Ang kliyenteng VPN na may address na LAN ay wala sa LAN

Kumokonekta ang kliyente, tumatanggap ng 10.50.0.200 at hindi maabot ang server sa 10.50.0.20 kahit nasa parehong /24 ang dalawang numero. Ang paniniwala sa likod ng configuration na iyon ay ang address mula sa prefix ng LAN ay ginagawang bahagi ng LAN ang kliyente. Hindi ganito. Ang kliyente ay nasa point-to-point na link, itinuturing ng server na lokal ang destinasyon, at ang nawawalang piraso ay isang sagot ng kapitbahay na walang nagpapadala.

Ang mito: parehong prefix ay parehong segment

Sinasabi ng prefix ng address sa host kung aling mga destinasyon ang direktang maabot nito at alin ang nangangailangan ng router. Hindi nito sinasabi sa host kung paano pisikal na nakakabit ang destinasyon, at tiyak na hindi nito ginagarantiyahan na makakatugon ang destinasyon sa isang kahilingan sa link layer. Magkaibang tanong iyon, na sinasagot ng magkaibang talahanayan sa host. Sinasagot ng mask ang una at ng talahanayan ng kapitbahay ang pangalawa, at tanging ang una ang nasa ilalim ng iyong kontrol mula sa panig ng VPN.

Kapag nagpapadala ang server sa 10.50.0.200, inihahambing nito ang destinasyon sa sarili nitong mask, nagpapasya na on-link ang address, at nagtatanong sa lokal na segment ng hardware address na nagmamay-ari nito. Lumalabas ang kahilingang iyon sa interface ng Ethernet, at wala roon ang kliyenteng VPN upang marinig ito.

Walang anuman sa configuration ng kliyente ang makakapag ayos nito mula sa panig nito. Nakadepende ang landas ng tugon sa isang device sa LAN na tutugon sa ngalan ng kliyente, o sa pagkakaroon ng kliyente ng address na hindi itinuturing na lokal ng server.

Ano ang talagang ginagawa ng lokal na host sa address

Madaling obserbahan ang pag-uugali at sulit na obserbahan bago ka magbago ng anuman. Tingnan ang talahanayan ng kapitbahay sa isang host ng LAN pagkatapos nitong subukang maabot ang kliyente: ang hindi kumpleto o nabigong entry ay ang buong diagnosis sa isang linya. Sinasabi rin ng linyang iyon na lokal sa segment ang sira at hindi saanman sa loob ng tunnel.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Iuulat ng paghahanap ng ruta ang destinasyon bilang on-link sa interface ng Ethernet, at iyon mismo ang problema. Kung mananatiling hindi kumpleto ang entry ng kapitbahay habang aktibo ang session ng VPN, nakumpirma mo na ang nawawalang piraso ay ang resolution sa link layer at hindi ang routing o patakaran ng firewall.

Gawin ang parehong pagsusuri mula sa isang host sa ibang subnet at ihambing. Ang host na umaabot sa kliyente sa pamamagitan ng router ay hindi nangangailangan ng entry ng kapitbahay, at ang pagkakaibang iyon ay ang desisyon sa disenyo sa maliit na anyo.

Paano nagbibigay ang proxy ARP ng susunod na hop

Pinapag tugon ng proxy ARP ang gateway sa kahilingan sa link layer sa ngalan ng destinasyong maaabot nito sa pamamagitan ng ibang interface. Ang host ng LAN ay tumatanggap ng hardware address, ipinapadala ang frame sa gateway, at ipinapasa ng gateway ang packet sa session ng VPN. Mula sa pananaw ng host, ang kliyente ay tila nasa likod lamang ng gateway. Walang nagbabago sa configuration ng kliyente.

Inilalarawan ng dokumentasyon ng RouterOS ARP ng MikroTik ang paggamit na iyon para sa mga kliyenteng dial-in na nanghihiram ng espasyo ng address ng konektadong LAN. Ang mekanismo ay isang pagkukumpuni ng resolution ng kapitbahay, at gumagana ito dahil ang gateway ay talagang nasa parehong landas.

Ito ay hindi katulad ng pag-bridge ng kliyente sa LAN. Kailangan pa ring ipasa ng gateway ang packet sa tamang aktibong session, at ang routing at patakaran ng firewall nito ay kailangan pa ring payagan ang serbisyo. Binabago ng proxy ARP kung sino ang tumutugon sa kahilingan ng kapitbahay, hindi kung sino ang pinapayagang magsalita.

Basahin nang mabuti ang mga pangalan ng mode ng platform. Pinaghihiwalay ng RouterOS ang proxy-arp mula sa local-proxy-arp, at ang pangalawa ay humahawak ng trapikong pumapasok at lumalabas sa parehong interface. Ang mga ito ay hindi mapagpalit na baybay, at ang pagpapagana ng dalawa nang walang pagtatangi ay hindi shortcut.

Ano ang hindi ibinibigay ng proxy ARP

Hindi ito nagbibigay ng pagtuklas sa pamamagitan ng broadcast o multicast. Ang kliyenteng kailangang makahanap ng serbisyo sa pamamagitan ng broadcast ay mabibigo pa rin, dahil ipinapasa ng gateway ang unicast sa session at hindi ginagawang miyembro ng broadcast domain ng LAN ang kliyente. Ang mga protocol ng pagtuklas na umaasa sa broadcast ay karaniwang pinagmumulan ng mga ulat na gumagana ito para sa isang bagay at hindi para sa iba sa mga disenyong may hiram na address.

Hindi nito inirereserba ang address. Kung ang hiram na numero ay nasa isang pool ng DHCP o sa isang static na pagtatalaga, maaaring magtapos ang dalawang device sa parehong address at ang resulta ay nakadepende sa oras. Ang matagumpay na pag-login ay hindi reserbasyon.

At hindi nito inaalis ang pangangailangang makipag-ugnayan sa may-ari ng LAN. Ang isang entry ng proxy ARP na nagugulat sa may-ari ng plano ng address ay isang insidente ng suporta na naghihintay ng tahimik na linggo.

Paghahambing sa isang pool na naka-routing nang hiwalay

Ang alternatibo ay bigyan ang mga kliyenteng VPN ng sarili nilang prefix at hayaan ang mga host ng LAN na mag-routing patungo roon. Pagkatapos ay nagpapadala ang server ng mga sagot na off-link sa gateway nito, ini-routing ng gateway ang prefix patungo sa endpoint ng VPN, at wala nang kailangang resolution ng kapitbahay sa segment ng LAN. Iyon ay mas kaunting gumagalaw na bahagi kaysa sa hiram na address at sagot ng proxy.

Ang disenyong iyon ay mas madaling isipin at mas madaling i-audit, dahil ang saklaw ng mga kliyente ay hayagang hiwalay sa saklaw ng LAN. Nagkakahalaga ito ng isang ruta, isang landas pabalik at isang tuntunin sa pag-access, ang parehong mga bagay na kailangan ng disenyo ng proxy ARP sa isang lugar na hindi gaanong halata.

Pumili sa pagitan ng mga modelo nang sinasadya at hindi nagkataon. Kinukumpuni ng proxy ARP ang isang partikular na ugnayan; iniiwasan ng naka-routing na pool ang pangangailangan sa pagkukumpuning iyon. Isulat kung alin ang pinili mo at bakit, at hindi na kailangang tuklasin muli ng susunod na tao iyon mula sa isang nabigong entry ng kapitbahay.