DHCP преку VPN: да се премости емитувањето или да се препрати?

Нов лаптоп од другата страна на тунелот не добива адреса, додека истиот лаптоп работи во централата. Вообичаената прва претпоставка е дека тунелот го блокира DHCP. Почесто емитувањето никогаш немало пат: неконфигуриран клиент испраќа до 255.255.255.255, а обичен IP рутер не го препраќа тој пакет. Тунелот го прави токму она што го прави рутиран тунел.

Два дизајни можат да го сменат тоа и не се еквивалентни. Едниот го носи емитувањето; другиот го препраќа барањето.

Емитувањето никогаш не го преминува рутерот

DHCPv4 клиент без адреса испраќа од 0.0.0.0 до ограничената адреса за емитување на UDP портите 67 и 68. Тој пакет по дизајн останува на својот линк. Рутер што би го препратил би го поплавил секој сегмент што го опслужува.

Затоа рутиран тунел од локација до локација го поврзува релето со сервер. Тој не го проширува доменот на емитување на клиентот, и ниедно правило на огнениот ѕид тоа нема да го направи.

Што всушност проширува премостениот тунел

Намерно премостен VPN може да носи Ethernet емитување во рамките на својата поддржана топологија, и тогаш DHCP може да помине како локален сообраќај. Тоа е вистинска опција, но е дизајнерски избор на слој 2. Го проширувате доменот на дефекти и границата за пристап заедно со емитувањето.

Премостувањето го менува и тоа до каде можат да стигнат емитувачка бура, ARP скенирање или лажен DHCP сервер. Ако не би ја вклучиле оддалечената канцеларија во истиот прекинувач, не премостувајте го тунелот само за да делите адреси. Тестирајте го тој радиус на влијание пред да го овозможите.

Тоа е поголема одлука од обезбедување адреса, и треба да се донесе свесно.

Наместо тоа препратете го барањето

Вообичаениот одговор е реле во локалната мрежа на клиентот. Го прима емитувањето, го претвора во unicast барање и ја става сопствената адреса во полето за адреса на портата. Серверот одговара на таа адреса на релето.

За илустративна оддалечена канцеларија, релето стои во LAN на канцеларијата, а серверот се достигнува преку VPN на локацијата. Конфигурирајте го опсегот за таа канцеларија, идентитетите на релето и серверот, и целосниот повратен пат. Дозволувањето UDP 67 низ тунелот не му кажува на серверот кој базен да го користи.

Реле што препраќа но никогаш не добива одговор е обично проблем со повратниот пат. Проверете ја рутата назад до адресата на релето пред да го смените опсегот.

Одвојте го DHCP од ARP и од адресирањето на тунелот

DHCP работи преку UDP/IP. На Ethernet, домаќин може да користи и ARP за да провери дали кандидат-адресата е веќе во употреба. Таа проверка на конфликт е одделна локална операција на линкот, не транспортот за DHCP пораките. Да се каже дека DHCP е во суштина ARP е погрешно; да се каже дека двете никогаш не се поврзани е прешироко.

VPN клиент може да ја добие адресата на тунелот и од VPN протоколот или од сопствениот базен на серверот, наместо од DHCP емитување. Опција чие име содржи DHCP може да опишува туркани поставки на клиентот, а не препратено DHCP пакет. Проверете го базенот на серверот пред да претпоставите дека DHCP воопшто е вклучен.

Запишете ја мрежата на примачот, сопственикот на доделувањето, опсегот, дали постои реле и очекуваното однесување при прекин. Потоа тестирајте нов закуп и обновување низ тој модел. Ако две локации можат да го опслужуваат истиот неуправуван базен, имате конфликт што чека првиот патувачки лаптоп.