VPN klijent sa LAN adresom nije na LAN-u

Klijent se povezuje, dobija 10.50.0.200 i ne može doći do servera na 10.50.0.20 iako oba broja leže u istom /24. Vjerovanje iza te konfiguracije je da adresa iz LAN prefiksa čini klijenta dijelom LAN-a. Ne čini. Klijent je na point-to-point linku, server smatra da je odredište lokalno, a dio koji nedostaje je odgovor susjeda koji niko ne šalje.

Mit: isti prefiks znači isti segment

Prefiks adrese govori hostu koja odredišta može dosegnuti direktno, a koja trebaju ruter. Ne govori hostu kako je odredište fizički priključeno, i svakako ne garantuje da odredište može odgovoriti na zahtjev na sloju linka. To su različita pitanja na koja odgovaraju različite tablice na hostu. Maska odgovara na prvo, tablica susjeda na drugo, i samo je prvo pod vašom kontrolom sa strane VPN-a.

Kada server šalje na 10.50.0.200, upoređuje odredište sa svojom maskom, zaključuje da je adresa on-link i pita lokalni segment za hardversku adresu koja joj pripada. Taj zahtjev izlazi na Ethernet interfejsu, a VPN klijenta nema tamo da ga čuje.

Ništa u konfiguraciji klijenta ne može to popraviti s njegove strane. Put odgovora zavisi od uređaja na LAN-u koji odgovara u ime klijenta, ili od toga da klijent ima adresu koju server ne smatra lokalnom.

Šta lokalni host zapravo radi s adresom

Ponašanje je lako posmatrati i vrijedi ga pogledati prije nego što bilo šta promijenite. Pogledajte tablicu susjeda na LAN hostu nakon što pokuša doći do klijenta: nepotpun ili neuspješan unos je cijela dijagnoza u jednom redu. Taj red vam takođe govori da je kvar lokalni za segment, a ne negdje unutar tunela.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Pretraga rute će prijaviti odredište kao on-link kroz Ethernet interfejs, i to je upravo problem. Ako unos susjeda ostane nepotpun dok je VPN sesija aktivna, potvrdili ste da je dio koji nedostaje razrješavanje na sloju linka, a ne rutiranje ili politika firewall-a.

Pokrenite istu provjeru s hosta u drugoj podmreži i uporedite. Host koji do klijenta dolazi preko rutera uopšte ne treba unos susjeda, i ta razlika je dizajnerska odluka u malom.

Kako Proxy ARP obezbjeđuje sljedeći hop

Proxy ARP tjera gateway da odgovori na zahtjev na sloju linka u ime odredišta do kojeg može doći kroz drugi interfejs. LAN host prima hardversku adresu, šalje okvir gatewayu, a gateway prosljeđuje paket u VPN sesiju. Iz ugla hosta klijent jednostavno izgleda kao da je iza gatewaya. Ništa se u konfiguraciji klijenta ne mijenja.

RouterOS ARP dokumentacija kompanije MikroTik opisuje tu upotrebu za dial-in klijente koji posuđuju adresni prostor povezanog LAN-a. Mehanizam je popravka razrješavanja susjeda i radi jer je gateway zaista na oba puta.

To nije isto kao premošćivanje klijenta u LAN. Gateway i dalje mora proslijediti paket pravoj aktivnoj sesiji, a njegovo rutiranje i politika firewall-a i dalje moraju dozvoliti uslugu. Proxy ARP mijenja ko odgovara na zahtjev susjeda, ne ko smije govoriti.

Pažljivo čitajte nazive režima platforme. RouterOS razlikuje proxy-arp od local-proxy-arp, a drugi obrađuje saobraćaj koji ulazi i izlazi kroz isti interfejs. To nisu zamjenjiva pisanja, i uključivanje oba bez razlike nije prečica.

Šta vam Proxy ARP ne daje

Ne obezbjeđuje broadcast ili multicast otkrivanje. Klijent koji uslugu mora naći putem broadcast-a i dalje će propasti, jer gateway prosljeđuje unicast u sesiju i ne čini klijenta članom broadcast domena LAN-a. Protokoli otkrivanja koji se oslanjaju na broadcast čest su izvor izvještaja „radi za jedno, ne radi za drugo“ u dizajnima s posuđenim adresama.

Ne rezerviše adresu. Ako posuđeni broj takođe stoji u DHCP pulu ili statičkoj dodjeli, dva uređaja mogu završiti s istom adresom, a rezultujuće ponašanje zavisi od tajminga. Uspješna prijava nije rezervacija.

I ne uklanja potrebu za koordinacijom s vlasnikom LAN-a. Proxy ARP unos koji iznenadi vlasnika adresnog plana je incident podrške koji čeka mirnu sedmicu.

Poređenje s posebno rutiranim poolom

Alternativa je dati VPN klijentima vlastiti prefiks i pustiti LAN hostove da rutiraju prema njemu. Server tada šalje off-link odgovore svom gatewayu, gateway rutira prefiks do VPN endpointa, i razrješavanje susjeda na LAN segmentu uopšte nije potrebno. To je manje pokretnih dijelova od posuđene adrese plus proxy odgovora.

Taj dizajn je lakše promisliti i lakše revidirati, jer je raspon klijenata vidljivo odvojen od LAN raspona. Košta rutu, povratni put i pravilo pristupa, iste stvari koje proxy ARP dizajn treba na manje očitom mjestu.

Birajte između modela namjerno, a ne slučajno. Proxy ARP popravlja jedan konkretan odnos; rutirani pool uklanja potrebu za tom popravkom. Zapišite šta ste izabrali i zašto, pa sljedeća osoba neće morati to ponovo otkriti iz neuspjelog unosa susjeda.