E VPN-Client mat enger LAN-Adress ass net um LAN

De Client verbënnt sech, kritt 10.50.0.200 a kann den Server op 10.50.0.20 net erreechen, obwuel béid Zuelen an der selwechter /24 sinn. D’Iwwerzeegung hannert dëser Konfiguratioun ass, datt eng Adress aus dem LAN-Prefix de Client zu engem Deel vum LAN mécht. Dat mécht se net. De Client ass op engem Punkt-zu-Punkt-Link, de Server mengt d’Zil wier lokal, an dat feelend Stéck ass eng Noper-Äntwert, déi keen schéckt.

De Mythos: dee selwechte Prefix heescht dee selwechte Segment

En Adressprefix seet engem Host, wéi eng Ziler en direkt erreeche kann a wéi eng e Router brauchen. En seet dem Host net, wéi d’Zil physikalesch ugeschloss ass, an et garantéiert sécher net, datt d’Zil op eng Ufro op der Link-Schicht äntwere kann. Dat sinn ënnerschiddlech Froen, déi vun ënnerschiddlechen Tabelle um Host beäntwert ginn. D’Mask beäntwert déi éischt an d’Nopertabell déi zweet, an nëmmen déi éischt ass vun der VPN-Säit aus an Ärer Kontroll.

Wann de Server op 10.50.0.200 schéckt, vergläicht en d’Zil mat senger eegener Mask, entscheet datt d’Adress on-link ass, a freet de lokale Segment no der Hardwareadress, déi se huet. Dee Request geet iwwer d’Ethernet-Interface eraus, an de VPN-Client ass net do fir en ze héieren.

Näischt an der Konfiguratioun vum Client kann dat vu senger Säit aus reparéieren. De Äntwertswee hänkt dovun of, datt en Apparat um LAN amplaz vum Client äntwert, oder dovun, datt de Client eng Adress huet, déi de Server net als lokal ugesäit.

Wat den lokalen Host tatsächlech mat der Adress mécht

D’Verhalen ass einfach ze observéieren an et ass derwäert, et ze observéieren ier Dir eppes ännert. Kuckt op engem LAN-Host an d’Nopertabell nodeems en probéiert huet, de Client z’erreechen: en onvollstännegen oder feelgeschloenen Aschreiwung ass déi ganz Diagnos an enger Linn. Déi Linn seet Iech och, datt de Feeler lokal fir de Segment ass an net irgendwou am Tunnel.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

D’Routsich mellt d’Zil als on-link iwwer d’Ethernet-Interface, an dat ass genee de Problem. Wann d’Noperaschreiwung onvollstänneg bleift, während d’VPN-Sessioun leeft, hutt Dir confirméiert, datt dat feelend Stéck d’Opléisung op der Link-Schicht ass an net Routing oder Firewall-Politik.

Maacht déiselwecht Kontroll vun engem Host an engem aneren Subnetz a vergläicht. En Host, deen de Client iwwer e Router erreecht, brauch guer keng Noperaschreiwung, an dee Ënnerscheed ass d’Designentscheedung am Klengen.

Wéi proxy ARP en nächsten Hop liwwert

proxy ARP mécht, datt de Gateway d’Ufro op der Link-Schicht amplaz vun engem Zil beäntwert, dat en iwwer eng aner Interface erreeche kann. Den LAN-Host kritt eng Hardwareadress, schéckt de Frame un de Gateway, an de Gateway leet de Paket an d’VPN-Sessioun weider. Aus der Siicht vum Host gesäit de Client einfach aus wéi hannert dem Gateway. Näischt un der Konfiguratioun vum Client ännert sech.

D’RouterOS ARP-Dokumentatioun vu MikroTik beschreift dee Gebrauch fir Dial-in-Cliente, déi den Adressraum vum ugeschlossene LAN léinen. De Mechanismus ass eng Reparatur vun der Noperopléisung, an en funktionéiert, well de Gateway wierklech op béide Weeër ass.

Dat ass net datselwecht wéi de Client an d’LAN ze brécken. De Gateway muss de Paket nach ëmmer un déi richteg aktiv Sessioun weiderleeden, an seng Routing- a Firewallpolitik muss de Service nach ëmmer erlaben. proxy ARP ännert, wien op d’Noperufro äntwert, net wien dierf schwätzen.

Liest d’Modusnimm vun der Plattform suergfälteg. RouterOS trennt proxy-arp vun local-proxy-arp, an deen zweeten handelt Traffic, deen duerch déiselwecht Interface erakënnt an erausgeet. Dat sinn net austauschbar Schreiweisen, an béid ouni Ënnerscheed anzeschalten ass keen Ofkierzung.

Wat proxy ARP Iech net gëtt

Et gëtt keng Broadcast- oder Multicast-Entdeckung. E Client, deen e Service iwwer Broadcast muss fannen, wäert nach ëmmer feelen, well de Gateway Unicast an d’Sessioun weiderleet an de Client net zu engem Member vum Broadcast-Domän vum LAN mécht. Entdeckungsprotokoller, déi op Broadcast setzen, sinn eng heefeg Quell vu Berichter, datt et fir eng Saach funktionéiert an fir déi aner net, an Designe mat geléinten Adressen.

Et reservéiert d’Adress net. Wann déi geléint Nummer och an engem DHCP-Pool oder enger statescher Zouweisung ass, kënnen zwee Apparater déiselwecht Adress kréien an d’Resultat hänkt vum Timing of. Eng erfollegräich Umeldung ass keng Reservatioun.

An et hëlt net d’Noutwennegkeet ewech, sech mam Besëtzer vum LAN ofzestëmmen. Eng proxy ARP-Aschreiwung, déi de Besëtzer vum Adressplang iwwerrascht, ass en Supportfall, deen op eng roueg Woch waart.

Verglach mat engem separat gerouteten Pool

D’Alternativ ass, de VPN-Cliente säin eegene Prefix ze ginn an d’LAN-Hosten dohinner route ze loossen. Dann schéckt de Server off-link Äntwerten u säi Gateway, de Gateway routet de Prefix zum VPN-Endpunkt, an um LAN-Segment ass guer keng Noperopléisung néideg. Dat sinn manner beweeglech Deeler wéi eng geléint Adress plus eng proxy-Äntwert.

Dee Design ass méi einfach ze durchdenken a méi einfach ze auditieren, well de Clientberäich sichtbar vum LAN-Beräich getrennt ass. En kascht eng Route, en Zréckwee an eng Zougangsregel, déi selwecht Saachen, déi den proxy ARP-Design op enger manner offensichtlecher Plaz brauch.

Wielt bewosst tëscht de Modeller an net zoufälleg. proxy ARP reparéiert eng bestëmmt Bezéiung; e geroutete Pool vermeit d’Noutwennegkeet vun där Reparatur. Schreift op, wat Dir gewielt hutt a firwat, an déi nächst Persoun muss et net aus enger feelgeschloener Noperaschreiwung nei entdecken.