Сиздин VPN пулуңуз LANдын DHCP диапазону эмес: эмнеге бул бузулат

Азгырган кыска жол — VPN кардарларына кеңсе DHCP сервери колдонгон ошол эле диапазондон даректтер берүү, баары бир баары бир тармак деген божомол менен. Бирок андай эмес. Маршрутталган туннель эки учтун ортосунда unicast пакеттерди ташыйт, ал эми LAN пулу физикалык сегментте broadcast суроолоруна жооп берүү үчүн бар. Номерлерди кайра колдонуу эки бөлүштүрүүчүнү бир дарек мейкиндигине жооптуу кылат жана кайтаруу жолун аныкталбаган калтырат.

Эки бөлүштүрүүчү, бир дарек мейкиндиги

LANдын DHCP сервери кайсы даректи кайсы MAC дарегине ижарага бергенин билет жана аларды ARP менен коргойт. VPN серверинин өз пулу бар жана ал ижаралар жөнүндө эч нерсе билбейт. Экөө тең ката эмес; аларды жөн гана бири-бири менен тааныштырышкан эмес.

VPN сервери LAN пулунан берген дарек мурунтан принтерге таандык болушу мүмкүн. Эми эки түзмөк бир префиксте бир даректи талап кылат, жана коммутатордун жиберүү таблицасы кайсы жооп берерин чечет.

Бул — адамдар эң оболу туш болгон бузулуу: ийгиликтүү туташып, анан туура эмес машинага жеткен кардар, же туура машинага үзгүлтүк менен жеткен кардар.

Эмнеге маршрутизатор VPN даректерин таратпайт

DHCP аныктоо — broadcast, ал эми broadcast маршрутталган чекте токтойт. Эгер долбоор туннелди көпүрөлөбөсө же тиешелүү ыйгарым укуктуу DHCP релесин иштетпесе, кардардын суроосу LAN серверине эч качан жетпейт.

Ошондуктан VPN сервери даректи өзү дайындайт: сервер конфигурациясындагы пул, WireGuard орнотуусунда ар бир өнөктөш үчүн дарек, же IKEv2 жайылтуусунда аутентификация катмары түрткөн дарек. Бул механизмдер LANдын ижара базасынан көз каранды эмес, жана дал ошондуктан аларга өз диапазону керек.

Ошол эле логика DHCP аймагын өзгөртүү эмнеге эч качан дарек албаган VPN кардарын оңдобосун түшүндүрөт. Кардар LAN серверинен сурабайт, жана аймакты түзөтүүнүн эч кандай өлчөмү аны суроого мажбурлабайт.

Кабатташуу жай тармак катары эмес, кагылыш катары көрүнөт

Колдоого алынган долбоорсуз префиксти бөлүшкөн эки тармак кош ээликтен башка маселе, жана алар көп учурда алмаштырылат. Эгер VPN пулу өзүнчө префикс болсо, кабатташуу маршрут трафикти туура эмес жакка жибергенде гана маанилүү. Эгер пул LAN префиксинин ичинде болсо, кагылыш дароо жана жергиликтүү.

Иш жүзүндө сиз туура эмес түзмөктөн ARP жоопторун, ортосунда кайра орнотулган туташууларды жана өз дарегин башка бирөө талап кылган кардарды көрөсүз. Алардын эч бири маршруттоо маселесине окшошпойт, ошондуктан оңдоо туура эмес катмарга колдонулат. Кош ижараны ырастоо оңой, аны менен жашоо кыйын. Ал кайра жүктөөлөрдөн да аман калат, анткени эки бөлүштүрүүчү тең бир даректи талап кыла берет.

Кайтаруу жолу өзүнчө маселе

Таза жана өзүнчө пул менен да LAN хосттору кардарга кантип жооп берүүнү билиши керек. Алардын демейки шлюзи — маршрутизатор, ал эми маршрутизаторго пул үчүн VPN серверине багытталган маршрут керек, эгер долбоор анын ордуна кардар трафигин которбосо.

Бир нерсени өзгөртүүдөн мурун жолду эки багытта окуңуз. Шлюзде ядро кардар дареги үчүн кайсы интерфейсти колдоноорун сураңыз; кардарда LAN дареги үчүн кайсы маршрутту колдоноорун сураңыз.

Бул буйруктар шлюздеги жиберүү чечимин жана кайталоону ачып берген кошуна жазууларын көрсөтөт:

ip -4 route get 10.8.0.5
ip neigh show dev br-lan | grep 10.8
ip -4 route get 192.168.50.20

Эгер биринчи буйрук туннелдин интерфейси менен жооп берсе, кайтаруу маршруту бар. Эгер ал LAN интерфейси менен жооп берсе, маршрутизатор кардар зымда деп эсептейт жана ага ARP жасоого аракет кылат.

Көпүрөлөнгөн долбоорлор бар, бирок аларды тандоо керек

Туннелди LANга көпүрөлөө — реалдуу долбоор, ал кардарлар broadcast алышы керек болгондо же бир сегментти болжолдогон протоколдор аларды табышы керек болгондо колдонулат. Ал серверге ошол көпүрөлөө жүрүм-туруму жана ага коштолгон даректерди иштетүү тиешелүү болушун талап кылат.

Иштебегени — натыйжаны номерлерди көчүрүү менен окшоштуруу. Көпүрөсүз жалпы пул сизге ачуусуз кагылыш берет, бул эки жайгашуунун эң начары.

Колдонмо чындап сегментти талап кылбаса, өзүнчө пул менен үчүнчү катмарды тандаңыз, жана пулду документтештириңиз, кийинки администратор тартип үчүн DHCP диапазонун кайра колдонбосун.