LAN manzilli VPN mijozi LANda emas

Mijoz ulanadi, 10.50.0.200 oladi va ikkala raqam bir /24 ichida bo’lsa ham 10.50.0.20 dagi serverga yeta olmaydi. Bu konfiguratsiya ortidagi ishonch shundaki, LAN prefiksidan olingan manzil mijozni LANning bir qismiga aylantiradi. Unday emas. Mijoz nuqta-nuqtaga bog’lanishda, server manzilni mahalliy deb hisoblaydi va yetishmayotgan qism hech kim yubormaydigan qo’shni javobidir.

Afsona: bir xil prefiks bir xil segment degani

Manzil prefiksi xostga qaysi manzillarga to’g’ridan-to’g’ri yetish mumkinligini va qaysilariga marshrutizator kerakligini aytadi. U manzilning jismoniy qanday ulanganini aytmaydi va manzil bo’g’in qatlamidagi so’rovga javob bera olishiga hech qanday kafolat bermaydi. Bular xostdagi turli jadvallar javob beradigan turli savollar. Mask birinchisiga, qo’shnilar jadvali ikkinchisiga javob beradi va faqat birinchisi VPN tomondan sizning nazoratingizda.

Server 10.50.0.200 ga yuborganda manzilni o’z maskasi bilan solishtiradi, manzilni on-link deb qaror qiladi va unga tegishli apparat manzilini mahalliy segmentdan so’raydi. Bu so’rov Ethernet interfeysidan chiqadi va VPN mijozi uni eshitish uchun u yerda emas.

Mijoz konfiguratsiyasida hech narsa buni o’z tomondan tuzata olmaydi. Javob yo’li LANdagi qurilmaning mijoz nomidan javob berishiga yoki mijozning server mahalliy deb hisoblamaydigan manzilga ega bo’lishiga bog’liq.

Mahalliy xost manzil bilan aslida nima qiladi

Xulq-atvorni kuzatish oson va biror narsani o’zgartirishdan oldin kuzatishga arziydi. LAN xosti mijozga yetishga urinib ko’rgandan keyin uning qo’shnilar jadvaliga qarang: to’liq bo’lmagan yoki muvaffaqiyatsiz yozuv bir satrda butun tashxis. Bu satr nosozlik segmentga mahalliy ekanini, tunnel ichida biron joyda emasligini ham aytadi.

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

Marshrut qidiruvi manzilni Ethernet interfeysi orqali on-link deb xabar beradi va aynan shu muammo. VPN seansi ishlab turganda qo’shni yozuvi to’liq bo’lmasa, siz yetishmayotgan qism bo’g’in qatlamidagi hal ekanini, marshrutlash yoki xavfsizlik devori siyosati emasligini tasdiqladingiz.

Xuddi shu tekshiruvni boshqa quyi tarmoqdagi xostdan o’tkazing va solishtiring. Mijozga marshrutizator orqali yetadigan xostga qo’shni yozuvi umuman kerak emas va bu farq kichik miqyosdagi dizayn qaroridir.

proxy ARP keyingi sakrashni qanday ta’minlaydi

proxy ARP shlyuzni boshqa interfeys orqali yeta oladigan manzil nomidan bo’g’in qatlamidagi so’rovga javob berishga majbur qiladi. LAN xosti apparat manzilini oladi, kadrni shlyuzga yuboradi va shlyuz paketni VPN seansiga uzatadi. Xost nuqtai nazaridan mijoz shunchaki shlyuz orqasida ko’rinadi. Mijoz konfiguratsiyasida hech narsa o’zgarmaydi.

MikroTikning RouterOS ARP hujjatlari bu foydalanishni ulangan LAN manzil maydonini qarzga oladigan dial-in mijozlar uchun tavsiflaydi. Mexanizm qo’shnilarni hal qilishning tuzatishi va shlyuz haqiqatan ham ikkala yo’lda bo’lgani uchun ishlaydi.

Bu mijozni LANga ko’prik bilan ulash bilan bir xil emas. Shlyuz paketni baribir to’g’ri faol seansga uzatishi kerak va uning marshrutlashi hamda xavfsizlik devori siyosati baribir xizmatga ruxsat berishi kerak. proxy ARP qo’shni so’roviga kim javob berishini o’zgartiradi, kim gaplashishga haqli ekanini emas.

Platforma rejim nomlarini diqqat bilan o’qing. RouterOS proxy-arp ni local-proxy-arp dan ajratadi va ikkinchisi ayni interfeysdan kirib chiqadigan trafikni boshqaradi. Bular bir-birini almashtiradigan yozuvlar emas va ikkalasini ham farqlamasdan yoqish qisqa yo’l emas.

proxy ARP sizga nima bermaydi

U broadcast yoki multicast orqali aniqlashni ta’minlamaydi. Xizmatni broadcast orqali topishi kerak bo’lgan mijoz baribir muvaffaqiyatsizlikka uchraydi, chunki shlyuz unicastni seansga uzatadi va mijozni LANning broadcast domeni a’zosi qilmaydi. Broadcastga tayanadigan aniqlash protokollari qarzga olingan manzillar dizaynlarida «bir narsaga ishlaydi, boshqasiga ishlamaydi» degan hisobotlarning odatiy manbai.

U manzilni band qilmaydi. Agar qarzga olingan raqam DHCP hovuzida yoki statik taqsimotda ham bo’lsa, ikkita qurilma bir manzilga tushishi mumkin va natijaviy xulq vaqtga bog’liq. Muvaffaqiyatli kirish band qilish emas.

Va u LAN egasi bilan muvofiqlashtirish zaruratini yo’q qilmaydi. Manzil rejasi egasini hayratga soladigan proxy ARP yozuvi xotirjam haftani kutayotgan qo’llab-quvvatlash hodisasidir.

Alohida marshrutlangan hovuz bilan taqqoslash

Muqobil — VPN mijozlariga o’z prefiksini berish va LAN xostlariga u yoqqa marshrutlashga ruxsat berish. Shunda server o’z shlyuziga off-link javoblar yuboradi, shlyuz prefiksni VPN oxirgi nuqtasiga marshrutlaydi va LAN segmentida qo’shnilarni hal qilish umuman kerak emas. Bu qarzga olingan manzil va proxy javobdan kamroq harakatlanuvchi qismlar.

Bunday dizayn haqida o’ylash ham, audit qilish ham osonroq, chunki mijozlar diapazoni LAN diapazonidan ko’rinib turgan holda ajratilgan. Uning narxi bitta marshrut, qaytish yo’li va kirish qoidasi, ya’ni proxy ARP dizayni kamroq ravshan joyda talab qiladigan narsalar.

Modelllar orasida ataylab tanlang, tasodifan emas. proxy ARP bitta aniq munosabatni tuzatadi; marshrutlangan hovuz bu tuzatishga bo’lgan ehtiyojni yo’q qiladi. Qaysi birini tanlaganingizni va nima uchunligini yozib qo’ying, keyingi odam buni muvaffaqiyatsiz qo’shni yozuvidan qaytadan kashf qilishi shart bo’lmaydi.