Zašto dva lokaliteta s istom podmrežom nisu jedan LAN

Dva ureda oba koriste 192.168.77.0/24 i neko predlaže tunel da budu jedna mreža. Ta fraza zvuči jednostavno i skriva tri različita rješenja: dvije neovisne LAN mreže koje se sudaraju, jedan namjerno rastegnut Ethernet segment preko WAN-a i proxy-ARP raspored koji odgovara na udaljene adrese. Koje od njih imate odlučuje što host radi s paketom, a odgovor je vidljiv prije nego što se VPN pristupnik umiješa.

Host odlučuje prije usmjerivača

Host s adresom 192.168.77.10/24 uspoređuje odredište s vlastitim prefiksom. Sve unutar tog prefiksa je na izravnoj vezi, pa host izravno razrješava adresu sloja veze odredišta. Sve izvan toga ide na zadani pristupnik.

Ta odluka nastaje u stogu hosta, ne u tunelu. Ruta dodana na pristupniku ne može spasiti paket koji host nikad ne pošalje tamo.

Zato, kad 192.168.77.20 postoji samo na drugom lokalitetu, lokalni host pita za njega putem ARP-a i ne dobiva odgovor. VPN rukovanje može biti posve zdravo dok ovo ne uspijeva. Kvar izgleda kao mrtav host, a ne kao problem usmjeravanja. Prepoznavanje tog potpisa štedi sat vremena otklanjanja problema s tunelom.

ARP je pitanje lokalne veze

ARP pita kome pripada adresa na ovoj vezi i odgovor mora doći od nečega što čuje emitiranje. Usmjerivač na drugom kraju IPsec tunela to ne čuje, osim ako rješenje ne učini dva lokaliteta jednom emitivnom domenom.

Dva uređaja s istom adresom pogoršavaju stvar: ni uspješno razrješenje ne može reći koji je od njih odgovorio.

Dvostruko adresiranje nije greška usmjeravanja i nijedna ruta to ne ispravlja. Ili se lokaliteti prenumeriraju u različite prefikse, ili namjerno postaju jedna domena sloja veze.

Rastegnuti segment prenosi okvire, ne rute

Tunel koji prenosi Ethernet i spojen je na mostove čini oba lokaliteta dijelom jedne domene sloja veze. ARP emitiranja dolaze na drugu stranu i svaki most uči gdje se nalaze koje MAC adrese. Dokumentacija mosta u Linuxu opisuje tu granicu prosljeđivanja zasnovanu na MAC adresama.

Ovdje udaljeni pristupnik uopće ne usmjerava između dvije identične podmreže. Okviri prelaze podlogu koja sama usmjerava IP, dok mostovi produljuju Ethernet razgovor.

Cijena je veći radijus utjecaja. Poplava za nepoznata odredišta, petlje, DHCP dodjela i jedinstveno adresiranje sve traže jedan plan koji obuhvaća oba lokaliteta. Kad WAN padne, hostovi gube promet koji smatraju lokalnim. Filtriranje na mostu i VLAN pravila mogu ograničiti što prelazi, ali prijenos još uvijek ne obećava da će svaki lokalni upravljački okvir stići.

Proxy ARP je treće rješenje

Usmjerivač može odgovoriti na ARP za udaljenu adresu i zatim usmjeriti prema njoj. Time udaljeni host izgleda na izravnoj vezi pošiljatelju, bez rastezanja emitivne domene.

To je uži alat od premošćivanja: ovisi o prosljeđivanju, povratnim rutama i jasnom vlasniku svake adrese.

On također ne čini proizvoljne ne-IP protokole usmjerivima i ne reproducira Ethernet emitivnu domenu. Koristite ga kad je zahtjev upravo ta zamjena, a ne kao prečicu za odgođenu prenumeraciju.

Birajte prema zahtjevu, pa provjerite

Za uobičajen pristup aplikacijama između ureda različiti prefiksi i izričite rute daju jasniju granicu. Premostite kad je zahtjev doista susjednost sloja veze. Prenumerirajte kad je jedini razlog zajedničkog prefiksa to što to još nitko nije učinio.

Potvrdite koje rješenje zapravo imate tako što ćete pitati host što radi s odredištem:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Rezultat na izravnoj vezi s neuspjelim zapisom susjeda upućuje na nedostajući put sloja veze. Rezultat via imenuje pristupnik i prebacuje pitanje na usmjeravanje. Na mostu provjerite bazu prosljeđivanja da vidite je li MAC naučen preko tunela. Svaki izlaz sužava pitanje rješenja umjesto da ga iznova pokreće.