Mengapa dua tapak dengan subnet yang sama bukan satu LAN

Dua pejabat kedua-duanya menggunakan 192.168.77.0/24, dan seseorang mencadangkan terowong supaya mereka menjadi satu rangkaian. Frasa itu kedengaran mudah dan menyembunyikan tiga reka bentuk berbeza: dua LAN bebas yang berlanggar, satu segmen Ethernet yang sengaja diregangkan merentasi WAN, dan susunan proxy-ARP yang menjawab bagi alamat jauh. Yang mana anda ada menentukan apa yang hos lakukan dengan paket itu, dan jawapannya kelihatan sebelum get laluan VPN terlibat.

Hos memutuskan sebelum penghala

Hos dengan alamat 192.168.77.10/24 membandingkan destinasi dengan awalan sendiri. Semua yang berada dalam awalan itu berada pada pautan terus, jadi hos menyelesaikan alamat lapisan pautan destinasi secara terus. Semua yang di luar pergi ke get laluan lalai.

Keputusan itu berlaku dalam tindanan hos, bukan dalam terowong. Laluan yang ditambah pada get laluan tidak dapat menyelamatkan paket yang hos tidak pernah hantar ke sana.

Jadi apabila 192.168.77.20 hanya wujud di tapak lain, hos tempatan bertanya melalui ARP dan tidak mendapat jawapan. Jabat tangan VPN boleh menjadi sihat sepenuhnya sementara ini gagal. Kegagalan itu kelihatan seperti hos mati, bukan masalah penghalaan. Mengenali tanda itu menjimatkan satu jam penyahpepijatan terowong.

ARP ialah soalan pautan tempatan

ARP bertanya siapa yang memiliki alamat pada pautan ini, dan jawapannya mesti datang daripada sesuatu yang mendengar siaran. Penghala di hujung lain terowong IPsec tidak mendengarnya melainkan reka bentuk menjadikan kedua-dua tapak satu domain siaran.

Dua peranti dengan alamat yang sama memburukkan keadaan: walaupun penyelesaian berjaya tidak dapat memberitahu yang mana menjawab.

Pengalamatan berganda bukan pepijat penghalaan dan tiada laluan membetulkannya. Sama ada tapak dinomborkan semula ke awalan berbeza, atau kedua-duanya sengaja menjadi satu domain lapisan pautan.

Segmen yang diregangkan membawa bingkai, bukan laluan

Terowong yang membawa Ethernet dan dipasang pada jambatan menjadikan kedua-dua tapak sebahagian daripada satu domain lapisan pautan. Siaran ARP sampai ke sisi jauh, dan setiap jambatan mempelajari di mana alamat MAC berada. Dokumentasi jambatan Linux menerangkan sempadan pemajuan berasaskan MAC itu.

Di sini get laluan jauh tidak menghala sama sekali antara dua subnet yang serupa. Bingkai merentasi lapisan bawah yang menghala IP sendiri, sementara jambatan memanjangkan perbualan Ethernet.

Kosnya ialah jejari kesan yang lebih besar. Banjir ke destinasi tidak diketahui, gelung, peruntukan DHCP dan pengalamatan unik semuanya memerlukan satu pelan yang merangkumi kedua-dua tapak. Apabila WAN jatuh, hos kehilangan trafik yang mereka anggap tempatan. Penapisan pada jambatan dan peraturan VLAN boleh mengehadkan apa yang merentas, tetapi pengangkutan masih tidak menjanjikan setiap bingkai kawalan pautan tempatan tiba.

Proxy ARP ialah reka bentuk ketiga

Penghala boleh menjawab ARP bagi alamat jauh dan kemudian menghala ke arahnya. Itu menjadikan hos jauh kelihatan pada pautan terus kepada penghantar tanpa meregangkan domain siaran.

Ia alat yang lebih sempit daripada penjambatan: ia bergantung pada pemajuan, laluan balik dan pemilik yang jelas bagi setiap alamat.

Ia juga tidak menjadikan protokol bukan IP sewenang-wenangnya boleh dihala, dan ia tidak menghasilkan semula domain siaran Ethernet. Gunakannya apabila keperluan ialah tepat penggantian itu, bukan sebagai jalan pintas untuk penomboran semula yang ditangguhkan.

Pilih daripada keperluan, kemudian sahkan

Untuk akses aplikasi biasa antara pejabat, awalan berbeza dan laluan eksplisit memberi sempadan yang lebih jelas. Jambatani apabila keperluan benar-benar bersebelahan lapisan pautan. Nomborkan semula apabila satu-satunya sebab awalan dikongsi ialah tiada siapa lagi yang melakukannya.

Sahkan reka bentuk mana yang sebenarnya anda ada dengan bertanya kepada hos apa yang dilakukannya dengan destinasi:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Keputusan pada pautan terus dengan entri jiran yang gagal menunjuk kepada laluan lapisan pautan yang hilang. Keputusan via menamakan get laluan dan memindahkan soalan itu kepada penghalaan. Pada jambatan, periksa pangkalan data pemajuan untuk melihat sama ada MAC dipelajari merentasi terowong. Setiap keluaran menyempitkan soalan reka bentuk dan bukannya memulakannya semula.