Odjemalec VPN z naslovom LAN ni v omrežju LAN

Odjemalec se poveže, prejme 10.50.0.200 in ne more doseči strežnika na 10.50.0.20, čeprav sta obe številki v istem /24. Prepričanje za to konfiguracijo je, da naslov iz predpone LAN naredi odjemalca del omrežja LAN. Ne naredi. Odjemalec je na povezavi od točke do točke, strežnik meni, da je cilj lokalni, in manjkajoči del je odgovor soseda, ki ga nihče ne pošlje.

Mit: enaka predpona pomeni enak segment

Predpona naslova pove gostitelju, katere cilje doseže neposredno in kateri potrebujejo usmerjevalnik. Ne pove mu, kako je cilj fizično priključen, in zagotovo ne jamči, da bo cilj lahko odgovoril na zahtevo na povezovalnem sloju. To so različna vprašanja, na katera odgovarjajo različne tabele na gostitelju. Maska odgovori na prvo, tabela sosedov na drugo, in samo prvo je z vaše strani VPN pod vašim nadzorom.

Ko strežnik pošilja na 10.50.0.200, primerja cilj s svojo masko, ugotovi, da je naslov on-link, in vpraša lokalni segment za strojno naslov, ki mu pripada. Ta zahteva gre ven po vmesniku Ethernet, odjemalca VPN pa tam ni, da bi jo slišal.

Nič v konfiguraciji odjemalca tega ne more popraviti z njegove strani. Pot odgovora je odvisna od tega, ali bo naprava v omrežju LAN odgovorila v imenu odjemalca, ali od tega, da ima odjemalec naslov, ki ga strežnik ne šteje za lokalnega.

Kaj lokalni gostitelj v resnici počne z naslovom

Vedenje je lahko opazovati in vredno ga je opazovati, preden karkoli spremenite. Poglejte na gostitelju v omrežju LAN v tabelo sosedov, potem ko je poskusil doseči odjemalca: nepopoln ali neuspešen vnos je celotna diagnoza v eni vrstici. Ta vrstica vam pove tudi, da je napaka lokalna za segment in ne nekje v tunelu.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Iskanje poti bo poročalo cilj kot on-link prek vmesnika Ethernet, in to je natanko težava. Če vnos soseda ostane nepopoln, dokler je seja VPN aktivna, ste potrdili, da je manjkajoči del razreševanje na povezovalnem sloju in ne usmerjanje ali politika požarnega zidu.

Izvedite enak pregled z gostitelja v drugem podomrežju in primerjajte. Gostitelj, ki doseže odjemalca prek usmerjevalnika, ne potrebuje vnosa soseda sploh, in ta razlika je načrtovalska odločitev v malem.

Kako proxy ARP zagotovi naslednji skok

proxy ARP prisili prehod, da odgovori na zahtevo povezovalnega sloja v imenu cilja, ki ga lahko doseže prek drugega vmesnika. Gostitelj v omrežju LAN prejme strojni naslov, pošlje okvir prehodu, prehod pa posreduje paket v sejo VPN. Z vidika gostitelja je odjemalec videti preprosto za prehodom. V konfiguraciji odjemalca se nič ne spremeni.

Dokumentacija RouterOS o ARP podjetja MikroTik opisuje to uporabo za odjemalce dial-in, ki si izposojajo naslovni prostor priključenega omrežja LAN. Mehanizem je popravilo razreševanja sosedov in deluje, ker je prehod res na obeh poteh.

To ni isto kot mostenje odjemalca v omrežje LAN. Prehod mora še vedno posredovati paket pravi aktivni seji, njegovo usmerjanje in politika požarnega zidu pa morata še vedno dovoliti storitev. proxy ARP spremeni, kdo odgovori na zahtevo soseda, ne pa, kdo sme govoriti.

Pozorno preberite imena načinov platforme. RouterOS ločuje proxy-arp in local-proxy-arp, drugi pa obravnava promet, ki vstopa in izstopa skozi isti vmesnik. To nista zamenljiva zapisa in vklop obeh brez razlikovanja ni bližnjica.

Česa proxy ARP ne daje

Ne zagotavlja odkrivanja prek broadcasta ali multicasta. Odjemalec, ki mora storitev najti prek broadcasta, bo še vedno propadel, ker prehod posreduje unicast v sejo in odjemalca ne naredi člana broadcast domene omrežja LAN. Protokoli odkrivanja, ki se zanašajo na broadcast, so pogost vir poročil, da deluje za eno stvar in ne za drugo, pri načrtih z izposojenimi naslovi.

Naslova ne rezervira. Če je izposojena številka tudi v naboru DHCP ali v statični dodelitvi, lahko dve napravi končata z istim naslovom, končno vedenje pa je odvisno od časovnega trenutka. Uspešna prijava ni rezervacija.

In ne odpravi potrebe po usklajevanju z lastnikom omrežja LAN. Vnos proxy ARP, ki preseneti lastnika naslovnega načrta, je podporni dogodek, ki čaka na miren teden.

Primerjava z ločeno usmerjenim naborom

Alternativa je dati odjemalcem VPN svojo predpono in pustiti gostiteljem omrežja LAN, da usmerjajo vanjo. Strežnik takrat pošilja odgovore off-link svojemu prehodu, prehod usmeri predpono do končne točke VPN, na segmentu LAN pa razreševanje sosedov sploh ni potrebno. To je manj gibljivih delov kot izposojen naslov plus odgovor proxy.

Ta načrt je lažje premisliti in lažje revidirati, ker je obseg odjemalcev vidno ločen od obsega omrežja LAN. Stane pot, povratno pot in pravilo dostopa, iste stvari, ki jih načrt s proxy ARP potrebuje na manj očitnem mestu.

Izberite med modeli zavestno in ne po naključju. proxy ARP popravi eno določeno razmerje; usmerjeni nabor odpravi potrebo po tem popravilu. Zapišite, kaj ste izbrali in zakaj, in naslednji človek tega ne bo moral znova odkriti iz neuspešnega vnosa soseda.