VPN klientas su LAN adresu nėra LAN tinkle

Klientas prisijungia, gauna 10.50.0.200 ir negali pasiekti serverio 10.50.0.20, nors abu numeriai yra tame pačiame /24. Už šios konfigūracijos slypi įsitikinimas, kad adresas iš LAN prefikso padaro klientą LAN dalimi. Nedaro. Klientas yra taškas-taškas jungtyje, serveris mano, kad paskirties vieta yra vietinė, o trūkstama dalis yra kaimyno atsakymas, kurio niekas nesiunčia.

Mitas: tas pats prefiksas reiškia tą patį segmentą

Adreso prefiksas pasako mazgui, kurias paskirties vietas jis pasiekia tiesiogiai, o kurioms reikia maršrutizatoriaus. Jis nepasako, kaip paskirties vieta fiziškai prijungta, ir tikrai negarantuoja, kad ji galės atsakyti į jungties sluoksnio užklausą. Tai skirtingi klausimai, į kuriuos atsako skirtingos mazgo lentelės. Kaukė atsako į pirmąjį, kaimynų lentelė į antrąjį, ir tik pirmasis yra jūsų kontrolėje iš VPN pusės.

Kai serveris siunčia į 10.50.0.200, jis palygina paskirties vietą su savo kauke, nusprendžia, kad adresas yra on-link, ir paklausia vietinio segmento aparatinės įrangos adreso, kuris jam priklauso. Ta užklausa išeina per Ethernet sąsają, o VPN kliento ten nėra, kad ją išgirstų.

Niekas kliento konfigūracijoje negali to ištaisyti iš jo pusės. Atsakymo kelias priklauso nuo to, ar įrenginys LAN tinkle atsakys kliento vardu, ar klientas turės adresą, kurio serveris nelaiko vietiniu.

Ką vietinis mazgas iš tikrųjų daro su adresu

Elgesį lengva stebėti ir verta stebėti prieš ką nors keičiant. Pažiūrėkite į LAN mazgo kaimynų lentelę po to, kai jis bandė pasiekti klientą: neužbaigtas ar nepavykęs įrašas yra visa diagnozė vienoje eilutėje. Ta eilutė taip pat pasako, kad gedimas yra vietinis segmentui, o ne kažkur tunelyje.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Maršruto paieška praneš paskirties vietą kaip on-link per Ethernet sąsają, ir būtent tai yra problema. Jei kaimyno įrašas lieka neužbaigtas, kol VPN sesija veikia, jūs patvirtinote, kad trūkstama dalis yra jungties sluoksnio sprendimas, o ne maršrutizavimas ar ugniasienės politika.

Atlikite tą patį patikrinimą iš mazgo kitame posegmenyje ir palyginkite. Mazgui, kuris pasiekia klientą per maršrutizatorių, kaimyno įrašo visai nereikia, ir tas skirtumas yra dizaino sprendimas mažame mastelyje.

Kaip proxy ARP suteikia kitą šuolį

proxy ARP priverčia tinklų sietuvą atsakyti į jungties sluoksnio užklausą paskirties vietos, kurią jis gali pasiekti per kitą sąsają, vardu. LAN mazgas gauna aparatinės įrangos adresą, siunčia kadrą tinklų sietuvui, o šis perduoda paketą į VPN sesiją. Iš mazgo požiūrio klientas tiesiog atrodo esantis už tinklų sietuvo. Kliento konfigūracijoje niekas nesikeičia.

MikroTik RouterOS ARP dokumentacija aprašo šį naudojimą dial-in klientams, kurie skolinasi prijungto LAN adresų erdvę. Mechanizmas yra kaimynų sprendimo taisymas, ir jis veikia todėl, kad tinklų sietuvas tikrai yra abiejuose keliuose.

Tai ne tas pats, kas prijungti klientą prie LAN tiltu. Tinklų sietuvas vis tiek turi perduoti paketą į teisingą aktyvią sesiją, o jo maršrutizavimas ir ugniasienės politika vis tiek turi leisti paslaugą. proxy ARP keičia, kas atsako į kaimyno užklausą, o ne kas turi teisę kalbėti.

Atidžiai skaitykite platformos režimų pavadinimus. RouterOS atskiria proxy-arp nuo local-proxy-arp, o antrasis tvarko srautą, kuris įeina ir išeina per tą pačią sąsają. Tai nėra keičiamos rašybos, ir abiejų įjungimas be atrankos nėra trumpasis kelias.

Ko proxy ARP jums neduoda

Jis nesuteikia broadcast ar multicast aptikimo. Klientas, kuriam paslaugą reikia rasti per broadcast, vis tiek nepavyks, nes tinklų sietuvas perduoda unicast į sesiją ir nepadaro kliento LAN broadcast domeno nariu. Broadcast priklausomi aptikimo protokolai yra dažnas šaltinis pranešimų, kad vienam dalykui veikia, o kitam ne, projektuose su skolintais adresais.

Jis nerezervuoja adreso. Jei skolintas numeris taip pat yra DHCP telkinyje arba statiniame priskyrime, du įrenginiai gali gauti tą patį adresą, o rezultatas priklauso nuo laiko. Sėkmingas prisijungimas nėra rezervacija.

Ir jis nepanaikina poreikio derintis su LAN savininku. proxy ARP įrašas, nustebinantis adresų plano savininką, yra palaikymo incidentas, laukiantis ramios savaitės.

Palyginimas su atskirai maršrutizuotu telkiniu

Alternatyva yra duoti VPN klientams savo prefiksą ir leisti LAN mazgams maršrutizuoti į jį. Tada serveris siunčia off-link atsakymus savo tinklų sietuvui, šis maršrutizuoja prefiksą į VPN galinį tašką, o LAN segmente kaimynų sprendimo visai nereikia. Tai mažiau judančių dalių nei skolintas adresas plius proxy atsakymas.

Toks dizainas lengviau apgalvojamas ir lengviau audituojamas, nes klientų diapazonas matomai atskirtas nuo LAN diapazono. Jis kainuoja maršrutą, grįžimo kelią ir prieigos taisyklę, tuos pačius dalykus, kurių proxy ARP dizainui reikia mažiau akivaizdžioje vietoje.

Rinkitės tarp modelių sąmoningai, o ne atsitiktinai. proxy ARP suremontuoja vieną konkretų santykį; maršrutizuotas telkinys pašalina to remonto poreikį. Užrašykite, ką pasirinkote ir kodėl, ir kitam žmogui nereikės to iš naujo atrasti iš nepavykusio kaimyno įrašo.