Herstel 'n plaaslike IP-adreskonflik nadat jy aan 'n VPN gekoppel het

Elkeen van hierdie verslae klink dieselfde en beteken iets anders: die skootrekenaar kla oor 'n adreskonflik, maar net soms, en meestal terwyl die VPN aan is. Drie afsonderlike foute lewer daardie boodskap: 'n ware duplikaat op jou eie skakel, 'n oorvleueling waar die afstandnetwerk jou LAN-gebied gebruik en niks gedupliseer is nie, en 'n tonnel wat een adres aan twee ewekniee gegee het. Die herstel verskil in elke geval, en die verkeerde een skuif die simptoom eerder as om dit te verwyder. Bepaal dus watter geval jy het voordat jy enigiets wysig.

Drie foute wat een foutboodskap deel

'n Duplikaat beteken twee masjiene op dieselfde segment eis albei een adres. Die kern merk dit op omdat die antwoord op sy eie ondersoek van 'n ander MAC kom, en wat volgende gebeur hang van die stapel af: Linux teken dit aan, Windows deaktiveer die koppelvlak en skryf 'n System-loginskrywing, en 'n DHCP-kliënt kan die aanbod van die hand wys.

'n Oorvleueling dupliseer glad geen adres nie. Jou LAN is 192.168.1.0/24, die kantoor netwerk is ook 192.168.1.0/24, en nou wys die roete na die kantoor na adresse wat ook jou drukker en jou NAS is. Niks is in konflik in die ARP-sin nie; die pakkie gaan bloot na die verkeerde toestel op een van die twee netwerke.

'n Poelbotsing is die tonnel se eie fout. Twee ewekniee is met dieselfde tonneladres opgestel of het dit gekry, so die bediener kan hulle nie onderskei wanneer dit antwoordverkeer stuur nie. Een van die twee kliënte sien 'n werkende handdruk en geen data nie, wat soos 'n roeteprobleem lees en nie een is nie.

Toets 1: is die duplikaat op jou eie segment?

Begin deur te lys wat jou masjien werklik het, nie wat jy onthou jy opgestel het nie. 'n VPN-adapteradres is privaat aan die tonnel en is nie dieselfde as die adres wat webwerwe sien nie, dus is 'n gedeelde openbare uitgang nie 'n konflik nie.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Op Windows kom dieselfde inligting van ipconfig /all en Get-NetIPAddress, met die buurcache in arp -a. As die betwiste adres op die fisiese adapter is en die klag verskyn sonder dat die VPN loop, is die VPN 'n omstander en moet jy ophou om dit te ontfout.

Om 'n duplikaat te bewys eerder as te raai, ondersoek die adres van 'n toestel wat dit nie besit nie. arping -D stuur die ondersoek met 'n nul-bronadres, so 'n antwoord van 'n onverwagte MAC bewys 'n ander gasheer antwoord reeds vir daardie adres.

sudo arping -D -I eth0 -c 3 192.168.1.50

Vind dan die eienaar deur die netwerkadministrateur eerder as om self 'n ander adres te kies. Statiese toewysings wat net in iemand se notas leef, drukkers met 'n vaste adres, en reserverings op die DHCP-bediener is die gewone skuldiges, en 'n toestel wat afgeskakel is, besit steeds sy huurkontrak.

Toets 2: oorvleuel die twee netwerke?

Vergelyk die voorvoegsel wat die tonnel vir jou gee met die voorvoegsels op jou eie koppelvlakke. As die afstandgebied jou LAN gelyk is of dit bevat, is die fout oorvleueling, en die weggee is dat 'n gasheer wat sonder die VPN bereikbaar is, donker word, of jou eie drukker op 'n kantooradres antwoord.

ip route get 192.168.1.10
ip -br addr show

Die roete-opsoek vertel jou watter koppelvlak die kern sou gebruik, en daardie antwoord is die hele diagnose. As dit die tonnel sê vir 'n adres wat aan jou plaaslike drukker behoort, het jy 'n oorvleueling en geen mate van huurkontrakvernuwing sal dit verander nie.

