыруу

Альтернатива — VPN кардарларына өз префикстерин берүү жана LAN хостторуна ошол жакка маршруттоого жол берүү. Ошондо сервер өз шлюзуна off-link жоопторун жиберет, шлюз префиксти VPNдин акыркы чекитине маршруттайт, ал эми LAN сегментинде кошуналарды чечүү такыр керек эмес. Бул карызга алынган дарек менен proxy жообуна караганда кыймылдаган бөлүктөрү аз.

Бул долбоор жөнүндө ойлонуу да, аудит жасоо да жеңил, анткени кардарлардын диапазону LANдын диапазонунан көрүнүктүү түрдө бөлүнгөн. Ал бир маршрут, кайтаруу жолу жана кирүү эрежесин талап кылат, бул proxy ARP долбоору азыраак ачык жерде талап кылган нерселер.

Моделдердин арасында атайын тандаңыз, кокустан эмес. proxy ARP бир конкреттүү мамилени оңдойт; маршрутталган пул ошол оңдоого болгон зарылдыкты болтурбайт. Кайсыны тандаганыңызды жана эмне үчүн экенин жазып койсоңуз, кийинки адам аны ийгиликсиз кошуна жазуусунан кайра ачпайт.