Nega LAN hosti OpenVPN mijozi manziliga ARP yuboradi

LAN hosti va VPN mijozi o'rtasidagi yetib borish muammolari ko'pincha manzillar rejasining o'ziga borib taqaladi. Bu hostga 10.0.100.0/22 da interfeys bering va u 10.0.100.0 dan 10.0.103.255 gacha bo'lgan har bir manzilni to'g'ridan-to'g'ri ulangan deb hisoblaydi, shu jumladan 10.0.101.0/24 da jimgina joylashtirilgan mijozlar hovuzini. Javob hech qachon marshrutizatorga ketmaydi, chunki host nuqtai nazaridan hech qanday marshrutizator ishtirok etmaydi. Paket qo'shniga manzillangan va simda so'raladi.

Bu mexanizm butun bir hisobotlar oilasining orqasida turadi: tunnel ochiq, serverda marshrut bor va LAN hosti baribir mijozga yetib bora olmaydi.

/24 ni yutib yuboradigan /22

Prefiksni qator sifatida emas, diapazon sifatida o'qing. /22 prefiksda 1024 manzil bor va 10.0.100.0/22 10.0.100.0 dan 10.0.103.255 gacha cho'ziladi, shuning uchun 10.0.101.0/24 dagi hovuz butunlay uning ichida yotadi. Xato tekshiruvdan o'tadi, chunki hovuzning birinchi oktetlari LANning birinchi oktetlaridan boshqacha ko'rinadi va faqat uchinchi oktet ichma-ichlikni fosh qiladi. Ikkala diapazonni ham raqamlar bilan yozing, keyin ularni alohida deb e'lon qiling.

Xuddi shu ichma-ichlik teskari tomonda ham ko'rinishi mumkin. Hozir hech kim ishlatmayotgani uchun bo'sh ko'ringan hovuz baribir biron sayt marshrutizatori e'lon qilgan prefiks ichiga tushishi mumkin va manzillar rejasi buni ko'rsatadigan yagona hujjatdir.

To'g'ridan-to'g'ri ulanish ARP degani, marshrutlash emas

/22 interfeysli host 10.0.101.25 ga yuborganda, yadro manzilni interfeys prefiksi bilan solishtiradi va moslik topadi. Paket marshrutlangan paket o'rniga qo'shni qidiruviga aylanadi va Ethernetda qo'shni qidiruvi o'sha manzil uchun ARP so'rovidir. Agar manzil marshrutlangan shlyuz orqasidagi VPN mijoziga tegishli bo'lsa, LANdagi hech bir host unga ega emas, shuning uchun so'rov javobsiz qoladi va paketlar tashlanadi. Tunnel aybdor emas va mijoz trafikni hech qachon ko'rmaydi.

Shuning uchun nosozlik assimetrik va ba'zan uzilishli ko'rinadi. VPN hosti ko'pincha LANga yetib boradi, chunki uning o'z marshrutlari to'g'ri yo'nalishni ko'rsatadi, LAN hosti esa javob bera olmaydi va eski ARP yozuvini keshlagan har qanday narsa simptomni miltillatadi.

TUN, TAP va har biri nimani tashiydi

TUN qurilmasi IP paketlarni, TAP qurilmasi esa Ethernet kadrlarni tashiydi. Marshrutlangan TUN aloqasi IP yetib borishni ta'minlash uchun ARP tashishga majbur emas va yuqoridagi javobsiz so'rovning kutilgan bo'lishining sababi aynan shu. Ataylab qurilgan ko'prik bilan TAP eshittirish domenini kengaytirishi va ARPni ishlatishi mumkin, lekin mijoz nima ko'rishini o'zgartiradi, bir xil ramkalashni qo'llab-quvvatlaydigan so'nggi nuqtalarni talab qiladi va ustma-ust tushgan prefiks uchun ta'mir emas, tarmoq modelini qayta loyihalashdir. Marshrutlangan joylashtirishni manzillar rejasi xatosini davolash uchun TAPga o'tkazish kichik muammoni kattaroq bilan almashtiradi.

Xulosa chiqarishdan oldin ARP so'rovi qayerda paydo bo'lganini va qaysi tizim yuborganini yozib qo'ying. Yuboruvchi sizga manzil haqida nima deb o'ylashini aytadi, tunnel nima qilishini emas.

Ustma-ust tushmaydigan hovuz loyihalang

Har bir ulangan prefiksdan va har bir e'lon qilingan sayt prefiksidan tashqarida hovuz tanlang, so'ngra uni ikki tomonga ham yetib boradigan qiladigan marshrutlarni qo'shing. Rejaning ishlatilmagan qismidagi 10.8.0.0/24 kabi diapazonni o'ylash oson va unga yetib borishi kerak bo'lgan LAN VPN serveriga ishora qiluvchi statik marshrut oladi. Ajratishni, e'lon qilingan marshrutlarni, ruxsat etilgan manba manzillarni va tarmoq devori qoidalarini birgalikda o'zgartiring, chunki ular to'rtta sozlama emas, bitta loyihani tasvirlaydi.

Serverdagi Source NAT hovuzni LANdan marshrutlanadigan manzil orqasiga yashirishi mumkin va bu qonuniy migratsiya vositasidir. U manbani ham qayta yozadi, shuning uchun LAN ulanishlarni alohida mijozlarga taqsimlash va mijoz bo'yicha qoidalarni qo'llash qobiliyatini yo'qotadi.

Qabul uchun haqiqiy mijozning amalda berilgan manzilini va LAN hostidan haqiqiy dastur so'rovini ishlating, so'ngra javob simni emas, rejalashtirilgan shlyuzni kuzatishini tasdiqlang.