Firwat en LAN-Host ARP fir d'Adress vun engem OpenVPN-Client mécht

Erreechbarkeetsproblemer tëscht engem LAN-Host an engem VPN-Client ginn oft op den Adressplang selwer zeréck. Gitt deem Host eng Interface op 10.0.100.0/22 a behandelt hien all Adress vun 10.0.100.0 bis 10.0.103.255 als direkt verbonnen, inklusiv engem Client-Pool, deen onopfälleg op 10.0.101.0/24 läit. D'Äntwert geet ni un en Router, well aus der Siicht vum Host keen Router involvéiert ass. De Paket ass un en Noper adresséiert a gëtt um Drot ugefrot.

Deen Mechanismus steet hannert enger ganzer Famill vu Berichter: den Tunnel ass uewen, de Server huet eng Route, an den LAN-Host kann de Client nach ëmmer net erreechen.

Den /22, deen den /24 verschléckt

Liest de Prefix als e Beräich, net als eng Zeechenketten. En /22 huet 1024 Adressen, an 10.0.100.0/22 geet vun 10.0.100.0 bis 10.0.103.255, also läit e Pool op 10.0.101.0/24 komplett dran. De Feeler iwwerlieft d'Iwwerpréiwung, well déi éischt Oktette vum Pool anescht ausgesinn wéi déi éischt Oktette vum LAN, an nëmmen déi drëtt Oktett d'Enthaleness verréit. Schreift béid Beräicher numeresch aus, ier Dir se als getrennt erkläert.

Déiselwecht Enthaleness kann och ëmgedréint optrieden. E Pool, deen fräi ausgesäit, well en de Moment keen notzt, kann trotzdem an engem Prefix leien, deen en Site-Router annoncéiert, an den Adressplang ass dat eenzegt Dokument, dat dat weist.

Direkt verbonne bedeit ARP, net Routing

Wann en Host mat enger /22-Interface op 10.0.101.25 schéckt, vergläicht de Kernel d'Zil mam Prefix vun der Interface a fënnt eng Iwwereneestëmmung. De Paket gëtt eng Nopeschufro amplaz vun engem geroutete Paket, an op Ethernet ass d'Nopeschufro eng ARP-Ufro fir déi Adress. Wann d'Adress zu engem VPN-Client hannert engem gerouteten Gateway gehéiert, besëtzt keen Host am LAN se, sou datt d'Ufro onbeäntwert bleift an d'Paketen verworf ginn. Den Tunnel ass net schold, an de Client gesäit den Trafic ni.

Dofir gesäit de Feeler asymmetresch aus an heiansdo widderhuelend. Den VPN-Host kann d'LAN dacks erreechen, well seng eegen Routen déi richteg Richtung weisen, während den LAN-Host net äntwere kann, an alles, wat en ale ARP-Andrag cachet, léisst d'Symptom flackeren.

TUN, TAP a wat jiddwereen dréit

En TUN-Apparat dréit IP-Paketen, an en TAP-Apparat dréit Ethernet-Frames. Eng geroutet TUN-Verbindung muss keen ARP droen, fir IP-Erreechbarkeet ze liwweren, an genau dofir ass déi onbeäntwert Ufro uewen ze erwaarten an net als defekt ze gesinn. TAP mat enger bewosster Bréck kann d'Broadcast-Domän erweideren an ARP funktionéieren, awer et ännert, wat de Client gesäit, verlaangt Endpunkten, déi déiselwecht Framing ënnerstëtzen, an ass eng Neigestaltung vum Netzwierkmodell amplaz vun enger Reparatur fir en iwwerlappende Prefix. En gerouteten Deploiement op TAP ëmstellen, fir en Adressplanfeeler ze kuréieren, tauscht e klengt Problem géint e gréissert.

Notéiert, wou d'ARP-Ufro opgetrueden ass a wéi ee System se geschéckt huet, ier Dir Schlëss zieent. Den Ofsender seet Iech, wat hie vum Zil mengt, net wat den Tunnel mécht.

Entwerft e Pool, deen net kann iwwerlappen

Wielt e Pool ausserhalb vun all verbonnenem Prefix an all annoncéierten Site-Prefix, a füügt dann d'Routen derbäi, déi en an zwou Richtungen erreechbar maachen. E Beräich wéi 10.8.0.0/24 an engem onbenotzten Deel vum Plang ass einfach ze iwwerleeën, an eng LAN, déi en erreeche muss, kritt eng statesch Route, déi op de VPN-Server weist. Ännert d'Zoudeelung, d'annoncéiert Routen, déi erlaabt Quelladressen an d'Firewall-Reegelen zesummen, well se ee Design beschreiwen an net véier Astellungen.

Source NAT um Server kann de Pool hannert enger LAN-routbarer Adress verstoppen, an et ass en legitime Migratiounsinstrument. Et schreift och d'Quell ëm, sou datt d'LAN d'Fähegkeet verléiert, Verbindungen eenzele Clienten zouzeschreiwen an Reegelen pro Client unzewenden.

Benotzt fir d'Akzeptanz déi tatsächlech zougewisen Adress vum echte Client an eng echt Uwendungsufro vun engem LAN-Host, a bestätegt dann, datt d'Äntwert dem geplangte Gateway follegt an net dem Drot.