Зашто два локалитета са истом подмрежом нису један LAN

Две канцеларије обе користе 192.168.77.0/24, и неко предлаже тунел да буду једна мрежа. Та фраза звучи једноставно и крије три различита дизајна: две независне LAN које се сударају, један намерно продужен Ethernet сегмент преко WAN-а и proxy-ARP поставка која одговара за удаљене адресе. Који од њих имате одлучује шта домаћин ради са пакетом, а одговор је видљив пре него што се VPN пролаз укључи.

Домаћин одлучује пре рутера

Домаћин са адресом 192.168.77.10/24 пореди одредиште са сопственим префиксом. Све унутар тог префикса је на директној вези, па домаћин директно разрешава адресу слоја везе одредишта. Све изван иде на подразумевани пролаз.

Та одлука се доноси у стек-у домаћина, не у тунелу. Рута додата на пролазу не може да спасе пакет који домаћин никада тамо не шаље.

Зато када 192.168.77.20 постоји само на другом локалитету, локални домаћин га пита преко ARP-а и не добија одговор. VPN руковање може бити потпуно здраво док ово не успева. Отказ изгледа као мртав домаћин, а не као проблем рутирања. Препознавање тог потписа штеди сат времена отклањања грешака у тунелу.

ARP је питање локалне везе

ARP пита чија је адреса на овој вези, а одговор мора да дође од нечега што чује емитовање. Рутер на другом крају IPsec тунела га не чује, осим ако дизајн не направи од два локалитета један домен емитовања.

Два уређаја са истом адресом то погоршавају: ни успешно разрешење не може да каже који је одговорио.

Дупликат адресирање није грешка у рутирању и ниједна рута га не поправља. Или се локалитети пренумеришу у различите префиксе, или намерно постају један домен слоја везе.

Продужени сегмент носи оквире, не руте

Тунел који носи Ethernet и повезан је са мостовима чини оба локалитета делом једног домена слоја везе. ARP емитовања стижу на другу страну, и сваки мост учи које MAC адресе су где. Документација моста у Linux-у описује ту границу прослеђивања засновану на MAC-у.

Овде удаљени пролаз уопште не рутира између две идентичне подмреже. Оквири пролазе кроз подлогу која сама рутира IP, док мостови продужавају Ethernet разговор.

Цена је већи радијус утицаја. Поплава ка непознатим одредиштима, петље, додела DHCP-а и јединствено адресирање сви траже један план који обухвата оба локалитета. Када WAN падне, домаћини губе саобраћај који сматрају локалним. Филтрирање на мосту и VLAN правила могу да ограниче шта пролази, али пренос и даље не обећава да ће стићи сваки локални контролни оквир.

Proxy ARP је трећи дизајн

Рутер може да одговори на ARP за удаљену адресу и затим рутира ка њој. То чини да удаљени домаћин изгледа на директној вези за пошиљаоца без растезања домена емитовања.

То је уже оруђе од мостовања: зависи од прослеђивања, повратних рута и јасног власника сваке адресе.

Такође не чини произвољне не-IP протоколе рутирајућим и не репродукује Ethernet домен емитовања. Користите га када је захтев управо та замена, не као пречицу за одложено пренумерисање.

Изаберите према захтеву, па проверите

За уобичајен приступ апликацијама између канцеларија, различити префикси и експлицитне руте дају јаснију границу. Мостујте када је захтев заиста суседство слоја везе. Пренумеришите када је једини разлог заједничког префикса то што то још нико није урадио.

Потврдите који дизајн заиста имате питавши домаћина шта ради са одредиштем:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Резултат на директној вези са неуспелим записом суседа упућује на путању слоја везе која недостаје. via резултат именује пролаз и премешта питање у рутирање. На мосту проверите базу прослеђивања да видите да ли је MAC научен кроз тунел. Сваки излаз сужава питање дизајна уместо да га поново започиње.