VPN pulingiz LAN ning DHCP diapazoni emas: nima uchun buziladi

Vasvasali qisqa yo'l — VPN mijozlariga ofis DHCP serveri ishlatadigan diapazondan manzillar berish, baribir hammasi bitta tarmoq degan taxmin bilan. Lekin unday emas. Marshrutlangan tunnel ikki uch o'rtasida unicast paketlarni tashiydi, LAN puli esa jismoniy segmentda broadcast so'rovlariga javob berish uchun mavjud. Raqamlarni qayta ishlatish ikki taqsimlovchini bitta manzil maydoniga mas'ul qiladi va qaytish yo'lini aniqlanmagan holda qoldiradi.

Ikki taqsimlovchi, bitta manzil maydoni

LAN DHCP serveri qaysi manzillarni qaysi MAC manziliga ijaraga berganini biladi va ularni ARP bilan himoya qiladi. VPN serverning o'z puli bor va bu ijaralar haqida hech narsa bilmaydi. Ikkisi ham xato emas; ular shunchaki bir-biri bilan tanishtirilmagan.

VPN server LAN pulidan bergan manzil allaqachon printerga tegishli bo'lishi mumkin. Endi ikki qurilma bir xil prefiksda bitta manzilga da'vo qiladi va kommutatorning uzatish jadvali kim javob berishini hal qiladi.

Odamlar birinchi bo'lib uchraydigan nosozlik shu: muvaffaqiyatli ulanib, keyin noto'g'ri mashinaga yetib boradigan mijoz yoki to'g'ri mashinaga uzilishlar bilan yetib boradigan mijoz.

Nima uchun router VPN manzillarini tarqatmaydi

DHCP aniqlash — bu broadcast, broadcast esa marshrutlangan chegarada to'xtaydi. Agar loyiha tunnelni ko'prik qilmasa yoki tegishli vakolatli DHCP releyini ishga tushirmasa, mijoz so'rovi hech qachon LAN serveriga yetib bormaydi.

Shu sababli VPN server manzilni o'zi tayinlaydi: server konfiguratsiyasidagi pul, WireGuard sozlamasida har bir hamkor uchun manzil, yoki IKEv2 joriy etishda autentifikatsiya qatlami itarib yuboradigan manzil. Bu mexanizmlar LAN ijara bazasidan mustaqil, va aynan shu sababli ularga o'z diapazoni kerak.

Xuddi shu mantiq DHCP doirasini o'zgartirish nega hech qachon manzil olmaydigan VPN mijozini tuzatmasligini tushuntiradi. Mijoz LAN serveridan so'ramaydi va doirani tahrirlash uni so'rashga majbur qilmaydi.

Qoplanish sekin tarmoq sifatida emas, ziddiyat sifatida namoyon bo'ladi

Qo'llab-quvvatlanadigan loyihasiz bir xil prefiksni bo'lishadigan ikki tarmoq ikki tomonlama egalikdan boshqa muammo va ular ko'pincha aralashtiriladi. Agar VPN puli alohida prefiks bo'lsa, qoplanish faqat yo'l trafikni noto'g'ri tomonga yuborganda muhim. Agar pul LAN prefiksi ichida bo'lsa, ziddiyat darhol va mahalliy bo'ladi.

Amalda siz noto'g'ri qurilmadan ARP javoblarini, o'rtada qayta tiklanadigan ulanishlarni va o'z manzilini boshqa birov talab qilayotgan mijozni ko'rasiz. Bularning hech biri marshrutlash muammosiga o'xshamaydi, shuning uchun tuzatish noto'g'ri qatlamga qo'llaniladi. Ikki tomonlama ijara tasdiqlash oson va u bilan yashash zerikarli. U qayta yuklashdan ham omon qoladi, chunki ikkala taqsimlovchi ham bir xil manzilda turib oladi.

Qaytish yo'li alohida muammo

Hatto toza va alohida pul bilan ham LAN xostlari mijozga qanday javob berishni bilishi kerak. Ularning standart shlyuzi router, router esa pul uchun VPN serveriga ishora qiluvchi yo'lni talab qiladi, agar loyiha o'rniga mijoz trafigini tarjima qilmasa.

Biror narsani o'zgartirishdan oldin yo'lni ikki tomonga o'qing. Shlyuzda yadro mijoz manzili uchun qaysi interfeysdan foydalanishini so'rang; mijozda LAN manzili uchun qaysi yo'ldan foydalanishini so'rang.

Bu buyruqlar shlyuzdagi uzatish qarorini va dublikatni fosh qiluvchi qo'shni yozuvlarini ko'rsatadi:

ip -4 route get 10.8.0.5
ip neigh show dev br-lan | grep 10.8
ip -4 route get 192.168.50.20

Agar birinchi buyruq tunnel interfeysi bilan javob bersa, qaytish yo'li mavjud. Agar u LAN interfeysi bilan javob bersa, router mijoz simda deb hisoblaydi va u uchun ARP qilishga harakat qiladi.

Ko'prikli loyihalar mavjud, ammo ularni tanlash kerak

Tunnelni LAN ga ko'prik bilan ulash haqiqiy loyiha bo'lib, mijozlar broadcast olishi kerak bo'lganda yoki bitta segmentni taxmin qiladigan protokollar ularni aniqlashi kerak bo'lganda ishlatiladi. Bu serverda o'sha ko'prik xatti-harakati va u bilan birga keladigan manzil ishlov berilishini talab qiladi.

Ishlamaydigan narsa — natijani raqamlarni nusxalash orqali taqlid qilish. Ko'priksiz umumiy pul sizga aniqlashsiz ziddiyat beradi, bu ikki tartibning eng yomoni.

Agar ilova haqiqatan segmentga muhtoj bo'lmasa, alohida pul bilan uchinchi qatlamni tanlang va pulni hujjatlashtiring, keyingi administrator tartib uchun DHCP diapazonini qayta ishlatmasin.