Tuis- en kantoorsubnette bots oor 'n VPN: drie oplossings

Jou kliënt sê dis gekonnekteer en die tonnel is op, maar die kantoor se lêerbediener antwoord van iewers in die kombuis. Albei kante gebruik gewoonlik 192.168.1.0/24 omdat verbruikersroeteerders dit so verskaf, en geen roete los 'n onduidelikheid op wat gelyktydig aan albei kante bestaan nie. Die fout kan soos 'n stukkende tonnel of 'n stukkende bediener lyk, en dit is nie een van die twee nie. Bepaal watter botsing jy het voordat jy enige konfigurasie aanraak, want die soorte het verskillende oplossings en net een daarvan gaan oor roetering.

'n Gekoppelde roete klop enigiets wat jy stuur

'n Gasheer noem 'n adres plaaslik sodra 'n gekoppelde roete dit dek. Op 'n skootrekenaar wie se eie koppelvlak 192.168.1.20/24 is, is die adres 192.168.1.50 'n buurman, so die pakkie verlaat deur die tuisinterface en bereik nooit die tonnel nie.

Om 'n roete vir die kantoorprefiks te stuur, verander niks, want daardie prefiks bestaan reeds as 'n direk gekoppelde netwerk. Die bedryfstelsel hou aan om uit die gekoppelde inskrywing te antwoord, en dit word geraadpleeg voordat die tonnel enigiets gevra word. Jy kan die volgorde self sien: ip route get 192.168.1.50 noem die tuisinterface, nie die tonnel nie. Die ander kant weerspieël die probleem, want die kantoorroeteerder glo ook dat die skootrekenaar se tuisreeks aan hom behoort.

Stille botsings anderkant die ooglopende een

Nie elke geval is 'n roeteringsbeslissing nie. 'n Tuis-DHCP-huurkontrak kan presies op die adres beland wat die kantoorbediener hou, en dan praat die kliënt met homself terwyl die tonnel niks dra nie.

Name bots op dieselfde manier. Twee masjiene wat 'n rekenaarnaam deel, breek naamgebaseerde gereedskap selfs wanneer elke pakkie korrek geroteer word, en 'n hosts-inskrywing wat na die kantooradres wys, faal wanneer die plaaslike masjien daardie naam reeds besit, want plaaslike oplossing wen. Hernoem die plaaslike masjien of gebruik die volle gekwalifiseerde naam in plaas daarvan om hosts te redigeer.

Hypervisors voeg 'n derde geval by. 'n Slegs-gasheer-adapter sit gewoonlik op 192.168.56.0/24, wat kan bots met 'n korporatiewe reeks wat niemand onthou in gebruik is nie.

Hernommer die kant wat jy besit

Hernommering verwyder die onduidelikheid in plaas daarvan om dit te ontwyk, en in 'n tuiskantoor is dit die kant wat jy besit. Kies iets wat nêrens anders sal voorkom nie, en lys elke toestel met 'n statiese adres voordat jy aan die roeteerder raak.

10.0.0.0/8 en 172.16.0.0/12 is die gewone kandidate. Die firmware-verstekke, 192.168.0.0/24 en 192.168.1.0/24, is presies wat om te laat.

Hernommering van die kantoor is selde op die tafel, en 'n tuishernommering kos 'n aand se herkoppeling van drukkers en proppe. Dit is steeds goedkoper as 'n omweg wat op elke skootrekenaar in die maatskappy herhaal word.

Publiseer 'n reeks wat nie kan bots nie

Waar die kantoorreeks moet bly, maak die tonnelkant harder om mee te bots. Om die kliëntpoel as 'n klein prefiks te sny eerder as om 'n hele /24 te leen, gee 'n spesifieke roete in plaas van 'n breë een.

As die poort kan vertaal, publiseer die kantoor-subnet onder 'n alias-reeks, sodat die kliënt se bestemming nie binne sy eie LAN kan val nie. 'n Werf-tot-werf-ontwerp kan elke werf sy eie alias gee, wat twee kliënte met identiese nommering onderskeibaar hou.

Vertaling is nie gratis nie. Dit moet in beide rigtings loop en die bronadres en die bestemming dek, en toepassings wat adresse in hul eie vragskryf, sal dit heeltemal ignoreer. Dit maak dit die antwoord wanneer hernommering onmoontlik is en die kliëntetal klein is.

Kies volgens wat jy kan verander

Een of twee skootrekenaars by die huis: hernommer die tuis-LAN. 'n Bestuurde kantoor wat nie kan hernommer nie: aliasvertaling by die poort. Herhaalde nommering oor kliëntewerwe: aliases per werf, een keer beplan. Wanneer net naamgebaseerde gereedskap faal, behandel dit as 'n naambotsing eerder as 'n roeteringsfout.

Watter een jy ook kies, toets teen 'n adres wat net aan die ander kant bestaan. Om jou eie roeteerder te ping, sê niks oor watter netwerk geantwoord het nie.