Grupi juaj i adresave VPN nuk është diapazoni DHCP i LAN-it: pse prishet

Shkurtesa joshëse është t'u jepen klientëve VPN adresa nga i njëjti diapazon që përdor serveri DHCP i zyrës, me teorinë se gjithçka është një rrjet i vetëm gjithsesi. Nuk është. Një tunel i rrugëzuar transporton paketa unicast midis dy skajeve, ndërsa grupi i LAN-it ekziston për t'u përgjigjur kërkesave të transmetimit në një segment fizik. Ripërdorimi i numrave vendos dy shpërndarës përgjegjës për një hapësirë të vetme adresash dhe e lë rrugën e kthimit të papërcaktuar.

Dy shpërndarës, një hapësirë adresash

Serveri DHCP i LAN-it e di cilat adresa ka dhënë me qira dhe cilës adresë MAC, dhe i mbron me ARP. Serveri VPN ka grupin e vet dhe nuk di asgjë për ato qira. Asnjëri nuk gabon; thjesht nuk janë prezantuar kurrë me njëri-tjetrin.

Një adresë nga grupi i LAN-it që jep serveri VPN mund t'i përkasë tashmë një printeri. Tani dy pajisje kërkojnë një adresë në të njëjtin prefiks, dhe tabela e përcjelljes e switch-it vendos se cila do të përgjigjet.

Ky është defekti që njerëzit hasin së pari: një klient që lidhet me sukses dhe më pas arrin makinën e gabuar, ose arrin atë të saktën me ndërprerje.

Pse routeri nuk shpërndan adresa VPN

Zbulimi DHCP është transmetim, dhe transmetimet ndalen në një kufi të rrugëzuar. Nëse projekti nuk e urëzon tunelin ose nuk ekzekuton një rele DHCP me autoritetin përkatës, kërkesa e klientit nuk arrin kurrë serverin e LAN-it.

Prandaj serveri VPN e cakton vetë adresën: një grup në konfigurimin e serverit, një adresë për çdo partner në një instalim WireGuard, ose një adresë e shtyrë nga shtresa e vërtetimit në një vendosje IKEv2. Këta mekanizma janë të pavarur nga baza e qirave e LAN-it, dhe pikërisht për këtë u duhet një diapazon i tyre.

I njëjti arsyetim shpjegon pse ndryshimi i fushës DHCP nuk rregullon një klient VPN që nuk merr kurrë adresë. Klienti nuk e pyet serverin e LAN-it, dhe asnjë redaktim i fushës nuk e bën ta pyesë.

Mbivendosja shfaqet si konflikt, jo si rrjet i ngadaltë

Dy rrjete që ndajnë një prefiks pa një projekt të mbështetur janë problem tjetër nga pronësia e dyfishtë, dhe shpesh ngatërrohen. Nëse grupi VPN është prefiks i veçantë, mbivendosja ka rëndësi vetëm kur një rrugë dërgon trafikun në anën e gabuar. Nëse grupi ndodhet brenda prefiksit të LAN-it, konflikti është i menjëhershëm dhe lokal.

Në praktikë shihni përgjigje ARP nga pajisja e gabuar, lidhje që rivendosen në mes, dhe një klient adresën e të cilit e kërkon dikush tjetër. Asnjëra prej tyre nuk duket si problem rrugëtimi, prandaj rregullimi aplikohet në shtresën e gabuar. Një qira e dyfishtë është e lehtë për t'u konfirmuar dhe e bezdisshme për të jetuar me të. Ajo i mbijeton edhe rindezjeve, sepse të dy shpërndarësit vazhdojnë të këmbëngulin për të njëjtën adresë.

Rruga e kthimit është problem më vete

Edhe me një grup të pastër dhe të veçantë, hostet e LAN-it duhet të dinë si t'i përgjigjen një klienti. Porta e tyre e parazgjedhur është routeri, dhe routeri ka nevojë për një rrugë për grupin që tregon drejt serverit VPN, përveç nëse projekti përkthen trafikun e klientit.

Lexoni rrugën në të dy drejtimet përpara se të ndryshoni gjithçka. Në portë, pyesni cilën ndërfaqe do të përdorte kerneli për një adresë klienti; në klient, pyesni cilën rrugë përdor për një adresë të LAN-it.

Këto komanda tregojnë vendimin e përcjelljes në portë dhe zërat e fqinjëve që zbulojnë një dublikatë:

ip -4 route get 10.8.0.5
ip neigh show dev br-lan | grep 10.8
ip -4 route get 192.168.50.20

Nëse komanda e parë përgjigjet me ndërfaqen e tunelit, rruga e kthimit ekziston. Nëse përgjigjet me ndërfaqen e LAN-it, routeri beson se klienti është në kabllo dhe do të përpiqet të bëjë ARP për të.

Ka projekte me urë, por ato duhet të zgjidhen

Urëzimi i një tuneli me LAN-in është projekt i vërtetë, i përdorur kur klientët duhet të marrin transmetime ose duhet të zbulohen nga protokolle që supozojnë një segment të vetëm. Kërkon që serveri të zotërojë atë sjellje urëzimi dhe trajtimin e adresave që vjen me të.

Ajo që nuk funksionon është imitimi i rezultatit duke kopjuar numrat. Një grup i përbashkët pa urë ju jep konfliktin pa zbulimin, që është më e keqja e të dyja rregullimeve.

Zgjidhni shtresën e tretë me një grup të veçantë, përveç nëse aplikacioni ka vërtet nevojë për segmentin, dhe dokumentoni grupin që administratori i ardhshëm të mos e ripërdorë diapazonin DHCP për hir të rregullit.