VPN клијент са LAN адресом није на LAN-у

Клијент се повезује, добија 10.50.0.200 и не може да достигне сервер на 10.50.0.20 иако су оба броја у истој /24. Уверење иза те конфигурације је да адреса из LAN префикса чини клијента делом LAN-а. Не чини. Клијент је на вези тачка-тачка, сервер сматра одредиште локалним, а део који недостаје је одговор суседа који нико не шаље.

Мит: исти префикс значи исти сегмент

Префикс адресе каже домаћину које одредиште достиже директно и којима треба рутер. Не каже домаћину како је одредиште физички повезано, и сигурно не гарантује да одредиште може да одговори на захтев на слоју везе. То су различита питања на која одговарају различите табеле на домаћину. Маска одговара на прво, табела суседа на друго, и само је прво под вашом контролом са стране VPN-а.

Када сервер шаље на 10.50.0.200, он пореди одредиште са својом маском, закључује да је адреса on-link и пита локални сегмент за хардверску адресу која му припада. Тај захтев излази кроз Ethernet интерфејс, а VPN клијент није тамо да га чује.

Ништа у конфигурацији клијента не може то да поправи са његове стране. Пут одговора зависи од тога да ли ће уређај у LAN-у одговорити у име клијента, или од тога да клијент има адресу коју сервер не сматра локалном.

Шта локални домаћин заиста ради са адресом

Понашање је лако посматрати и вреди га посматрати пре него што било шта промените. Погледајте табелу суседа на домаћину у LAN-у након што је покушао да достигне клијента: непотпуна или неуспела ставка је цела дијагноза у једном реду. Тај ред вам такође каже да је квар локалан за сегмент, а не негде унутар тунела.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Тражење руте ће пријавити одредиште као on-link кроз Ethernet интерфејс, и управо је то проблем. Ако ставка суседа остане непотпуна док је VPN сесија активна, потврдили сте да је део који недостаје решавање на слоју везе, а не рутирање или политика заштитног зида.

Изведите исту проверу са домаћина у другој подмрежи и упоредите. Домаћин који достиже клијента кроз рутер уопште не треба ставку суседа, и та разлика је пројектна одлука у малом.

Како proxy ARP обезбеђује следећи корак

proxy ARP тера портал да одговори на захтев слоја везе у име одредишта до којег може да стигне кроз други интерфејс. Домаћин у LAN-у добија хардверску адресу, шаље оквир порталу, а портал прослеђује пакет у VPN сесију. Са становишта домаћина клијент једноставно изгледа као да је иза портала. Ништа у конфигурацији клијента се не мења.

Документација RouterOS-а о ARP-у компаније MikroTik описује ту употребу за dial-in клијенте који позајмљују адресни простор повезаног LAN-а. Механизам је поправка решавања суседа, и ради зато што портал заиста јесте на оба пута.

То није исто као премошћавање клијента у LAN. Портал и даље мора да проследи пакет исправној активној сесији, а његово рутирање и политика заштитног зида и даље морају да дозволе услугу. proxy ARP мења ко одговара на захтев суседа, а не ко сме да говори.

Пажљиво читајте називе режима платформе. RouterOS раздваја proxy-arp од local-proxy-arp, а други обрађује саобраћај који улази и излази кроз исти интерфејс. То нису заменљиви правописи, и укључивање оба без разлике није пречица.

Шта вам proxy ARP не даје

Не обезбеђује откривање преко broadcast-а или multicast-а. Клијент који мора да нађе услугу преко broadcast-а ипак ће пропасти, јер портал прослеђује unicast у сесију и не чини клијента чланом broadcast домена LAN-а. Протоколи откривања који зависе од broadcast-а чест су извор извештаја да ради за једну ствар, а не за другу у пројектима са позајмљеним адресама.

Не резервише адресу. Ако се позајмљени број такође налази у DHCP базену или у статичкој додели, два уређаја могу да заврше са истом адресом, а резултујуће понашање зависи од времена. Успешна пријава није резервација.

И не уклања потребу за координацијом са власником LAN-а. Ставка proxy ARP-а која изненади власника плана адреса је инцидент подршке који чека мирну недељу.

Поређење са одвојено рутираним базеном

Алтернатива је дати VPN клијентима сопствени префикс и пустити домаћине у LAN-у да рутирају ка њему. Тада сервер шаље off-link одговоре свом порталу, портал рутира префикс до крајње тачке VPN-а, и на LAN сегменту уопште није потребно решавање суседа. То је мање покретних делова од позајмљене адресе плус proxy одговор.

Тај дизајн је лакши за размишљање и лакши за ревизију, јер је распон клијената видљиво одвојен од распона LAN-а. Кошта једну руту, повратни пут и правило приступа, исте ствари које дизајн са proxy ARP-ом захтева на мање очигледном месту.

Изаберите између модела намерно, а не случајно. proxy ARP поправља једну конкретну везу; рутирани базен уклања потребу за том поправком. Запишите шта сте изабрали и зашто, и следећа особа неће морати то поново да открије из неуспеле ставке суседа.