Klient VPN s adresou LAN nie je v sieti LAN

Klient sa pripojí, dostane 10.50.0.200 a nedokáže sa dostať na server na 10.50.0.20, aj keď obe čísla ležia v tej istej /24. Za touto konfiguráciou stojí presvedčenie, že adresa z prefixu LAN robí klienta súčasťou LAN. Nerobí. Klient je na spoji bod-bod, server považuje cieľ za lokálny a chýbajúcou časťou je odpoveď suseda, ktorú nikto neposiela.

Mýtus: rovnaký prefix znamená rovnaký segment

Prefix adresy hovorí hostiteľovi, ktoré ciele dosiahne priamo a ktoré potrebujú smerovač. Nehovorí hostiteľovi, ako je cieľ fyzicky pripojený, a rozhodne nezaručuje, že cieľ dokáže odpovedať na požiadavku na linkovej vrstve. To sú rôzne otázky, na ktoré odpovedajú rôzne tabuľky na hostiteľovi. Maska odpovedá na prvú a tabuľka susedov na druhú, a len prvá je z vašej strany VPN pod vašou kontrolou.

Keď server posiela na 10.50.0.200, porovná cieľ so svojou maskou, rozhodne, že adresa je on-link, a opýta sa lokálneho segmentu na hardvérovú adresu, ktorá jej patrí. Táto požiadavka vychádza cez rozhranie Ethernet a klient VPN tam nie je, aby ju počul.

Nič v konfigurácii klienta to z jeho strany neopraví. Cesta odpovede závisí od toho, či zariadenie v LAN odpovie v mene klienta, alebo či má klient adresu, ktorú server nepovažuje za lokálnu.

Čo lokálny hostiteľ s adresou naozaj robí

Správanie sa dá ľahko pozorovať a oplatí sa ho vidieť predtým, než čokoľvek zmeníte. Pozrite sa na hostiteľovi v LAN do tabuľky susedov po tom, čo sa pokúsil dostať ku klientovi: neúplná alebo neúspešná položka je celá diagnóza na jednom riadku. Ten riadok vám tiež povie, že porucha je lokálna pre segment a nie niekde v tuneli.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Vyhľadanie trasy ohlási cieľ ako on-link cez rozhranie Ethernet, a to je presne problém. Ak položka suseda zostane neúplná, kým je relácia VPN aktívna, potvrdili ste, že chýbajúcou časťou je rozlíšenie na linkovej vrstve a nie smerovanie alebo politika firewallu.

Vykonajte rovnakú kontrolu z hostiteľa v inej podsieti a porovnajte. Hostiteľ, ktorý sa ku klientovi dostane cez smerovač, položku suseda vôbec nepotrebuje, a ten rozdiel je rozhodnutie návrhu v miniatúre.

Ako proxy ARP poskytuje ďalší skok

proxy ARP núti bránu odpovedať na požiadavku linkovej vrstvy v mene cieľa, ku ktorému sa dokáže dostať cez iné rozhranie. Hostiteľ v LAN dostane hardvérovú adresu, pošle rámec bráne a brána prepošle paket do relácie VPN. Z pohľadu hostiteľa klient jednoducho vyzerá, akoby bol za bránou. Na konfigurácii klienta sa nič nemení.

Dokumentácia RouterOS k ARP od MikroTiku opisuje toto použitie pre dial-in klientov, ktorí si požičiavajú adresný priestor pripojenej LAN. Mechanizmus je oprava rozlíšenia susedov a funguje preto, lebo brána skutočne leží na oboch cestách.

To nie je to isté ako premosťovanie klienta do LAN. Brána stále musí preposlať paket správnej aktívnej relácii a jej smerovanie a politika firewallu stále musia službu povoliť. proxy ARP mení, kto odpovedá na požiadavku suseda, nie kto smie hovoriť.

Čítajte názvy režimov platformy pozorne. RouterOS oddeľuje proxy-arp od local-proxy-arp a druhý spracúva prevádzku, ktorá vstupuje a vystupuje tým istým rozhraním. Nie sú to zamentiteľné pravopisy a zapnutie oboch bez rozmyslu nie je skratka.

Čo vám proxy ARP nedá

Neposkytuje objavovanie cez broadcast ani multicast. Klient, ktorý musí službu nájsť cez broadcast, stále zlyhá, pretože brána preposiela unicast do relácie a nerobí z klienta člena broadcastovej domény LAN. Protokoly objavovania závislé od broadcastu sú častým zdrojom hlásení, že to funguje na jednu vec a na druhú nie, pri návrhoch s požičanými adresami.

Adresu nerezervuje. Ak požičané číslo leží aj v poole DHCP alebo v statickom priradení, dve zariadenia môžu skončiť s tou istou adresou a výsledné správanie závisí od časovania. Úspešné prihlásenie nie je rezervácia.

A neodstraňuje potrebu koordinácie s vlastníkom LAN. Záznam proxy ARP, ktorý prekvapí vlastníka adresného plánu, je incident podpory čakajúci na pokojný týždeň.

Porovnanie so samostatne smerovaným poolom

Alternatívou je dať klientom VPN vlastný prefix a nechať hostiteľov LAN smerovať doň. Server potom posiela off-link odpovede svojej bráne, brána smeruje prefix ku koncovému bodu VPN a na segmente LAN nie je potrebné žiadne rozlíšenie susedov. To je menej pohyblivých častí než požičaná adresa plus odpoveď proxy.

Taký návrh sa ľahšie premýšľa a ľahšie audituje, pretože rozsah klientov je viditeľne oddelený od rozsahu LAN. Stojí trasu, spiatočnú cestu a prístupové pravidlo, teda tie isté veci, ktoré návrh s proxy ARP potrebuje na menej zjavnom mieste.

Vyberajte medzi modelmi vedome, nie náhodou. proxy ARP opravuje jeden konkrétny vzťah; smerovaný pool odstraňuje potrebu tejto opravy. Zapíšte, ktorý ste si vybrali a prečo, a nasledujúci človek to nebude musieť znovu objavovať z neúspešnej položky suseda.