Нэг дэд сүлжээтэй хоёр газар яагаад нэг LAN биш вэ

Хоёр оффис хоёулаа 192.168.77.0/24-ийг ашигладаг бөгөөд хэн нэгэн тэднийг нэг сүлжээ болгохын тулд туннель санал болгодог. Энэ өгүүлбэр энгийн сонсогддог ч гурван өөр загварыг нуудаг: мөргөлддөг хоёр бие даасан LAN, WAN-ыг дамнан санаатай сунгасан Ethernet сегмент, алслагдсан хаягуудын оронд хариулдаг proxy-ARP зохицуулалт. Аль нь байгаагаас хамаарч хост пакетыг хэрхэн зохицуулахыг тодорхойлдог бөгөөд хариулт нь VPN гарц оролцохоос өмнө харагдана.

Хост чиглүүлэгчээс өмнө шийддэг

192.168.77.10/24 хаягтай хост очих газрыг өөрийн префикстэй харьцуулдаг. Тэр префиксийн дотор байгаа бүхэн шууд холбоос дээр байдаг тул хост очих газрын холбоосын түвшний хаягийг шууд шийддэг. Гадна байгаа бүхэн өгөгдмөл гарц руу явдаг.

Энэ шийдвэр туннельд биш, хотын стек дотор гардаг. Гарц дээр нэмсэн маршрут хост хэзээ ч илгээдэггүй пакетыг аварч чадахгүй.

Тиймээс 192.168.77.20 зөвхөн нөгөө газарт байгаа бол орон нутгийн хост үүнийг ARP-аар асууж, хариу авдаггүй. VPN гар барилт бүрэн эрүүл байж болох ч энэ нь бүтэлгүйтдэг. Алдаа нь чиглүүлэлтийн асуудал мэт биш, үхсэн хост мэт харагддаг. Энэ шинж тэмдгийг таних нь туннелийн алдаа засахад нэг цаг хэмнэдэг.

ARP бол орон нутгийн холбоосын асуулт

ARP энэ холбоос дээр хаяг хэнд хамаарахыг асуудаг бөгөөд хариулт нь нэвтрүүлэлтийг сонсож чадах зүйлээс ирэх ёстой. IPsec туннелийн нөгөө үзүүр дээрх чиглүүлэгч загвар хоёр газрыг нэг нэвтрүүлэлтийн домэйн болгохгүй л бол үүнийг сонсдоггүй.

Нэг хаягтай хоёр төхөөрөмж байдлыг улам хүндрүүлдэг: амжилттай шийдэл ч аль нь хариулсныг хэлж чадахгүй.

Давхардсан хаяглалт нь чиглүүлэлтийн алдаа биш бөгөөд ямар ч маршрут үүнийг засдаггүй. Эсвэл газруудыг өөр өөр префикс рүү дахин дугаарлана, эсвэл санаатайгаар нэг холбоосын түвшний домэйн болно.

Сунгасан сегмент кадруудыг зөөдөг, маршрутуудыг биш

Гүүртэй холбогдсон Ethernet зөөдөг туннель хоёр газрыг нэг холбоосын түвшний домэйны хэсэг болгодог. ARP нэвтрүүлэлтүүд нөгөө талд хүрдэг бөгөөд гүүр бүр аль MAC хаягууд хаана байгааг сурдаг. Linux гүүрний баримт бичиг тэр MAC-д суурилсан дамжуулалтын хил хязгаарыг тайлбарладаг.

Энд алслагдсан гарц хоёр ижил дэд сүлжээний хооронд огт чиглүүлдэггүй. Кадрууд IP-г өөрөө чиглүүлдэг доод давхаргыг дамждаг бол гүүрнүүд Ethernet яриаг сунгадаг.

Үнэ нь илүү том нөлөөний радиус юм. Танихгүй очих газар руу үерлэх, гогцоо, DHCP хуваарилалт, өвөрмөц хаяглалт бүгд хоёр газрыг хамарсан нэг төлөвлөгөө шаарддаг. WAN унахад хостнууд өөрсдийн орон нутгийн гэж үздэг урсгалыг алддаг. Гүүр дээрх шүүлт, VLAN дүрэм нь юу дамжихыг хязгаарлаж болох ч зөөвөрлөлт нь орон нутгийн хяналтын кадр бүр хүрнэ гэдгийг амладаггүй.

Proxy ARP бол гурав дахь загвар

Чиглүүлэгч алслагдсан хаягийн ARP-д хариулж, дараа нь тийш чиглүүлж болно. Энэ нь нэвтрүүлэлтийн домэйныг сунгахгүйгээр алслагдсан хотыг илгээгчид шууд холбоос дээр байгаа мэт харуулдаг.

Энэ нь гүүрлэлтээс илүү нарийн хэрэгсэл: дамжуулалт, буцах маршрут, хаяг бүрийн тодорхой эзэмшигчээс хамаардаг.

Энэ нь мөн дур зоргоороо IP бус протоколуудыг чиглүүлэх боломжтой болгодоггүй, Ethernet нэвтрүүлэлтийн домэйныг дахин үүсгэдэггүй. Шаардлага яг тэр орлуулалт байгаа үед ашиглаарай, хойшлуулсан дахин дугаарлалтын товч зам болгон биш.

Шаардлагаас сонгоод дараа нь баталгаажуул

Оффисуудын хоорондын энгийн програмын хандалтад өөр өөр префикс, тодорхой маршрут илүү тодорхой хил өгдөг. Шаардлага үнэхээр холбоосын түвшний хөршлөл байвал гүүрлэ. Хамтарсан префиксийн цорын ганц шалтгаан нь хэн ч үүнийг хийгээгүй байх нь бол дахин дугаарла.

Танд яг ямар загвар байгааг баталгаажуул хотоос очих газрыг хэрхэн зохицуулахыг асууж:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Амжилтгүй хөршийн бичлэгтэй шууд холбоосын үр дүн нь байхгүй холбоосын түвшний зам руу заадаг. via үр дүн гарцыг нэрлэж, асуултыг чиглүүлэлт рүү шилжүүлдэг. Гүүр дээр MAC туннелиар сурагдсан эсэхийг харахын тулд дамжуулалтын мэдээллийн санг шалга. Гаралт бүр загварын асуултыг дахин эхлүүлэхийн оронд нарийсгадаг.