De ce două sedii cu aceeași subrețea nu sunt un singur LAN

Două birouri folosesc amândouă 192.168.77.0/24, și cineva propune un tunel ca să fie o singură rețea. Fraza sună simplu și ascunde trei proiecte diferite: două LAN-uri independente care se ciocnesc, un segment Ethernet extins intenționat peste un WAN și o configurație proxy-ARP care răspunde pentru adrese îndepărtate. Care dintre ele există la tine decide ce face un host cu pachetul, iar răspunsul se vede înainte ca gateway-ul VPN să fie implicat.

Hostul decide înaintea routerului

Un host cu adresa 192.168.77.10/24 compară destinația cu propriul prefix. Tot ce se află în acel prefix este pe legătura directă, așa că hostul rezolvă direct adresa de nivel legătură a destinației. Tot ce rămâne în afara lui merge la gateway-ul implicit.

Decizia aceea se ia în stiva hostului, nu în tunel. O rută adăugată pe gateway nu poate salva un pachet pe care hostul nu îl trimite niciodată acolo.

Așa că atunci când 192.168.77.20 există doar în cealaltă sediu, hostul local îl întreabă prin ARP și nu primește răspuns. Handshake-ul VPN poate fi perfect sănătos în timp ce acest lucru eșuează. Eșecul arată ca un host mort, nu ca o problemă de rutare. Recunoașterea acestei semnături economisește o oră de depanare a tunelului.

ARP este o întrebare despre legătura locală

ARP întreabă cine deține o adresă pe această legătură, iar răspunsul trebuie să vină de la ceva care aude difuzarea. Un router la celălalt capăt al unui tunel IPsec nu o aude decât dacă proiectul face din cele două sedii un singur domeniu de difuzare.

Două dispozitive cu aceeași adresă înrăutățesc lucrurile: chiar și o rezolvare reușită nu poate spune care a răspuns.

Adresarea duplicată nu este o eroare de rutare și nicio rută nu o repară. Fie sediile sunt renumerotate în prefixe distincte, fie devin intenționat un singur domeniu de nivel legătură.

Un segment extins transportă cadre, nu rute

Un tunel care transportă Ethernet și este legat de poduri face din ambele sedii parte a unui singur domeniu de nivel legătură. Difuzările ARP ajung pe cealaltă parte, iar fiecare pod învață unde se află care adrese MAC. Documentația podului din Linux descrie acea frontieră de transmitere bazată pe MAC.

Aici gateway-ul îndepărtat nu rutează deloc între două subrețele identice. Cadrele traversează un strat inferior care rutează IP de unul singur, în timp ce podurile prelungesc conversația Ethernet.

Costul este un radius de impact mai mare. Inundarea către destinații necunoscute, buclele, alocarea DHCP și adresarea unică cer toate un singur plan care să cuprindă ambele sedii. Când WAN-ul cade, hosturile pierd trafic pe care îl consideră local. Filtrarea pe pod și regulile VLAN pot restrânge ce trece, dar transportul încă nu promite că fiecare cadru de control de legătură local ajunge.

Proxy ARP este un al treilea proiect

Un router poate răspunde la ARP pentru o adresă îndepărtată și apoi ruta spre ea. Asta face hostul îndepărtat să pară pe legătura directă pentru expeditor fără a extinde un domeniu de difuzare.

Este un instrument mai îngust decât puntea: depinde de transmitere, de rutele de întoarcere și de un proprietar clar pentru fiecare adresă.

Nu face nici protocoalele arbitrare non-IP rutabile și nu reproduce un domeniu de difuzare Ethernet. Folosește-l când cerința este exact această substituire, nu ca scurtătură pentru o renumerotare amânată.

Alege după cerință, apoi verifică

Pentru accesul obișnuit al aplicațiilor între birouri, prefixele distincte și rutele explicite dau o graniță mai clară. Puntează când cerința este într-adevăr vecinătate de nivel legătură. Renumerotează când singurul motiv al prefixului comun este că nimeni nu a făcut-o încă.

Confirmă ce proiect ai de fapt întrebând un host ce face cu destinația:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Un rezultat pe legătura directă cu o intrare de vecin eșuată indică o cale de nivel legătură lipsă. Un rezultat via numește gateway-ul și mută întrebarea în rutare. Pe un pod, verifică baza de date de transmitere pentru a vedea dacă MAC-ul a fost învățat prin tunel. Fiecare ieșire îngustează întrebarea de proiectare în loc să o reia.