Daar is drie eerlike maniere uit, en net een is gewoonlik vir jou beskikbaar. Die afstandkant kan verkeer vir die oorvleuelende subnet masjineer, so jou kliënt sien net die bediener se tonneladres. Die tonnel kan 'n smaller afstandvoorvoegsel dra wat nie met jou LAN bots nie. Of die kliënt kan volgens bronadres met beleidsreëls roete, wat werk maar broos is en moeilik aan 'n kollega te gee.

Hernommering van die kantoor netwerk is selde joune om te besluit. Om jou eie LAN te hernommer om die botsing te ontwyk, is 'n groter verandering as wat meeste mense verwag sodra drukkers, kameras en statiese gashere betrokke is.

Toets 3: het die tonnel een adres twee keer uitgegee?

WireGuard het geen adrespoel nie. Elke eweknie word deur sy publieke sleutel en deur die voorvoegsels in AllowedIPs geïdentifiseer, so 'n duplikaat verskyn wanneer dieselfde tonneladres in twee eweknie-inskrywings geskryf word of dieselfde sleutelpaar op twee masjiene geïnstalleer word.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Verkeerstellers is die nuttige kolom hier: 'n eweknie wat 'n onlangse handdruk maar geen oordrag wys nie, is óf verkeerd geadresseer óf word deur 'n ander inskrywing wat dieselfde voorvoegsel eis, oorskadu. Sit 'n voorvoegsel op presies een eweknie en gee elke toestel sy eie sleutelpaar.

OpenVPN het wel 'n poel, en die algemene botsing is 'n gedeelde kliëntprofiel met 'n vaste reël --ifconfig wat na 'n tweede masjien gekopieer is. Beide kliënte versoek dan dieselfde tonneladres, en die bediener aanvaar watter sessie dit eerste verwerk. Poeluitputting met --duplicate-cn lewer 'n soortgelyke uitkoms wanneer verskeie sessies van een sertifikaat om een inskrywing meeding.

Lees die bedienerlog eerder as die kliëntlog vir hierdie een. Die bediener weet watter sessie watter adres geëis het, en herhalende adresse daar is sigbaar as waarskuwings wat nooit die kliënt bereik nie.

Herstel by die bron, kontroleer dan beide toestelle

Orde maak saak. Herstel eers 'n LAN-duplikaat, want 'n kliënt wat nie 'n adres kan hou nie, kan ook nie 'n tonnel hou nie. Herstel dan die voorsiening aan die VPN-kant, want 'n kliëntkant-wysiging aan 'n poeltoewysing word by die volgende verbinding ongedaan gemaak. Laastens, hanteer gedupliseerde identiteite: aparte sleutelpare op WireGuard, aparte sertifikate of ten minste aparte profiele op OpenVPN.

Op die kliënt is die meganiese deel kort. Laat 'n DHCP-huurkontrak los en vernuwe dit, of vra dat die adres op die bediener vir 'n reservering verander word. Moenie 'n toevallige adres tik wat vry lyk nie.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Verifieer dan van beide kante, nie een nie. Bevestig die poort, dan die diens wat jy werklik nodig het, dan verbind weer en herhaal. As twee toestelle betrokke was, kontroleer beide: om een adres te skuif laat die ander met verouderde buurinskrywings of 'n ou huurkontrak wat later weer verskyn.

Wat om nie op die pad te doen nie

Moenie die simptoom stil maak nie. Duplikaatadresopsporing is wat keer dat jy 'n adres neem wat reeds in gebruik is, en om dit te deaktiveer verander 'n sigbare konflik in onderbroke pakkieverlies wat baie moeiliker op te spoor is. Dieselfde geld vir die aanvaarding van 'n sertifikaatwaarskuwing van 'n onverwagte gasheer: dit is glad nie 'n adresprobleem nie, en om deur te klik verberg 'n ander fout.

Moenie self die adressering van 'n bestuurde netwerk verander nie. Teken die oorspronklike instelling aan, vra die eienaar wanneer die adres sentraal toegewys word, en hou die verandering klein genoeg om terug te draai. Die RFC 5227-reëls vir die opsporing van adreskonflikte verduidelik wat 'n korrekte ondersoek bewys, wat die moeite werd is om te weet voordat jy 'n konflik eg noem.