Зошто две локации со иста подмрежа не се еден LAN

Две канцеларии и двете користат 192.168.77.0/24, и некој предлага тунел за да бидат една мрежа. Оваа фраза звучи едноставно и крие три различни дизајни: две независни LAN што се судираат, еден намерно продолжен Ethernet сегмент преку WAN и proxy-ARP поставеност што одговара за далечни адреси. Кој од нив го имате одлучува што прави домаќинот со пакетот, а одговорот е видлив пред да се вклучи VPN портата.

Домаќинот одлучува пред рутерот

Домаќин со адреса 192.168.77.10/24 го споредува одредиштето со сопствениот префикс. Сe што е во тој префикс е на директна врска, па домаќинот директно ја решава адресата од слојот на врска на одредиштето. Сe што е надвор оди на стандардната порта.

Таа одлука се случува во стекот на домаќинот, не во тунелот. Рута додадена на портата не може да спаси пакет што домаќинот никогаш не го праќа таму.

Затоа кога 192.168.77.20 постои само на другата локација, локалниот домаќин го бара преку ARP и не добива одговор. VPN ракувањето може да биде сосема здраво додека ова не успева. Дефектот изгледа како мртов домаќин, а не како проблем со рутирање. Препознавањето на тој потпис заштедува еден час отстранување грешки во тунелот.

ARP е прашање на локална врска

ARP прашува чија е адресата на оваа врска, а одговорот мора да дојде од нешто што го слуша емитувањето. Рутер на другиот крај на IPsec тунел не го слуша, освен ако дизајнот не ги направи двете локации еден домен на емитување.

Два уреди со иста адреса го влошуваат тоа: дури и успешно решавање не може да каже кој одговорил.

Дупликат адресирање не е грешка во рутирањето и ниту една рута не го поправа. Или локациите се пренумерираат во различни префикси, или намерно стануваат еден домен на слојот на врска.

Продолжен сегмент носи рамки, не рути

Тунел што носи Ethernet и е поврзан со мостови ги прави двете локации дел од еден домен на слојот на врска. ARP емитувањата стигнуваат до другата страна, и секој мост учи кои MAC адреси се каде. Документацијата за мостот во Linux го опишува тоа предавање засновано на MAC.

Овде далечната порта воопшто не рутира помеѓу две идентични подмрежи. Рамките поминуваат низ подлога што сама рутира IP, додека мостовите го продолжуваат Ethernet разговорот.

Цената е поголем радиус на влијание. Поплавата кон непознати одредишта, јамките, распределбата на DHCP и единственото адресирање сите бараат еден план што ги опфаќа двете локации. Кога WAN ќе падне, домаќините губат сообраќај што го сметаат за локален. Филтрирањето на мостот и VLAN правилата можат да ограничат што поминува, но преносот сепак не ветува дека секоја локална контролна рамка ќе стигне.

Proxy ARP е трет дизајн

Рутер може да одговори на ARP за далечна адреса и потоа да рутира кон неа. Тоа го прави далечниот домаќин да изгледа на директна врска за испраќачот без да се протега домен на емитување.

Тоа е потесен алат од мостувањето: зависи од предавањето, повратните рути и јасен сопственик за секоја адреса.

Тој исто така не ги прави произволните не-IP протоколи рутирачки и не репродуцира домен на емитување Ethernet. Користете го кога барањето е точно таа замена, не како кратенка за одложено пренумерирање.

Изберете според барањето, потоа проверете

За вообичаен пристап до апликации меѓу канцеларии, различните префикси и експлицитните рути даваат појасна граница. Мостете кога барањето е навистина соседство на слојот на врска. Пренумерирајте кога единствената причина за заедничкиот префикс е што никој сепак не го направил.

Потврдете кој дизајн всушност го имате прашувајќи го домаќинот што прави со одредиштето:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Резултат на директна врска со неуспешен запис за сосед укажува на отсутна патека на слојот на врска. via резултат ја именува портата и го преместува прашањето во рутирање. На мост, проверете ја базата на податоци за предавање за да видите дали MAC е научена преку тунелот. Секој излез го стеснува прашањето за дизајнот наместо да го започнува повторно.