Twee eigenaren, één adres: dubbele IP's op een TAP-brug

Eén Windows-client houdt 10.8.0.2 en werkt tot de opstartvolgorde verandert; dan wordt hetzelfde adres als conflict gemeld terwijl er aan de client niets is veranderd. Een tweede host op hetzelfde overbrugde segment claimt dezelfde waarde, en de machine die als laatste klaar is met de configuratie verliest meestal. Beide menen dat het adres van hen is, en de verliezer stopt stilletjes met het gebruik van een adres dat hem was opgedragen te gebruiken. Juist de behandeling als timingprobleem zorgt ervoor dat het bij elke herstart terugkomt.

Lees het conflictbewijs voordat u een brug aanraakt

Windows meldt een adresconflict samen met het hardwareadres van de andere claimer. Dat hardwareadres is het nuttige feit, want het wijst naar één interface op één host, terwijl de weergegeven naam van de gebeurtenis niets zegt over waar het duplicaat zit. Noteer het hardwareadres voordat u iets verandert.

ARP-gebaseerde duplicaatdetectie controleert op concurrerende eigenaren voordat een adres wordt gebruikt en blijft daarna kijken. Daarom kan een host die afwezig was terwijl u het netwerk configureerde, nog een uur later een conflict veroorzaken. De controle is geen eenmalige check bij het opstarten. Een machine die later opduikt, kan een adres innemen dat de hele dag rustig in gebruik was, en daarom leest de storing als een race in plaats van een configuratiefout.

Een conflictgebeurtenis alleen zegt niet welke configuratie de andere claim heeft gemaakt, en adressen experimenteel wissen vernietigt de koppeling die het u zou hebben verteld. Het doel van het bewijs is een hardwareadres om te zetten in een interface die u kunt inspecteren. Zoeken in de inventaris op machinenaam stuurt u meestal naar de verkeerde host.

Inventariseer elke claim op het segment

Een overbrugde TAP-opstelling verbindt Ethernet-segmenten die voorheen gescheiden waren, dus adressen die uniek waren binnen hun eigen netwerken kunnen botsen zodra frames één link delen. Daarom bestaat deze foutklasse op een VPN en niet op de gerouteerde netwerken die zij vervangen heeft. Noem elke mogelijke eigenaar in plaats van de eerste die u verdenkt.

Loop de lijst in deze volgorde door: de adressen op elk brugapparaat en zijn lidpoorten, de OpenVPN-pool en elke vaste toewijzing per client, en elke DHCP-server die het overbrugde segment dekt. Vergelijk daarna het hardwareadres uit het conflictrapport met de interfaces die u vond.

ip -4 addr show | grep -E 'inet |^[0-9]+: '
bridge link show
ip neigh show dev br0

De pool en het DHCP-bereik zijn de twee eigenaren die mensen vergeten. Print beide bereiken samen en zoek naar overlap voordat u iets anders doet. Een handmatig toegewezen brugadres en een pool die dezelfde waarde uitgeeft, botsen vroeg of laat, en de botsing lijkt willekeurig totdat beide bereiken naast elkaar zijn geprint.

Nummer bruggen alleen waar ze een identiteit nodig hebben

In een normale hostbrug draagt het brugapparaat de configuratie van de derde laag van de host, en de Ethernet- en TAP-leden fungeren als poorten. Elk lid een eigen adres geven, of één installatiescript naar meerdere machines kopiëren zonder het adres te wijzigen, is hoe één segment drie eigenaren van dezelfde waarde krijgt. De leden hebben geen eigen identiteit nodig om frames door te sturen. Ze hebben precies één identiteit per host nodig die op dat segment bereikbaar moet zijn.

Een brug die alleen frames schakelt, heeft op dat segment helemaal geen adres nodig. Door hem ongenummerd te laten vervalt een hele klasse botsingen, mits de host nog een door u geverifieerde beheerroute heeft. Bevestig eerst toegang, verwijder tweede het adres en controleer derde de bereikbaarheid.

Als het adres dat u wilt verwijderen de enige route naar de machine is, dan is het als experiment verwijderen een zelf veroorzaakte storing en geen diagnose. Verifieer het out-of-band-pad voordat u iets test.

Zorg dat de correctie een herstart overleeft

Een actieve interface wijzigen herstelt de huidige opstart en niets anders. Wat het adres bij het opstarten ook opnieuw aanmaakt, zal het conflict bij de volgende herstart terugbrengen, en u zult concluderen dat de correctie niet werkte terwijl zij in werkelijkheid nooit blijvend was. Noteer welk bestand u hebt gewijzigd, zodat de volgende herstart een beslissing bevestigt in plaats van een verrassing te onthullen.

Vind de eigenaar van die configuratie: een netwerkbeheerprofiel, een bestand per interface, een container- of VM-definitie, of een cloud-init-fragment. Wijzig het daar en herstart daarna bewust één getroffen host om te bevestigen dat de nieuwe waarde terugkomt. Een herstart is de enige test die blijvendheid bewijst.

Reserveer de brugadressen binnen het DHCP-bereik als uitsluitingen, of verplaats ze erbuiten. Een reservering die alleen in een spreadsheet bestaat, is geen uitsluiting, en de toewijzer zal die niet lezen.

Bewijs het met elke client online

Eén geslaagde verbinding bewijst niets, want het oorspronkelijke symptoom verscheen alleen als de volgorde veranderde. Start elke bedoelde client op, varieer de opstartvolgorde en herhaal na een herverbinding. Herstart daarna de host die de race eerder verloor en bevestig dat het adres overleeft.

Voor directe bevestiging: controleer op een dubbele eigenaar voordat u het adres toewijst en houd daarna de buurtabel in de gaten. Als niets op de controle antwoordt en het adres gedurende een volledige herstartcyclus uniek in bezit blijft, is het conflict opgelost en niet slechts verborgen. De onderstaande opdrachten voeren beide controles uit op het brugapparaat. RFC 5227 beschrijft het controle- en aankondigingsgedrag dat deze hulpprogramma's uitoefenen, en het is de referentie die u aanhaalt wanneer iemand voorstelt de detectie in plaats daarvan uit te schakelen.

arping -D -I br0 10.8.0.2
ip neigh show dev br0 | grep 10.8.0.2

Een controle zonder antwoord is het verwachte resultaat op een schoon segment. Een controle die een antwoord uitlokt, geeft u het hardwareadres van de resterende eigenaar, hetzelfde bewijs dat de Windows-gebeurtenis u in het begin gaf. Bewaar die uitvoer bij het wijzigingsrecord, want het is het enige bewijs dat het adres uniek in bezit is.