VPN-Adress géint LAN-DHCP-Léasing: wien deelt d'Tunnel-IP zou?

Äre VPN-Client weist eng Adress, déi ni an enger LAN-Léasingsdatei optaucht. Liest de Client, d'IKEv2-Liwwerlaascht an de Pool um Gateway, fir den eigentlechen Zoudeeler ze fannen.

Verbënnt de Client a kuckt den Adapter unstatt d'Wi-Fi-Ikon. Eng Adress wéi 10.80.0.14 kann op engem Tunnel sëtzen, obwuel keen DHCP-Server um Büro-LAN déi Léasing je registréiert huet. Dee Prozess, deen d'Nummer gewielt huet, decidéiert wou d'Feilersich ufänkt.

Um Client gesäit alles d'selwecht aus: eng IPv4-Adress, eng Mask, heiansdo en Standardgateway. Den Ënnerscheed daucht eréischt op, wann Dir freet, wien fir déi Adress äntwert a wien en Rekord dervun hält.

D'Tunneladress vun der Client-Säit liesen

Windows weist den Ënnerscheed, wann Dir de ganzen Block liest an net déi éischt Zeil. ipconfig /all dréckt eng Adapterbeschreiwung, eng physesch Adress an eng DHCP-Zeil. En PPP- oder IKEv2-Einwieladapter mellt DHCP normalerweis als deaktivéiert, well d'Verbindung seng Adress beim Einwielen ausgehandelt huet amplaz se vun engem LAN-Server ze leasen. En Tunneladapter mat aktivem DHCP ass ongewéinlech a verdéngt eng eege Untersuchung.

Linux deelt déiselwecht Informatioun op zwou Werkzeugen. ip -4 addr show dev tun0 gëtt d'Adress an d'Präfixlängt. nmcli -f IP4 connection show work weist, ob de Wäert aus dem Verbindungsprofil, engem DHCP-Austausch um Link oder enger gedréckter Konfiguratioun koum. WireGuard ass dee kloersten Fall, well wg-quick d'Zeil Address aus der Konfiguratiounsdatei uwendt, wann d'Interface erschéngt, an kee Partner beim Verbannen eppes zoudeelt.

De Präfix seet och eppes. Eng /32, oder eng Mask vun 255.255.255.255, bedeit, datt de Gateway erwaart, op eng eenzeg Hostadress ze routeren, wärend eng méi breet Mask en On-Link-Subnetz irgendwou hannert dem Tunnel ugedeit.

Wat d'IKEv2-Konfiguratiounslast dréit

IKEv2 huet en eegene Mechanismus fir dës Aarbecht. D'Konfiguratiounslast, déi an RFC 7296, Abschnitt 3.15.1 beschriwwe gëtt, dréit Attributer wéi INTERNAL_IP4_ADDRESS, INTERNAL_IP4_NETMASK, INTERNAL_IP4_DNS an hir IPv6-Géigestécker. De Client schéckt en Attribut mat Null-Längt, wann en keng Preferenz huet, an den Äntwerer gëtt de Wäert zréck, deen hie wëll benotzt gesinn. Dee Austausch leeft bannen IKE_AUTH, schonn verschlësselt, dofir kräizt keng DHCP-Emissioun je den Tunnel.

Zwee Konsequenzen erginn sech. Éischtens gëtt d'Adress vum Äntwerer oder vun engem Autorisatiouns-Backend gewielt, deen hien consultéiert, dofir kann e Pool um Gateway, an enger RADIUS-Äntwert oder an enger Kartéierung vun engem Identitéitsprovider sëtzen. Zweetens ass den DNS-Attribut getrennt vum Adressattribut. 10.80.0.14 ze kréien seet näischt doriwwer, wéi en Resolver zréckkoum, oder op iwwerhaapt een zréckkoum.

Den Netzmask-Attribut ass an der Praxis fakultativ. Vill Installatioune ginn nëmmen eng Adress zréck a loossen de Client eng Hostroute installéieren, dofir kann dee selwechte Pool op engem Client wéi eng /32 an op engem aneren wéi eng /24 ausgesinn.

Wou e LAN-DHCP-Beräich an e VPN-Pool kollidéieren

D'Problemer fänken un, wann béid Zoudeeler op dee selwechte Beräich weisen. En DHCP-Server fir 10.20.30.0/24 weess näischt vun engem VPN-Pool, dee fir 10.20.30.128/25 konfiguréiert ass, dofir hält näischt hien dovun of, 10.20.30.140 un en Drécker ze leasen, wärend de Gateway déiselwecht Adress engem Client aus der Distanz gëtt. D'Kollisioun bleift Deeg laang stëll a kënnt duerno als intermitéierend Duplikat eraus.

En geroutete Site-zu-Site-Design ëmgeet d'Kollisioun duerch säi Bau. En Host an der Filial behält d'Adress, déi him säi lokalen DHCP-Server ginn huet. D'Tunnelinterfacë vun deenen zwee Gatewaye droen hir eege Linkadressen, an d'Routingtabell entscheet, wéi Pakete reesen. Adresse vu Clienten aus dem Fernzoug sinn eng drëtt Kategorie a sollten net mat den Linkadressen vum Gateway gemëscht ginn.

Den Tunnel op d'LAN ze brécken hieft déi Trennung op. Wann den Design wierklech eng eenzeg Broadcast-Domäne brauch, muss den VPN-Endpunkt bei deene selwechten Zoudeelungsentscheedungen dobäi sinn wéi den DHCP-Server, iwwer en Relay oder eng gemeinsam autoritativ Quell, amplaz selwer Adressen auszeginn.

Beweist, wien d'Adress besëtzt

Beweist den Eegentum, ier Dir e Beräich ännert. Um Client notéiert Dir d'Adress an de Präfix. Um LAN sicht Dir an der Léasingsdatebank. Um Gateway listet Dir d'Pools op, déi en konfiguréiert ass auszeginn. Eng Adress aus der Léasingsdatei gehéiert engem DHCP-Server, dat heescht den Tunnel ass gebréckt oder relaid; eng Adress, déi nëmmen am Gateway-Pool ze fannen ass, gehéiert dem Tunnel-Endpunkt.

# client: address and prefix on the tunnel interface
ip -4 addr show dev tun0

# LAN DHCP server: is this address leased to anyone?
grep -c '10.80.0.14' /var/lib/dhcp/dhcpd.leases

# gateway: pools that remote-access clients draw from
sudo swanctl --list-pools

Notéiert véier Saachen, wann d'Äntwert kloer ass: wéi eng Komponent d'Clientadress zoudeelt, wéi ee Beräich dofir reservéiert ass, wéi de Récktrafic dee Beräich erreecht a wéi eng Ressourcen en unhuelen. Déi véier Anträg maachen aus enger Zeil vum virtuelle Adapter eng operationell Tatsaach.

Widderhëlt d'Kontroll fir den DNS-Attribut, wärend Dir do sidd. E Pool, deen Adressen ouni Resolver gëtt, léisst de Client op sengem lokalen DNS, wat en anere Feeler ass wéi e Pool, deen eng Adress gëtt, déi d'LAN schonn notzt.

Ähnlech Artikelen