Il-pool VPN tiegħek mhix il-medda DHCP tal-LAN: għaliex tinkiser

Is-shortcut li tiġbed huwa li tagħti lill-klijenti VPN indirizzi mill-istess medda li juża s-server DHCP tal-uffiċċju, bit-teorija li xorta waħda kollox huwa network wieħed. Mhuwiex. Tunnel irroutjat iġorr pakketti unicast bejn żewġ trufijiet, filwaqt li l-pool tal-LAN jeżisti biex iwieġeb talbiet ta' xandir fuq segment fiżiku. Li terġa' tuża l-istess numri tqiegħed żewġ allokaturi responsabbli għal spazju wieħed ta' indirizzi u tħalli t-triq lura mhux definita.

Żewġ allokaturi, spazju wieħed ta' indirizzi

Is-server DHCP tal-LAN jaf liema indirizzi kera u lil liema indirizz MAC, u jiddefendihom bl-ARP. Is-server VPN għandu l-pool tiegħu u ma jafx xejn dwar dawk il-kirjiet. Ħadd mhu ħażin; sempliċement qatt ma ġew ippreżentati lil xulxin.

Indirizz mill-pool tal-LAN li jagħti s-server VPN jista' diġà jkun ta' printer. Issa żewġ apparati jitolbu indirizz wieħed fuq l-istess prefiss, u t-tabella tal-forwarding tas-switch tiddeċiedi liema wieħed iwieġeb.

Din hija l-ħsara li n-nies jiltaqgħu magħha l-ewwel: klijent li jikkonnettja b'suċċess u mbagħad jasal għall-magna ħażina, jew jasal għat-tajba b'mod intermittenti.

Għaliex ir-router ma jqassamx indirizzi VPN

L-iskoperta tad-DHCP hija xandir, u x-xandir jieqaf fuq fruntiera rroutjata. Sakemm id-disinn ma jgħaqqadx it-tunnel b'pont jew ma jmexxix relay DHCP bl-awtorità xierqa, it-talba tal-klijent qatt ma tasal għas-server tal-LAN.

Għalhekk is-server VPN jassenja l-indirizz innifsu: pool fil-konfigurazzjoni tas-server, indirizz għal kull pari fi tħejjija WireGuard, jew indirizz imbuttat mis-saff tal-awtentikazzjoni fi tħejjija IKEv2. Dawn il-mekkaniżmi huma indipendenti mid-database tal-kirjiet tal-LAN, u proprju għalhekk għandhom bżonn medda tagħhom.

L-istess raġunament jispjega għaliex it-tibdil tal-firxa DHCP ma jsewwix klijent VPN li qatt ma jikseb indirizz. Il-klijent mhux qed jistaqsi lis-server tal-LAN, u l-ebda editjar tal-firxa ma jagħmilu jistaqsi.

L-overlap jidher bħala konflitt, mhux bħala network bil-mod

Żewġ networks li jaqsmu prefiss mingħajr disinn appoġġjat huma problema differenti mis-sjieda doppja, u spiss jiġu konfużi. Jekk il-pool VPN huwa prefiss separat, l-overlap għandu importanza biss meta rotta tibgħat it-traffiku lejn in-naħa ħażina. Jekk il-pool jinsab ġewwa l-prefiss tal-LAN, il-konflitt huwa immedjat u lokali.

Fil-prattika tara tweġibiet ARP mill-apparat ħażin, konnessjonijiet li jerġgħu jinbdew f'nofs triq, u klijent li l-indirizz tiegħu qed jiġi mitlub minn ħaddieħor. Xejn minn dawn ma jidher bħala problema ta' routing, għalhekk is-sewqan jiġi applikat fuq is-saff ħażin. Kirja doppja hija faċli biex tiġi kkonfermata u tedjanti biex tgħix magħha. Hija tgħix ukoll reboots, għax iż-żewġ allokaturi jibqgħu jinsistu fuq l-istess indirizz.

It-triq lura hija problema separata

Anke b'pool nadif u separat, l-hosts tal-LAN jeħtieġu jafu kif iwieġbu klijent. Il-gateway default tagħhom huwa r-router, u r-router jeħtieġ rotta għall-pool li tipponta lejn is-server VPN, sakemm id-disinn ma jittraduċix it-traffiku tal-klijent minflok.

Aqra t-triq fiż-żewġ direzzjonijiet qabel ma tbiddel xejn. Fuq il-gateway, staqsi liema interface il-qalba tuża għal indirizz tal-klijent; fuq il-klijent, staqsi liema rotta juża għal indirizz tal-LAN.

Dawn il-kmandi juru d-deċiżjoni tal-forwarding fuq il-gateway u d-dħul tal-ġirien li jiżvela duplikat:

ip -4 route get 10.8.0.5
ip neigh show dev br-lan | grep 10.8
ip -4 route get 192.168.50.20

Jekk l-ewwel kmand iwieġeb bl-interface tat-tunnel, ir-rotta lura teżisti. Jekk iwieġeb bl-interface tal-LAN, ir-router jemmen li l-klijent qiegħed fuq il-wire u se jipprova jagħmel ARP għalih.

Disinni bil-pont jeżistu, imma jridu jintgħażlu

Li tgħaqqad tunnel mal-LAN b'pont huwa disinn veru, użat meta l-klijenti jridu jirċievu xandir jew jinstabu minn protokolli li jassumu segment wieħed. Jeħtieġ li s-server ikollu dik l-imġiba tal-pont u l-immaniġġjar tal-indirizzi li jiġi magħha.

Dak li ma jaħdimx huwa li timita r-riżultat billi tikkopja n-numri. Pool maqsum mingħajr pont jagħtik il-konflitt mingħajr l-iskoperta, li huwa l-agħar miż-żewġ arranġamenti.

Agħżel saff tlieta b'pool separat sakemm l-applikazzjoni ma tkunx tassew teħtieġ is-segment, u dokumenta l-pool biex l-amministratur li jmiss ma jerġax juża l-medda DHCP għall-ordni.