Klijent VPN b’indirizz LAN mhuwiex fuq il-LAN

Il-klijent jikkonnettja, jirċievi 10.50.0.200 u ma jistax jasal għas-server f’10.50.0.20 minkejja li ż-żewġ numri jinsabu fl-istess /24. It-twemmin wara dik il-konfigurazzjoni huwa li indirizz mill-prefiss tal-LAN jagħmel il-klijent parti mill-LAN. Ma jagħmilx. Il-klijent jinsab fuq link punt sa punt, is-server jemmen li d-destinazzjoni hija lokali, u l-biċċa nieqsa hija tweġiba tal-ġar li ħadd ma jibgħat.

Il-mit: l-istess prefiss ifisser l-istess segment

Prefiss ta’ indirizz jgħid lil host liema destinazzjonijiet jista’ jasal għalihom direttament u liema jeħtieġu router. Ma jgħidlux kif id-destinazzjoni hija mwaħħla fiżikament, u żgur ma jiggarantixxix li d-destinazzjoni tista’ twieġeb talba fil-livell tal-link. Dawn huma mistoqsijiet differenti, li jitwieġbu minn tabelli differenti fuq il-host. Il-mask twieġeb l-ewwel u t-tabella tal-ġirien it-tieni, u biss l-ewwel hija taħt il-kontroll tiegħek min-naħa tal-VPN.

Meta s-server jibgħat lil 10.50.0.200, jqabbel id-destinazzjoni mal-mask tiegħu stess, jiddeċiedi li l-indirizz huwa on-link, u jistaqsi lis-segment lokali għall-indirizz tal-ħardwer li jippossjedih. Dik it-talba toħroġ fuq l-interface Ethernet, u l-klijent VPN mhuwiex hemm biex jismagħha.

Xejn fil-konfigurazzjoni tal-klijent ma jista’ jsewwi dan min-naħa tiegħu. It-triq tat-tweġiba tiddependi fuq apparat fuq il-LAN li jwieġeb f’isem il-klijent, jew fuq il-klijent li jkollu indirizz li s-server ma jqisx bħala lokali.

X’jagħmel fil-fatt il-host lokali bl-indirizz

L-imġieba hija faċli biex tosservaha u tiswa li tosservaha qabel ma tbiddel xi ħaġa. Ħares lejn it-tabella tal-ġirien fuq host tal-LAN wara li jipprova jasal għall-klijent: entrata mhux kompluta jew falluta hija d-dijanjosi kollha f’linja waħda. Dik il-linja tgħidlek ukoll li l-ħsara hija lokali għas-segment u mhux xi mkien ġewwa t-tunnel.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

It-tfittxija tar-rotta tirrapporta d-destinazzjoni bħala on-link mill-interface Ethernet, u dan huwa eżattament il-problema. Jekk l-entrata tal-ġar tibqa’ mhux kompluta waqt li s-sessjoni VPN hija attiva, inti kkonfermajt li l-biċċa nieqsa hija riżoluzzjoni fil-livell tal-link, mhux routing jew politika tal-firewall.

Mexxi l-istess verifika minn host f’subnet ieħor u qabbel. Host li jasal għall-klijent permezz ta’ router m’għandux bżonn entrata tal-ġar xejn, u dak id-differenza hija d-deċiżjoni tad-disinn fuq skala żgħira.

Kif proxy ARP jipprovdi l-pass li jmiss

proxy ARP iġiegħel il-gateway iwieġeb it-talba fil-livell tal-link f’isem destinazzjoni li jista’ jasal għaliha permezz ta’ interface ieħor. Il-host tal-LAN jirċievi indirizz tal-ħardwer, jibgħat il-frame lill-gateway, u l-gateway jgħaddi l-pakket fis-sessjoni VPN. Mill-perspettiva tal-host il-klijent sempliċement jidher li jinsab wara l-gateway. Xejn fil-konfigurazzjoni tal-klijent ma jinbidel.

Id-dokumentazzjoni tal-ARP ta’ RouterOS ta’ MikroTik tiddeskrivi dan l-użu għal klijenti dial-in li jissellfu l-ispazju tal-indirizzi tal-LAN konnessa. Il-mekkaniżmu huwa tiswija tar-riżoluzzjoni tal-ġirien, u jaħdem għaliex il-gateway huwa tassew fuq iż-żewġ toroq.

Dan mhuwiex l-istess bħall-ibbridġjar tal-klijent fil-LAN. Il-gateway xorta jrid jgħaddi l-pakket lis-sessjoni attiva t-tajba, u r-routing u l-politika tal-firewall tiegħu xorta jridu jippermettu s-servizz. proxy ARP ibiddel min iwieġeb it-talba tal-ġar, mhux min huwa permess jitkellem.

Aqra l-ismijiet tal-modi tal-pjattaforma bir-reqqa. RouterOS jifred proxy-arp minn local-proxy-arp, u t-tieni jimmaniġġja traffiku li jidħol u joħroġ mill-istess interface. Dawn mhumiex ortografiji li jistgħu jiġu skambjati, u li tixgħel it-tnejn mingħajr diskriminazzjoni mhuwiex shortcut.

X’ma jagħtikx proxy ARP

Ma jipprovdix skoperta bil-broadcast jew bil-multicast. Klijent li jrid isib servizz bil-broadcast xorta se jfalli, għaliex il-gateway jgħaddi l-unicast lis-sessjoni u ma jagħmilx il-klijent membru tad-dominju tal-broadcast tal-LAN. Il-protokolli tal-iskoperta li jiddependu fuq il-broadcast huma sors komuni ta’ rapporti li jaħdem għal ħaġa u mhux għal oħra fid-disinni tal-indirizzi mislufa.

Ma jirriżervax l-indirizz. Jekk in-numru misluf jinsab ukoll fi pool DHCP jew f’assenjazzjoni statika, żewġ apparati jistgħu jispiċċaw bl-istess indirizz u l-imġieba li tirriżulta tiddependi fuq il-ħin. Login b’suċċess mhuwiex riżerva.

U ma jneħħix il-ħtieġa ta’ koordinazzjoni ma’ min jippossjedi l-LAN. Entrata proxy ARP li tissorprendi lis-sid tal-pjan tal-indirizzi hija inċident ta’ appoġġ li jistenna ġimgħa kwieta.

Paragun ma’ pool li jiġi routing b’mod separat

L-alternattiva hija li tagħti lill-klijenti VPN il-prefiss tagħhom stess u tħalli l-hosts tal-LAN jagħmlu routing lejh. Is-server imbagħad jibgħat tweġibiet off-link lill-gateway tiegħu, il-gateway jagħmel routing tal-prefiss lejn il-punt finali tal-VPN, u fis-segment tal-LAN lanqas biss hija meħtieġa riżoluzzjoni tal-ġirien. Dan huwa inqas partijiet mobbli minn indirizz misluf flimkien ma’ tweġiba proxy.

Dak id-disinn huwa eħfef biex tiddeduċi u eħfef biex tawditjah, għaliex il-firxa tal-klijenti hija viżibbilment separata mill-firxa tal-LAN. Jiswa rotta, triq tar-ritorn u regola tal-aċċess, l-istess affarijiet li d-disinn tal-proxy ARP jeħtieġ f’post inqas ovvju.

Agħżel bejn il-mudelli b’mod deliberat u mhux b’aċċident. proxy ARP isewwi relazzjoni waħda speċifika; pool bir-routing jevita l-ħtieġa ta’ dik it-tiswija. Ikteb liema għażilt u għaliex, u l-persuna li jmiss mhux se jkollha terġa’ tiskopriha minn entrata tal-ġar falluta.