LAN хаягтай VPN клиент LAN дээр байхгүй

Клиент холбогдож, 10.50.0.200 авдаг ч хоёр тоо нэг /24-т байгаа хэдий ч 10.50.0.20 дахь серверт хүрч чадахгүй. Энэ тохиргооны цаана LAN префиксээс авсан хаяг клиентийг LAN-ийн нэг хэсэг болгоно гэсэн итгэл байна. Тийм болохгүй. Клиент цэгээс цэг рүү холбоос дээр, сервер очих газрыг локал гэж үзэж, дутуу хэсэг нь хэн ч илгээдэггүй хөршийн хариу юм.

Домог: ижил префикс гэдэг ижил сегмент гэсэн үг

Хаягийн префикс хостод аль очих газарт шууд хүрч болох, алинд нь маршрутлагч хэрэгтэйг хэлнэ. Энэ нь очих газар физикээр хэрхэн холбогдсоныг хэлэхгүй бөгөөд очих газар холбоосын давхаргын хүсэлтэд хариулж чадна гэдгийг ч батлахгүй. Эдгээр нь өөр өөр асуулт бөгөөд хост дээрх өөр өөр хүснэгт хариулдаг. Маск эхнийд, хөршийн хүснэгт хоёр дахьд хариулдаг бөгөөд зөвхөн эхнийх нь VPN талаас таны хяналтад байна.

Сервер 10.50.0.200 рүү илгээхдээ очих газрыг өөрийн масктай харьцуулж, хаягийг on-link гэж шийдээд, түүний эзэмшдэг техник хангамжийн хаягийг локал сегментээс асууна. Тэр хүсэлт Ethernet интерфэйсээр гарч, VPN клиент түүнийг сонсох газар байхгүй.

Клиентийн тохиргоонд юу ч үүнийг өөрийн талаас засахгүй. Хариуны зам нь LAN дахь төхөөрөмж клиентийн оронд хариулах, эсвэл клиент сервер локал гэж үздэггүй хаягтай байхаас хамаарна.

Локал хост хаягтайгаа үнэхээр юу хийдэг

Зан төлөвийг ажиглахад хялбар бөгөөд ямар нэгэн зүйл өөрчлөхөөс өмнө ажиглах нь зүйтэй. LAN хост клиентэд хүрэх гэж оролдсоны дараа түүний хөршийн хүснэгтийг хараарай: дутуу эсвэл бүтэлгүй бичлэг нь нэг мөрөнд бүх онош юм. Тэр мөр нь гэмтэл сегментэд локал бөгөөд туннелийн дотор хаа нэгтээ биш гэдгийг ч хэлнэ.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Маршрутын хайлт очих газрыг Ethernet интерфэйсээр on-link гэж мэдээлнэ, яг энэ нь асуудал. VPN сесс ажиллаж байх үед хөршийн бичлэг дутуу хэвээр байвал та дутуу хэсэг нь холбоосын давхаргын шийдэл бөгөөд маршрутлалт эсвэл галт ханын бодлого биш гэдгийг баталсан.

Мөн ажиллагааг өөр дэд сүлжээний хостоос хийж харьцуулаарай. Маршрутлагчаар дамжуулан клиентэд хүрдэг хостод хөршийн бичлэг огт хэрэггүй бөгөөд энэ ялгаа нь жижиг хэмжээний дизайны шийдвэр юм.

proxy ARP дараагийн үсрэлтийг хэрхэн өгдөг

proxy ARP нь гарцыг өөр интерфэйсээр хүрч болох очих газрын оронд холбоосын давхаргын хүсэлтэд хариулахыг албаддаг. LAN хост техник хангамжийн хаяг авч, фрэймийг гарц руу илгээж, гарц пакетыг VPN сесс рүү дамжуулна. Хост-ийн өнцгөөс клиент зүгээр л гарцын ард байгаа мэт харагдана. Клиентийн тохиргоонд юу ч өөрчлөгдөхгүй.

