Dlaczego dwa oddziały w tej samej podsieci to nie jedna sieć LAN

Dwa biura używają oba 192.168.77.0/24, i ktoś proponuje tunel, żeby były jedną siecią. To zdanie brzmi prosto i ukrywa trzy różne projekty: dwie niezależne sieci LAN, które się zderzają, jeden celowo rozciągnięty segment Ethernet przez WAN oraz układ proxy-ARP, który odpowiada za adresy zdalne. To, który z nich masz, decyduje o tym, co host robi z pakietem, a odpowiedź widać, zanim zaangażowana będzie brama VPN.

Host decyduje przed routerem

Host z adresem 192.168.77.10/24 porównuje cel z własnym prefiksem. Wszystko w tym prefiksie jest w łączu bezpośrednim, więc host rozwiązuje adres warstwy łącza celu bezpośrednio. Wszystko poza nim idzie do bramy domyślnej.

Ta decyzja zapada w stosie hosta, nie w tunelu. Trasa dodana na bramie nie uratuje pakietu, którego host nigdy tam nie wyśle.

Więc gdy 192.168.77.20 istnieje tylko w drugim oddziale, lokalny host pyta o niego przez ARP i nie dostaje odpowiedzi. Uścisk dłoni VPN może być całkowicie zdrowy, podczas gdy to zawodzi. Awaria wygląda jak martwy host, a nie jak problem z routingiem. Rozpoznanie tego objawu oszczędza godzinę debugowania tunelu.

ARP to pytanie o łącze lokalne

ARP pyta, kto posiada adres w tym łączu, a odpowiedź musi przyjść od czegoś, co słyszy rozgłoszenie. Router po drugiej stronie tunelu IPsec go nie słyszy, chyba że projekt czyni z obu oddziałów jedną domenę rozgłoszeniową.

Dwa urządzenia z tym samym adresem pogarszają sprawę: nawet udane rozwiązanie nie powie, które odpowiedziało.

Powielone adresowanie nie jest błędem routingu i żadna trasa tego nie naprawia. Albo oddziały są renumerowane na różne prefiksy, albo celowo stają się jedną domeną warstwy łącza.

Rozciągnięty segment przenosi ramki, nie trasy

Tunel przenoszący Ethernet i podłączony do mostów czyni oba oddziały częścią jednej domeny warstwy łącza. Rozgłoszenia ARP docierają na drugą stronę, a każdy most uczy się, gdzie są które adresy MAC. Dokumentacja mostu w Linuksie opisuje tę granicę przekazywania opartą na MAC.

Tutaj zdalna brama w ogóle nie routuje między dwiema identycznymi podsieciami. Ramki przechodzą przez warstwę nośną, która sama routuje IP, podczas gdy mosty przedłużają rozmowę Ethernet.

Ceną jest większy promień rażenia. Zalewanie nieznanych celów, pętle, przydział DHCP i unikalne adresowanie wymagają jednego planu obejmującego oba oddziały. Gdy WAN padnie, hosty tracą ruch, który uważają za lokalny. Filtrowanie na moście i reguły VLAN mogą ograniczyć, co przechodzi, ale transport nadal nie obiecuje, że dotrze każda lokalna ramka sterująca.

Proxy ARP to trzeci projekt

Router może odpowiedzieć na ARP za adres zdalny, a następnie routować w jego stronę. To sprawia, że zdalny host wygląda dla nadawcy na łącze bezpośrednie bez rozciągania domeny rozgłoszeniowej.

To węższe narzędzie niż mostkowanie: zależy od przekazywania, tras powrotnych i jasnego właściciela każdego adresu.

Nie czyni też routowalnymi dowolnych protokołów innych niż IP i nie odtwarza domeny rozgłoszeniowej Ethernet. Używaj go, gdy wymaganiem jest dokładnie to podstawienie, a nie jako skrótu do odroczonej renumeracji.

Wybierz według wymagania, potem zweryfikuj

Do zwykłego dostępu aplikacji między biurami różne prefiksy i jawne trasy dają wyraźniejszą granicę. Mostkuj, gdy wymaganiem jest naprawdę sąsiedztwo warstwy łącza. Renumeruj, gdy jedynym powodem wspólnego prefiksu jest to, że nikt jeszcze tego nie zrobił.

Potwierdź, który projekt naprawdę masz, pytając hosta, co robi z celem:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Wynik łącza bezpośredniego z nieudanym wpisem sąsiada wskazuje na brakującą ścieżkę warstwy łącza. Wynik via nazywa bramę i przenosi pytanie do routingu. Na moście sprawdź bazę przekazywania, czy MAC został nauczony przez tunel. Każde wyjście zawęża pytanie projektowe, zamiast zaczynać je od nowa.