Għaliex host tal-LAN jagħmel ARP għall-indirizz ta’ klijent OpenVPN

Il-problemi ta’ aċċessibbiltà bejn host tal-LAN u klijent VPN spiss imorru lura għall-pjan tal-indirizzi nnifsu. Agħti lil dak il-host interfaċċa fuq 10.0.100.0/22 u huwa jittratta kull indirizz minn 10.0.100.0 sa 10.0.103.255 bħala konness direttament, inkluż grupp ta’ klijenti mqiegħed bil-kwiet fuq 10.0.101.0/24. It-tweġiba qatt ma tmur lejn router, għax mil-lat tal-host ma jkunx involut ebda router. Il-pakkett huwa indirizzat lil ġar u jintalab fuq il-wajer.

Dan il-mekkaniżmu jinsab wara familja sħiħa ta’ rapporti: it-tunnel huwa attiv, is-server għandu rotta, u l-host tal-LAN xorta waħda ma jistax jilħaq il-klijent.

Il-/22 li jibla’ l-/24

Aqra l-prefiss bħala firxa, mhux bħala string. /22 fih 1024 indirizz, u 10.0.100.0/22 ikopri minn 10.0.100.0 sa 10.0.103.255, għalhekk grupp fuq 10.0.101.0/24 jinsab kollu ġewwa fih. L-iżball jgħaddi r-reviżjoni għax l-ewwel ottetti tal-grupp jidhru differenti mill-ewwel ottetti tal-LAN, u t-tielet ottett biss jiżvela l-konteniment. Ikteb iż-żewġ firxiet b’ċifri qabel ma tiddikjarahom separati.

L-istess konteniment jista’ jidher bil-maqlub. Grupp li jidher ħieles għax bħalissa ħadd ma jużah xorta jista’ jaqa’ ġewwa prefiss li jħabbar xi router tas-sit, u l-pjan tal-indirizzi huwa l-uniku dokument li juri dan.

Konnessjoni diretta tfisser ARP, mhux routing

Meta host b’interfaċċa /22 jibgħat lejn 10.0.101.25, il-kernel iqabbel id-destinazzjoni mal-prefiss tal-interfaċċa u jsib qbil. Il-pakkett isir riżoluzzjoni ta’ ġar minflok pakkett routed, u fuq Ethernet ir-riżoluzzjoni ta’ ġar hija talba ARP għal dak l-indirizz. Jekk l-indirizz jappartjeni lil klijent VPN wara gateway routed, ebda host fuq il-LAN ma jippossedih, għalhekk it-talba tibqa’ mingħajr tweġiba u l-pakketti jintremew. It-tunnel m’għandu ebda tort, u l-klijent qatt ma jara t-traffiku.

Għalhekk il-ħsara tidher asimmetrika u kultant intermittenti. Il-host VPN spiss jista’ jilħaq il-LAN għax ir-rotot tiegħu stess jindikaw id-direzzjoni t-tajba, filwaqt li l-host tal-LAN ma jistax iwieġeb, u kull cache ta’ entrata ARP qadima jġiegħel is-sintomu jteptep.

TUN, TAP u x’iġorr kull wieħed

Apparat TUN iġorr pakketti IP, u apparat TAP iġorr frejms Ethernet. Kollegament TUN routed m’għandux bżonn iġorr ARP biex jipprovdi aċċessibbiltà IP, u huwa proprju għalhekk li t-talba mingħajr tweġiba hawn fuq hija mistennija u mhux ħsara. TAP b’pont intenzjonat jista’ jwessa’ d-dominju tax-xandir u jġiegħel l-ARP jaħdem, iżda jbiddel dak li l-klijent jista’ jara, jitlob truf li jappoġġaw l-istess frejming u huwa disinn mill-ġdid tal-mudell tan-netwerk minflok tiswija għal prefiss li jikkoinċidi. Li tbiddel installazzjoni routed għal TAP biex tfejjaq żball fil-pjan tal-indirizzi jbiddel problema żgħira ma’ waħda akbar.

Innota fejn dehret it-talba ARP u liema sistema emittitha qabel ma tislet konklużjonijiet. Il-mittent jgħidlek x’jaħseb dwar id-destinazzjoni, mhux x’jagħmel it-tunnel.

Iddisinja grupp li ma jistax jikkoinċidi

Agħżel grupp barra minn kull prefiss konness u kull prefiss tas-sit imħabbar, imbagħad żid ir-rotot li jagħmluh aċċessibbli fiż-żewġ direzzjonijiet. Firxa bħal 10.8.0.0/24 f’parti mhux użata tal-pjan hija faċli biex tirraġuna dwarha, u LAN li jeħtieġ jilħaqha jirċievi rotta statika li tipponta lejn is-server VPN. Ibdel flimkien l-allokazzjoni, ir-rotot imħabbra, l-indirizzi tas-sors permessi u r-regoli tal-firewall, għax jiddeskrivu disinn wieħed u mhux erba’ settings.

Source NAT fuq is-server jista’ jaħbi l-grupp wara indirizz routable mil-LAN, u huwa għodda leġittima ta’ migrazzjoni. Jerġa’ jikteb is-sors ukoll, għalhekk il-LAN jitlef il-kapaċità li jattribwixxi konnessjonijiet lil klijenti individwali u li japplika regoli għal kull klijent.

Għall-aċċettazzjoni, uża l-indirizz realment assenjat lill-klijent reali u talba reali tal-applikazzjoni minn host tal-LAN, imbagħad ikkonferma li t-tweġiba ssegwi l-gateway ippjanat u mhux il-wajer.