LAN adresli bir VPN istemcisi LAN üzerinde değildir

İstemci bağlanır, 10.50.0.200 alır ve iki numara da aynı /24 içinde olmasına rağmen 10.50.0.20'deki sunucuya ulaşamaz. Bu yapılandırmanın arkasındaki inanç, LAN ön ekinden gelen bir adresin istemciyi LAN'ın parçası yaptığıdır. Yapmaz. İstemci noktadan noktaya bir bağlantı üzerindedir, sunucu hedefi yerel sayar ve eksik parça kimsenin göndermediği bir komşu yanıtıdır.

Mit: aynı ön ek aynı segment demektir

Bir adres ön eki, bir ana bilgisayara hangi hedeflere doğrudan ulaşabileceğini ve hangilerinin bir yönlendiriciye ihtiyaç duyduğunu söyler. Hedefin fiziksel olarak nasıl bağlandığını söylemez ve hedefin bağlantı katmanındaki bir isteğe yanıt verebileceğini kesinlikle garanti etmez. Bunlar farklı sorulardır ve ana bilgisayardaki farklı tablolar yanıtlar. Mask ilkini, komşu tablosu ikincisini yanıtlar ve yalnızca ilki VPN tarafından sizin denetiminiz altındadır.

Sunucu 10.50.0.200'e gönderdiğinde hedefi kendi maskesiyle karşılaştırır, adresin on-link olduğuna karar verir ve ona ait donanım adresini yerel segmentten ister. Bu istek Ethernet arayüzünden çıkar ve VPN istemcisi onu duymak için orada değildir.

İstemcinin yapılandırmasında hiçbir şey bunu kendi tarafından düzeltemez. Yanıt yolu, LAN'daki bir aygıtın istemci adına yanıt vermesine veya istemcinin sunucunun yerel saymadığı bir adrese sahip olmasına bağlıdır.

Yerel ana bilgisayar adresle gerçekte ne yapar

Davranışı gözlemlemek kolaydır ve bir şeyi değiştirmeden önce gözlemlemeye değer. LAN'daki bir ana bilgisayarın istemciye ulaşmayı denemesinden sonra komşu tablosuna bakın: eksik veya başarısız bir giriş tek satırda tüm tanıdır. O satır ayrıca arızanın segmente yerel olduğunu, tünelin içinde bir yerde olmadığını söyler.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Rota araması hedefi Ethernet arayüzü üzerinden on-link olarak bildirecektir ve sorun tam olarak budur. VPN oturumu açıkken komşu girişi eksik kalırsa, eksik parçanın bağlantı katmanı çözümlemesi olduğunu, yönlendirme veya güvenlik duvarı ilkesi olmadığını doğrulamış olursunuz.

Aynı denetimi başka bir alt ağdaki ana bilgisayardan yapın ve karşılaştırın. İstemciye bir yönlendirici üzerinden ulaşan ana bilgisayarın komşu girişine hiç ihtiyacı yoktur ve bu fark küçük ölçekte tasarım kararıdır.

proxy ARP sonraki atlamayı nasıl sağlar

proxy ARP, ağ geçidinin başka bir arayüz üzerinden ulaşabildiği bir hedef adına bağlantı katmanı isteğine yanıt vermesini sağlar. LAN ana bilgisayarı bir donanım adresi alır, çerçeveyi ağ geçidine gönderir ve ağ geçidi paketi VPN oturumuna iletir. Ana bilgisayar açısından istemci yalnızca ağ geçidinin arkasında görünür. İstemcinin yapılandırmasında hiçbir şey değişmez.

MikroTik'in RouterOS ARP belgeleri bu kullanımı, bağlı LAN'ın adres alanını ödünç alan dial-in istemcileri için açıklar. Mekanizma komşu çözümlemesinin onarımıdır ve ağ geçidi gerçekten iki yolda da bulunduğu için çalışır.

Bu, istemciyi LAN'a köprülemekle aynı şey değildir. Ağ geçidi paketi hâlâ doğru etkin oturuma iletmek zorundadır ve yönlendirmesi ile güvenlik duvarı ilkesi hâlâ hizmete izin vermelidir. proxy ARP komşu isteğine kimin yanıt verdiğini değiştirir, kimin konuşmaya izinli olduğunu değil.

Platformun mod adlarını dikkatle okuyun. RouterOS proxy-arp ile local-proxy-arp arasını ayırır ve ikincisi aynı arayüzden giren ve çıkan trafiği işler. Bunlar birbirinin yerine geçebilen yazımlar değildir ve ikisini de ayırt etmeden etkinleştirmek kısa yol değildir.

proxy ARP'ın size vermediği şey

Broadcast veya multicast keşfi sağlamaz. Bir hizmeti broadcast ile bulması gereken istemci yine başarısız olur, çünkü ağ geçidi unicast'ı oturuma iletir ve istemciyi LAN'ın broadcast alanının üyesi yapmaz. Broadcast'a dayanan keşif protokolleri, ödünç alınmış adres tasarımlarında «bir şey için çalışır, diğeri için çalışmaz» bildirimlerinin yaygın kaynağıdır.

Adresi rezerve etmez. Ödünç alınan numara bir DHCP havuzunda veya statik atamada da bulunuyorsa iki aygıt aynı adresle sonuçlanabilir ve ortaya çıkan davranış zamanlamaya bağlıdır. Başarılı bir oturum açma rezervasyon değildir.

Ve LAN'ın sahibiyle koordinasyon gereğini ortadan kaldırmaz. Adres planının sahibini şaşırtan bir proxy ARP girişi, sakin bir haftayı bekleyen bir destek olayıdır.

Ayrı yönlendirilen bir havuzla karşılaştırma

Alternatif, VPN istemcilerine kendi ön eklerini vermek ve LAN ana bilgisayarlarının oraya yönlendirme yapmasına izin vermektir. O zaman sunucu ağ geçidine off-link yanıtlar gönderir, ağ geçidi ön eki VPN uç noktasına yönlendirir ve LAN segmentinde komşu çözümlemesine hiç gerek kalmaz. Bu, ödünç alınmış bir adres artı proxy yanıtından daha az hareketli parçadır.

Bu tasarımı düşünmek ve denetlemek daha kolaydır, çünkü istemci aralığı LAN aralığından görünür biçimde ayrıdır. Bir rota, bir dönüş yolu ve bir erişim kuralına mal olur; bunlar proxy ARP tasarımının daha az belirgin bir yerde ihtiyaç duyduğu şeylerdir.

Modeller arasında bilinçli olarak seçim yapın, tesadüfen değil. proxy ARP belirli bir ilişkiyi onarır; yönlendirilen bir havuz bu onarımın gerekliliğini ortadan kaldırır. Hangisini seçtiğinizi ve nedenini yazın, böylece sonraki kişi bunu başarısız bir komşu girişinden yeniden keşfetmek zorunda kalmaz.