Bakit ang dalawang site na may parehong subnet ay hindi isang LAN

Dalawang opisina ang parehong gumagamit ng 192.168.77.0/24, at may nagmumungkahi ng tunnel upang maging isang network sila. Parang simple ang parirala at nagtatago ito ng tatlong magkaibang disenyo: dalawang malayang LAN na nagbabanggaan, isang sadyang pinahabang segment ng Ethernet sa ibabaw ng WAN, at isang kaayusang proxy-ARP na sumasagot para sa malalayong address. Kung alin ang mayroon ka ang nagpapasya kung ano ang ginagawa ng host sa packet, at nakikita ang sagot bago pa makialam ang VPN gateway.

Nagpapasya ang host bago ang router

Ang host na may address na 192.168.77.10/24 ay inihahambing ang destinasyon sa sarili nitong prefix. Lahat ng nasa loob ng prefix na iyon ay nasa direktang link, kaya direktang nilulutas ng host ang link-layer address ng destinasyon. Lahat ng nasa labas ay pumupunta sa default gateway.

Nangyayari ang pasyang iyon sa stack ng host, hindi sa tunnel. Ang rutang idinagdag sa gateway ay hindi makapagliligtas ng packet na hindi kailanman ipinapadala ng host doon.

Kaya kapag ang 192.168.77.20 ay umiiral lamang sa kabilang site, tinatanong ito ng lokal na host sa ARP at walang sagot na natatanggap. Maaaring ganap na malusog ang handshake ng VPN habang nabibigo ito. Mukhang patay na host ang pagkabigo at hindi problema sa routing. Ang makilala ang tandang iyon ay nakakatipid ng isang oras sa pag-debug ng tunnel.

Ang ARP ay tanong ng lokal na link

Tinatanong ng ARP kung sino ang may-ari ng address sa link na ito, at ang sagot ay dapat magmula sa isang bagay na nakakarinig ng broadcast. Ang router sa kabilang dulo ng IPsec tunnel ay hindi ito naririnig maliban kung gagawin ng disenyo na isang broadcast domain ang dalawang site.

Dalawang device na may parehong address ay nagpapalala: kahit matagumpay na paglutas ay hindi masasabi kung alin ang sumagot.

Ang doble na addressing ay hindi bug sa routing at walang ruta ang makakapag-ayos nito. Alinman sa muling bilangin ang mga site sa magkaibang prefix, o sadyang maging isang link-layer domain sila.

Ang pinahabang segment ay nagdadala ng frame, hindi ruta

Ang tunnel na nagdadala ng Ethernet at nakakabit sa mga bridge ay ginagawang bahagi ng isang link-layer domain ang dalawang site. Nakakarating ang ARP broadcast sa kabilang panig, at natututuhan ng bawat bridge kung saan naroon ang aling MAC address. Ang dokumentasyon ng bridge sa Linux ay naglalarawan ng hangganang iyon ng pagpapasa na nakabase sa MAC.

Dito ay hindi talaga nagra-route ang malayong gateway sa pagitan ng dalawang magkatulad na subnet. Dumadaan ang mga frame sa isang underlay na mismo ang nagra-route ng IP, habang pinahahaba ng mga bridge ang usapang Ethernet.

Ang halaga ay mas malaking radius ng epekto. Ang pagbaha sa mga hindi kilalang destinasyon, mga loop, paglalaan ng DHCP at natatanging addressing ay nangangailangan ng isang planong sumasaklaw sa dalawang site. Kapag bumagsak ang WAN, nawawala sa mga host ang trapikong itinuturing nilang lokal. Ang pag-filter sa bridge at mga tuntunin ng VLAN ay maaaring maglimit sa tumatawid, ngunit ang paghahatid ay hindi pa rin nangangako na darating ang bawat lokal na control frame.

Ang proxy ARP ay ikatlong disenyo

Maaaring sumagot ang router sa ARP para sa malayong address at pagkatapos ay mag-route doon. Ginagawa nitong mukhang nasa direktang link ang malayong host para sa nagpadala nang hindi pinahahaba ang broadcast domain.

Ito ay mas makitid na kasangkapan kaysa bridging: umaasa ito sa pagpapasa, mga rutang pabalik at malinaw na may-ari ng bawat address.

Hindi rin nito ginagawang maaaring i-route ang mga arbitraryong di-IP na protocol, at hindi nito ginagaya ang isang Ethernet broadcast domain. Gamitin ito kapag ang pangangailangan ay eksaktong kapalit na iyon, hindi bilang shortcut para sa ipinagpalibang muling pagbilang.

Pumili mula sa pangangailangan, pagkatapos ay i-verify

Para sa ordinaryong pag-access ng aplikasyon sa pagitan ng mga opisina, ang magkaibang prefix at malinaw na ruta ay nagbibigay ng mas malinaw na hangganan. Mag-bridge kapag ang pangangailangan ay tunay na link-layer adjacency. Muling bilangin kapag ang tanging dahilan ng pinagsamang prefix ay wala pang nakagawa nito.

Tiyakin kung aling disenyo talaga ang mayroon ka sa pamamagitan ng pagtatanong sa host kung ano ang ginagawa nito sa destinasyon:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Ang resultang nasa direktang link na may nabigong neighbor entry ay tumutukoy sa nawawalang landas sa link layer. Ang resultang via ay nagpapangalan ng gateway at inililipat ang tanong sa routing. Sa isang bridge, tingnan ang forwarding database upang malaman kung natutuhan ang MAC sa tunnel. Ang bawat output ay nagpapaliit ng tanong sa disenyo sa halip na magsimula muli.