Таны VPN пул нь LAN-ын DHCP хүрээ биш: яагаад эвдэрдэг вэ

Уруу татдаг богино зам бол VPN клиентүүдэд оффисын DHCP сервер ашигладаг ижил хүрээнээс хаяг өгөх явдал бөгөөд бүгд нэг сүлжээ гэсэн таамаглал дээр тулгуурладаг. Гэвч тийм биш. Маршрутлагдсан туннель нь хоёр төгсгөлийн хооронд unicast пакет зөөдөг бол LAN пул нь физик сегмент дээр broadcast хүсэлтэд хариулах зорилготой. Ижил дугаарыг дахин ашиглах нь хоёр хуваарилагчийг нэг хаягийн орон зайд хариуцлагатай болгож, буцах замыг тодорхойгүй үлдээдэг.

Хоёр хуваарилагч, нэг хаягийн орон зай

LAN-ын DHCP сервер аль хаягийг аль MAC хаягт түрээсэлснээ мэддэг бөгөөд тэдгээрийг ARP-аар хамгаалдаг. VPN сервер өөрийн пултай бөгөөд тэдгээр түрээсийн талаар юу ч мэдэхгүй. Аль нь ч буруу биш; тэднийг зүгээр л хэзээ ч танилцуулаагүй.

VPN серверийн LAN пулаас өгсөн хаяг аль хэдийн принтерийн байж болно. Одоо хоёр төхөөрөмж нэг префикс дээр нэг хаягийг шаардаж, коммутаторын дамжуулах хүснэгт хэн хариулахаар шийднэ.

Энэ бол хүмүүсийн хамгийн түрүүнд тулгардаг эвдрэл: амжилттай холбогдоод дараа нь буруу машин дээр хүрэх клиент, эсвэл зөв машин дээр тасалдалтай хүрэх клиент.

Яагаад чиглүүлэгч VPN хаяг тараахгүй байдаг вэ

DHCP илрүүлэлт нь broadcast бөгөөд broadcast нь маршрутлагдсан хил дээр зогсдог. Хэрэв загвар туннелийг гүүрлэхгүй эсвэл зохих эрх бүхий DHCP релей ажиллуулахгүй бол клиентийн хүсэлт LAN серверт хэзээ ч хүрэхгүй.

Тиймээс VPN сервер хаягийг өөрөө оноодог: серверийн тохиргоо дахь пул, WireGuard тохиргоонд нөхөр бүрт нэг хаяг, эсвэл IKEv2 байршуулалтад баталгаажуулалтын түвшин түлхэж буй хаяг. Эдгээр механизм нь LAN-ын түрээсийн өгөгдлийн сангаас хамааралгүй бөгөөд яг ийм учраас тэдэнд өөрийн хүрээ хэрэгтэй.

Ижил логик нь DHCP хүрээг өөрчлөх нь хэзээ ч хаяг авдаггүй VPN клиентийг яагаад засахгүйг тайлбарладаг. Клиент LAN серверээс асуухгүй бөгөөд хүрээг хэрхэн засахаас үл хамааран түүнийг асуухад хүргэхгүй.

Давхцал нь удаан сүлжээ биш, зөрчил хэлбэрээр илэрдэг

Дэмжигдсэн загваргүйгээр нэг префиксийг хуваалцдаг хоёр сүлжээ нь давхар өмчлөлөөс өөр асуудал бөгөөд тэдгээрийг байнга андуурдаг. Хэрэв VPN пул нь тусдаа префикс бол давхцал нь маршрут трафикийг буруу тал руу илгээх үед л чухал. Хэрэв пул LAN префикс дотор байвал зөрчил нь шууд бөгөөд орон нутгийнх.

Практикт та буруу төхөөрөмжөөс ARP хариу, дунд нь дахин тохируулагдах холболт, өөрийн хаягийг өөр хэн нэгэн шаардаж буй клиентийг харна. Эдгээрийн аль нь ч чиглүүлэлтийн асуудал мэт харагдахгүй тул засварыг буруу түвшинд хэрэглэдэг. Давхар түрээс нь батлахад хялбар, хамт амьдрахад төвөгтэй. Энэ нь дахин ачааллаас ч амьд гардаг, учир нь хоёр хуваарилагч ижил хаягийг шаардсаар байна.

Буцах зам нь тусдаа асуудал

Цэвэр, тусдаа пултай ч LAN хостүүд клиентэд хэрхэн хариулахыг мэдэх ёстой. Тэдний анхдагч гарц нь чиглүүлэгч бөгөөд чиглүүлэгчид пулын хувьд VPN сервер рүү чиглэсэн маршрут хэрэгтэй, хэрэв загвар оронд нь клиентийн трафикийг хөрвүүлэхгүй бол.

Ямар нэгэн зүйлийг өөрчлөхөөс өмнө замыг хоёр чиглэлд уншина уу. Гарц дээр цөм клиентийн хаягт ямар интерфэйс ашиглахыг асуу; клиент дээр LAN хаягт ямар маршрут ашиглаж байгааг асуу.

Эдгээр команд нь гарц дээрх дамжуулах шийдвэр болон давхардлыг илчилдэг хөршийн бичлэгүүдийг харуулна:

ip -4 route get 10.8.0.5
ip neigh show dev br-lan | grep 10.8
ip -4 route get 192.168.50.20

Хэрэв эхний команд туннелийн интерфэйсээр хариулбал буцах маршрут байна. Хэрэв LAN интерфэйсээр хариулбал чиглүүлэгч клиентийг утсан дээр гэж үзэж, түүнд ARP хийхийг оролдоно.

Гүүрэн загварууд байдаг ч тэдгээрийг сонгох ёстой

Туннелийг LAN-д гүүрлэх нь бодит загвар бөгөөд клиентүүд broadcast хүлээж авах шаардлагатай үед эсвэл нэг сегментийг таамагладаг протоколууд тэднийг илрүүлэх шаардлагатай үед ашиглагддаг. Энэ нь серверт тэр гүүрний зан төлөв болон түүнтэй хамт ирэх хаягийн боловсруулалт байхыг шаарддаг.

Ажиллахгүй зүйл бол үр дүнг дугаар хуулж дуурайх явдал юм. Гүүргүй хуваалцсан пул танд илрүүлэлтгүйгээр зөрчил өгдөг бөгөөд энэ нь хоёр зохион байгуулалтын хамгийн муу нь.

Хэрэв аппликейшн үнэхээр сегмент шаардахгүй бол тусдаа пултай гурав дахь түвшинг сонгож, пулыг баримтжуулж, дараагийн админ DHCP хүрээг эмх цэгцийн үүднээс дахин ашиглахгүй байхыг анхаарна уу.