VPN клиент со LAN адреса не е на LAN

Клиентот се поврзува, добива 10.50.0.200 и не може да го достигне серверот на 10.50.0.20 иако двата броја се во истата /24. Верувањето зад оваа конфигурација е дека адреса од префиксот на LAN го прави клиентот дел од LAN. Не го прави. Клиентот е на точка-до-точка врска, серверот смета дека одредиштето е локално, а делот што недостасува е одговор од сосед што никој не го испраќа.

Мит: истиот префикс значи истиот сегмент

Префиксот на адресата му кажува на домаќинот кои одредишта може да ги достигне директно и кои бараат рутер. Не му кажува како одредиштето е физички поврзано и сигурно не гарантира дека одредиштето може да одговори на барање на слојот на врската. Тоа се различни прашања на кои одговараат различни табели на домаќинот. Маската одговара на првото, табелата на соседи на второто, и само првото е под ваша контрола од страната на VPN.

Кога серверот испраќа до 10.50.0.200, го споредува одредиштето со сопствената маска, одлучува дека адресата е on-link и го прашува локалниот сегмент за хардверската адреса што ја поседува. Тоа барање излегува на Ethernet интерфејсот, а VPN клиентот не е таму за да го слушне.

Ништо во конфигурацијата на клиентот не може да го поправи тоа од негова страна. Патот на одговорот зависи од тоа уред во LAN да одговори во името на клиентот, или клиентот да има адреса што серверот не ја смета за локална.

Што всушност прави локалниот домаќин со адресата

Однесувањето е лесно да се набљудува и вреди да се набљудува пред да смените нешто. Погледнете ја табелата на соседи на домаќин во LAN откако се обидел да го достигне клиентот: нецелосен или неуспешен запис е целата дијагноза во еден ред. Тој ред ви кажува и дека дефектот е локален за сегментот, а не некаде во тунелот.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Барањето на рута ќе го пријави одредиштето како on-link низ Ethernet интерфејсот, и тоа е точно проблемот. Ако записот за соседот остане нецелосен додека VPN сесијата е активна, потврдивте дека делот што недостасува е резолуција на слојот на врската, а не рутирање или политика на огнениот ѕид.

Изведете ја истата проверка од домаќин во друга подмрежа и споредете. Домаќинот што го достигнува клиентот низ рутер воопшто не му треба запис за сосед, и таа разлика е дизајнерската одлука во мал формат.

Како proxy ARP обезбедува следен скок

proxy ARP го прави портата да одговори на барањето на слојот на врската во името на одредиште до кое може да стигне низ друг интерфејс. Домаќинот во LAN добива хардверска адреса, ја испраќа рамката до портата, и портата го препраќа пакетот во VPN сесијата. Од гледна точка на домаќинот клиентот едноставно изгледа како да е зад портата. Ништо во конфигурацијата на клиентот не се менува.

Документацијата на RouterOS за ARP од MikroTik го опишува тоа користење за dial-in клиенти што го позајмуваат адресниот простор на поврзаниот LAN. Механизмот е поправка на резолуцијата на соседи, и работи затоа што портата навистина е на двата патишта.

Ова не е исто како да го премостувате клиентот во LAN. Портата сѐ уште мора да го препрати пакетот до вистинската активна сесија, и нејзиното рутирање и политика на огнениот ѕид сѐ уште мора да ја дозволуваат услугата. proxy ARP го менува тоа кој одговара на барањето на соседот, не кој смее да зборува.

Читајте ги внимателно имињата на режимите на платформата. RouterOS го одделува proxy-arp од local-proxy-arp, и вториот се справува со сообраќај што влегува и излегува низ истиот интерфејс. Тоа не се заменливи правописи, и вклучувањето на двете без разлика не е кратенка.

Што не ви дава proxy ARP

Не обезбедува откривање преку broadcast или multicast. Клиент што треба да најде услуга преку broadcast сѐ уште ќе пропадне, зашто портата препраќа unicast во сесијата и не го прави клиентот член на broadcast доменот на LAN. Протоколите за откривање што зависат од broadcast се чест извор на извештаи дека работи за едно, а не за друго во дизајни со позајмени адреси.

Не ја резервира адресата. Ако позајмениот број е и во DHCP базен или статична додела, два уреда можат да завршат со иста адреса, а резултантното однесување зависи од времето. Успешното најавување не е резервација.

И не ја отстранува потребата од координација со сопственикот на LAN. Запис на proxy ARP што го изненадува сопственикот на планот за адреси е инцидент за поддршка што чека тивка недела.

Споредба со одделно рутиран базен

Алтернативата е да им дадете на VPN клиентите сопствен префикс и да дозволите домаќините во LAN да рутираат кон него. Тогаш серверот испраќа off-link одговори до својата порта, портата го рутира префиксот до крајната точка на VPN, и на LAN сегментот воопшто не е потребна резолуција на соседи. Тоа е помалку подвижни делови од позајмена адреса плус proxy одговор.

Тој дизајн е полесен за размислување и полесен за ревизија, зашто опсегот на клиентите е видливо одделен од опсегот на LAN. Тој чини една рута, повратен пат и правило за пристап, истите работи што дизајнот со proxy ARP ги бара на помалку очигледно место.

Изберете меѓу моделите намерно, а не случајно. proxy ARP поправа една конкретна врска; рутираниот базен ја отстранува потребата од таа поправка. Запишете што избравте и зошто, и следниот човек нема да мора да го открие одново од неуспешен запис за сосед.