Prečo dva areály s tou istou podsietou nie sú jedna LAN

Dve kancelárie obe používajú 192.168.77.0/24, a niekto navrhuje tunel, aby boli jednou sieťou. Tá veta znie jednoducho a skrýva tri rôzne riešenia: dve nezávislé LAN, ktoré kolidujú, jeden zámerne pretiahnutý ethernetový segment cez WAN a usporiadanie s proxy-ARP, ktoré odpovedá za vzdialené adresy. Ktoré z nich máte, rozhoduje o tom, čo hostiteľ s paketom robí, a odpoveď je vidieť skôr, než sa zapojí brána VPN.

Hostiteľ rozhoduje skôr než router

Hostiteľ s adresou 192.168.77.10/24 porovná cieľ so svojím prefixom. Všetko v tomto prefixe je na priamom spojení, takže hostiteľ priamo rozlíši adresu linkovej vrstvy cieľa. Všetko mimo neho ide na predvolenú bránu.

Toto rozhodnutie vzniká v sieťovom zásobníku hostiteľa, nie v tuneli. Trasa pridaná na bráne nezachráni paket, ktorý hostiteľ nikdy tam nepošle.

Keď teda 192.168.77.20 existuje len v druhom areáli, miestny hostiteľ sa naň opýta cez ARP a nedostane odpoveď. VPN handshake môže byť úplne v poriadku, zatiaľ čo toto zlyháva. Zlyhanie vyzerá ako mŕtvy hostiteľ, nie ako problém smerovania. Rozpoznanie tohto podpisu ušetrí hodinu ladenia tunela.

ARP je otázka miestneho spojenia

ARP sa pýta, kto vlastní adresu na tomto spojení, a odpoveď musí prísť od niečoho, čo počuje broadcast. Router na druhom konci tunela IPsec ho nepočuje, ak z návrhu neurobí z oboch areálov jednu broadcastovú doménu.

Dve zariadenia s rovnakou adresou to zhoršujú: ani úspešné rozlíšenie nepovie, ktoré z nich odpovedalo.

Duplicitné adresovanie nie je chyba smerovania a žiadna trasa to nenapraví. Buď sa areály prečíslujú do odlišných prefixov, alebo sa zámerne stanú jednou doménou linkovej vrstvy.

Pretiahnutý segment prenáša rámce, nie trasy

Tunel prenášajúci Ethernet pripojený k mostom urobí z oboch areálov súčasť jednej domény linkovej vrstvy. Broadcasty ARP sa dostanú na druhú stranu a každý most sa učí, ktoré MAC adresy sú kde. Dokumentácia mostu v Linuxe popisuje túto hranicu preposielania založenú na MAC.

Tu vzdialená brána vôbec nesmeruje medzi dvomi identickými podsietami. Rámce prechádzajú podkladovou sieťou, ktorá sama smeruje IP, zatiaľ čo mosty predlžujú ethernetový rozhovor.

Cena je väčší polomer dopadu. Flooding pre neznáme ciele, slučky, prideľovanie DHCP a jedinečné adresovanie potrebujú jeden plán presahujúci oba areály. Keď WAN spadne, hostitelia stratia prevádzku, ktorú považujú za miestnu. Filtrovanie na moste a pravidlá VLAN môžu obmedziť, čo prejde, ale prenos stále nesľubuje, že dorazí každý miestny riadiaci rámec.

Proxy ARP je tretie riešenie

Router môže odpovedať na ARP za vzdialenú adresu a potom k nej smerovať. Tým sa vzdialený hostiteľ javí odosielateľovi ako na priamom spojení bez pretiahnutia broadcastovej domény.

Je to užší nástroj než mostovanie: závisí od preposielania, spätných trás a jasného vlastníka každej adresy.

Tiež nerobí smerovateľnými ľubovoľné protokoly mimo IP a nereprodukuje ethernetovú broadcastovú doménu. Použite ho, keď je požiadavkou presne táto náhrada, nie ako skratku pre odložené prečíslovanie.

Vyberte podľa požiadavky, potom overte

Pre bežný prístup aplikácií medzi kanceláriami dávajú odlišné prefixy a explicitné trasy jasnejšiu hranicu. Mostujte, keď je požiadavkou skutočne susedstvo linkovej vrstvy. Prečíslujte, keď jediným dôvodom zdieľaného prefixu je, že to ešte nikto neurobil.

Potvrďte, ktoré riešenie skutočne máte, tým že sa opýtate hostiteľa, čo robí s cieľom:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Výsledok na priamom spojení s neúspešnou položkou suseda ukazuje na chýbajúcu cestu linkovej vrstvy. Výsledok via pomenuje bránu a presúva otázku do smerovania. Na moste skontrolujte preposielaciu databázu, či sa MAC naučila cez tunel. Každý výstup zužuje otázku návrhu namiesto toho, aby ju začínal znova.