Zakaj dve lokaciji z istim podomrežjem nista en LAN

Dve pisarni obe uporabljata 192.168.77.0/24, in nekdo predlaga tunel, da bi bili eno omrežje. Stavek se sliši preprosto in skriva tri različne zasnove: dve neodvisni LAN, ki trčita, en namerno raztegnjen segment Ethernet čez WAN in ureditev proxy-ARP, ki odgovarja za oddaljene naslove. Katera od njih je pri vas, odloča, kaj gostitelj naredi s paketom, in odgovor je viden, preden se vključi prehod VPN.

Gostitelj se odloči pred usmerjevalnikom

Gostitelj z naslovom 192.168.77.10/24 primerja cilj z lastno predpono. Vse znotraj te predpone je na neposredni povezavi, zato gostitelj neposredno razreši naslov povezavnega sloja cilja. Vse zunaj gre na privzeti prehod.

Ta odločitev nastane v skladu gostitelja, ne v tunelu. Pot, dodana na prehodu, ne more rešiti paketa, ki ga gostitelj nikoli ne pošlje tja.

Ko torej 192.168.77.20 obstaja samo na drugi lokaciji, lokalni gostitelj zanj vpraša prek ARP in ne dobi odgovora. Ročna povezava VPN je lahko popolnoma zdrava, medtem ko to spodleti. Napaka izgleda kot mrtev gostitelj in ne kot težava z usmerjanjem. Prepoznavanje tega podpisa prihrani uro odpravljanja napak v tunelu.

ARP je vprašanje lokalne povezave

ARP vpraša, kdo ima naslov na tej povezavi, in odgovor mora priti od nečesa, kar sliši oddajanje. Usmerjevalnik na drugem koncu tunela IPsec ga ne sliši, razen če zasnova naredi iz obeh lokacij eno oddajno domeno.

Dve napravi z istim naslovom to poslabšata: niti uspešna razrešitev ne more povedati, katera je odgovorila.

Podvojeno naslavljanje ni napaka usmerjanja in nobena pot tega ne popravi. Ali se lokaciji preštevilčita v različni predponi, ali namerno postaneta ena domena povezavnega sloja.

Raztegnjen segment prenaša okvire, ne poti

Tunel, ki prenaša Ethernet in je priključen na mostove, naredi iz obeh lokacij del ene domene povezavnega sloja. Oddajanja ARP dosežejo drugo stran in vsak most se nauči, kje so kateri naslovi MAC. Dokumentacija mostu v Linuxu opisuje to mejo posredovanja na podlagi MAC.

Tu oddaljeni prehod sploh ne usmerja med dvema enakima podomrežjema. Okviri prečkajo spodnji sloj, ki sam usmerja IP, medtem ko mostovi podaljšujejo pogovor Ethernet.

Cena je večji polmer vpliva. Poplava proti neznanim ciljem, zanke, dodeljevanje DHCP in edinstveno naslavljanje vsi zahtevajo en načrt, ki zajema obe lokaciji. Ko WAN pade, gostitelji izgubijo promet, ki ga imajo za lokalnega. Filtriranje na mostu in pravila VLAN lahko omejijo, kaj prehaja, vendar prenos še vedno ne obljublja, da bo prispel vsak lokalni krmilni okvir.

Proxy ARP je tretja zasnova

Usmerjevalnik lahko odgovori na ARP za oddaljen naslov in nato usmerja proti njemu. To naredi, da se oddaljeni gostitelj pošiljatelju zdi na neposredni povezavi, ne da bi raztegnili oddajno domeno.

To je ožje orodje od mostenja: odvisno je od posredovanja, povratnih poti in jasnega lastnika vsakega naslova.

Prav tako ne naredi poljubnih protokolov, ki niso IP, usmerjevalnih in ne poustvari oddajne domene Ethernet. Uporabite ga, ko je zahteva natanko ta zamenjava, ne kot bližnjico za odloženo preštevilčenje.

Izberite glede na zahtevo, nato preverite

Za običajen dostop aplikacij med pisarnama dajo različne predpone in izrecne poti jasnejšo mejo. Mostite, ko je zahteva res sosedstvo povezavnega sloja. Preštevilčite, ko je edini razlog za skupno predpono to, da tega še nihče ni naredil.

Potrdite, katero zasnovo pravzaprav imate, tako da gostitelja vprašate, kaj naredi s ciljem:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Rezultat na neposredni povezavi z neuspešnim vnosom soseda kaže na manjkajočo pot povezavnega sloja. Rezultat via poimenuje prehod in premakne vprašanje v usmerjanje. Na mostu preverite posredovalno bazo podatkov, ali se je MAC naučil skozi tunel. Vsak izhod zoži vprašanje zasnove, namesto da bi ga začel znova.