MikroTik-ийн RouterOS ARP баримт бичиг холбогдсон LAN-ийн хаягийн орон зайг зээлдэг dial-in клиентүүдэд энэ хэрэглээг тайлбарладаг. Механизм нь хөршийн шийдлийн засвар бөгөөд гарц үнэхээр хоёр зам дээр байдаг тул ажилладаг.

Энэ нь клиентийг LAN руу гүүрээр холбохтой ижил биш. Гарц пакетыг зөв идэвхтэй сесс рүү дамжуулах ёстой хэвээр, түүний маршрутлалт, галт ханын бодлого үйлчилгээг зөвшөөрөх ёстой хэвээр. proxy ARP нь хөршийн хүсэлтэд хэн хариулахыг өөрчилдөг, хэн ярих эрхтэйг биш.

Платформын горимын нэрсийг анхааралтай уншина уу. RouterOS proxy-arp-ийг local-proxy-arp-оос ялгадаг бөгөөд хоёр дахь нь ижил интерфэйсээр орж гарч буй урсгалыг хариуцдаг. Эдгээр нь сольж болох бичиглэл биш бөгөөд хоёуланг нь ялгаваргүйгээр асаах нь богино зам биш.

proxy ARP танд юу өгөхгүй вэ

Энэ нь broadcast эсвэл multicast илрүүлэлт өгдөггүй. broadcast-аар үйлчилгээ олох шаардлагатай клиент бүтэлгүй хэвээр байх болно, учир нь гарц unicast-ыг сесс рүү дамжуулж, клиентийг LAN-ийн broadcast домэйны гишүүн болгодоггүй. broadcast-д тулгуурласан илрүүлэлтийн протоколууд нь зээлийн хаягийн дизайнд «нэг зүйлд ажилладаг, нөгөөд ажиллахгүй» гэсэн мэдээллийн нийтлэг эх сурвалж юм.

Энэ нь хаягийг захиалдаггүй. Зээлсэн дугаар DHCP сан эсвэл статик хуваарилалтад байвал хоёр төхөөрөмж ижил хаягтай болж, үр дүнгийн зан төлөв хугацаанаас хамаарна. Амжилттай нэвтрэлт нь захиалга биш.

Мөн LAN-ийн эзэнтэй зохицуулах шаардлагаас чөлөөлөхгүй. Хаягийн төлөвлөгөөний эзнийг гайхшруулсан proxy ARP бичлэг бол тайван долоо хоногийг хүлээж буй дэмжлэгийн тохиолдол юм.

Тусдаа маршрутлагдсан сантай харьцуулалт

Өөр хувилбар нь VPN клиентүүдэд өөрийн префикс өгч, LAN хостод тэр рүү маршрутлахыг зөвшөөрөх юм. Тэгвэл сервер өөрийн гарц руу off-link хариу илгээж, гарц префиксийг VPN-ийн төгсгөлийн цэг рүү маршрутлаж, LAN сегмент дээр хөршийн шийдэл огт хэрэггүй болно. Энэ нь зээлсэн хаяг дээр proxy хариу нэмснээс цөөн хөдөлгөөнтэй хэсэг юм.

Тэр дизайны талаар бодох, аудит хийхэд хялбар, учир нь клиентийн хүрээ LAN-ийн хүрээнээс харагдахуйц тусдаа. Энэ нь нэг маршрут, буцах зам, нэвтрэх дүрэм шаарддаг бөгөөд proxy ARP дизайн бага илт газарт шаарддаг зүйлс юм.

Моделиудын хооронд санаатайгаар сонго, тохиолдлоор биш. proxy ARP нэг тодорхой харилцааг засдаг; маршрутлагдсан сан тэр засварын хэрэгцээг арилгадаг. Аль нэгийг сонгосон, яагаад гэдгээ бичээрэй, дараагийн хүн үүнийг бүтэлгүй хөршийн бичлэгээс дахин нээх шаардлагагүй.