Äre VPN-Pool ass net den DHCP-Beräich vum LAN: firwat et brécht

Déi verlockend Ofkierzung ass, VPN-Clienten Adressen aus deem selwechte Beräich ze ginn, deen den DHCP-Server vum Büro benotzt, mat der Theorie, datt alles jo souwisou ee Netz ass. Et ass net. En gerouteten Tunnel transportéiert Unicast-Paketen tëscht zwéin Endpunkten, während de LAN-Pool do ass, fir Broadcast-Ufroen op engem physesche Segment ze beäntweren. D'Zuelen nach eng Kéier ze benotzen setzt zwee Verdeeler verantwortlech fir een Adressraum an lässt de Retourwee ondefinéiert.

Zwee Verdeeler, een Adressraum

Den DHCP-Server vum LAN weess, wéi eng Adressen hien verluet huet a wiem senger MAC-Adress, an hie verdeedegt se mat ARP. De VPN-Server huet sengen eegene Pool a weess näischt iwwer déi Locatiounen. Keen vun deenen zwee läit falsch; si goufen einfach ni mateneen bekannt gemaach.

Eng Adress aus dem LAN-Pool, déi de VPN-Server ausgëtt, kann schonn engem Drécker gehéieren. Elo behaapten zwee Geräter eng Adress um selwechte Prefix, an d'Weiderleitungstabell vum Switch entscheet, wien äntwert.

Dat ass dee Feeler, op deen d'Leit als éischt stoussen: en Client, deen erfollegräich verbënnt an duerno op déi falsch Maschinn kënnt, oder op déi richteg just heiansdo.

Firwat de Router keng VPN-Adressen ausgëtt

DHCP-Entdeckung ass e Broadcast, a Broadcasten hale bei enger gerouteter Grenz op. Ausser den Design bréckt den Tunnel oder bréngt en DHCP-Relay mat passender Autoritéit, erreecht d'Ufro vum Client ni de LAN-Server.

Dofir gëtt de VPN-Server d'Adress selwer: e Pool an der Serverkonfiguratioun, eng Adress pro Peer an enger WireGuard-Astellung, oder eng Adress, déi d'Authentifikatiounsschicht an enger IKEv2-Asetzung duerchdréckt. Dës Mechanisme si vun der Locatiounsdatebank vum LAN onofhängeg, an genau dofir brauche si hiren eegene Beräich.

Déi selwecht Logik erkläert, firwat d'Ännerung vum DHCP-Beräich e VPN-Client net reparéiert, deen ni eng Adress kritt. De Client freet de LAN-Server net, an et gëtt keng Ännerung um Beräich, déi en dozou bréngt.

D'Iwwerdeckung weist sech als Konflikt, net als luesen Netz

Zwee Netzwierker, déi en Prefix deelen ouni en ënnerstëtzten Design, si en anere Problem wéi duebel Proprietéit, a si ginn oft verwiesselt. Wann de VPN-Pool en eegene Prefix ass, spillt d'Iwwerdeckung nëmmen eng Roll, wann eng Route Verkéier op déi falsch Säit schéckt. Wann de Pool bannent dem LAN-Prefix läit, ass de Konflikt direkt a lokal.

An der Praxis gesitt Dir ARP-Äntwerten vum falsche Gerät, Verbindungen, déi sech hallefwee zrécksetzen, an en Client, deem seng eegen Adress een aneren behaapt. Nichts dovu gesäit aus wéi e Routingproblem, dofir gëtt d'Korrektur op der falscher Schicht ugewannt. Eng duebel Locatioun ass einfach ze bestätegen an ustrengend domat ze liewen. Si iwwerlieft och Neistarts, well béid Verdeeler weider op der selwechter Adress behaapten.

De Retourwee ass e separate Problem

Och mat engem proppere, getrennte Pool musse LAN-Hosten wëssen, wéi si engem Client äntweren. Hire Standardgateway ass de Router, an de Router brauch eng Route fir de Pool, déi op de VPN-Server weist, ausser den Design iwwersetzt de Verkéier vum Client.

Liest de Wee a béide Richtungen, ier Dir eppes ännert. Um Gateway, freet, wéi eng Interface de Kernel fir eng Clientadress géif benotzen; um Client, freet, wéi eng Route en fir eng LAN-Adress benotzt.

Dës Kommandoe weisen d'Weiderleitungentscheedung um Gateway an d'Nopeschanträg, déi en Duplikat opdecken:

ip -4 route get 10.8.0.5
ip neigh show dev br-lan | grep 10.8
ip -4 route get 192.168.50.20

Wann déi éischt Kommando mat der Tunnel-Interface äntwert, gëtt et de Retourwee. Wann se mat der LAN-Interface äntwert, mengt de Router, de Client wier um Kabel, a probéiert ARP fir en.

Brécken-Designen gëtt et, awer si musse gewielt ginn

En Tunnel op de LAN brécken ass en echte Design, dee benotzt gëtt, wann Clienten Broadcasten empfänke mussen oder vu Protokoller entdeckt musse ginn, déi ee Segment unhuelen. Et verlaangt, datt de Server dës Bréckverhalen a d'Adressbehandlung, déi dozou gehéiert, besëtzt.

Wat net funktionéiert, ass d'Resultat ze imitéieren, andeem een d'Zuelen kopéiert. En gedeelte Pool ouni Bréck gëtt Iech de Konflikt ouni d'Entdeckung, wat dat Schlechtest vun deenen zwee Usuerdnungen ass.

Wielt Schicht dräi mat engem separate Pool, ausser d'Applikatioun brauch d'Segment wierklech, a dokumentéiert de Pool, sou datt den nächsten Administrateur den DHCP-Beräich net aus Uerdnungsléift erëm benotzt.