Huis en kantoor gebruik albei 192.168.1.x: wat nou?

Werk deur vier kontroles: na watter adres die naam oplos, watter voorvoegsel die plaaslike netwerk gebruik, watter roete die kernel vir daardie bestemming kies, en wat aan die ander kant antwoord. Die VPN-aanmelding is nie een van hulle nie, want dit slaag ongeag watter netwerk wen. Doen die kontroles in volgorde, dan word die oorvleueling by die tweede stap sigbaar eerder as by die vierde.

'n Suksesvolle aanmelding sê die tonnel is op; dit sê niks oor waar 'n bepaalde adres wys nie.

Een adres, twee masjiene

'n Gasheer kies 'n pad uit sy roetetabel en beleidsreëls, op grond van die bestemmingsadres. Niks vertel hom dat 'n versoek na die 192.168.1.20-hop vir die kantoorbediener bedoel is eerder as vir 'n toestel in die volgende kamer nie. Wanneer albei netwerke op dieselfde privaat reeks is, wen die mees spesifieke roete en die res hang daarvan af watter inskrywing 'n herverbinding toevallig geïnstalleer het. Niks in die adres self dra die onderskeid nie.

ip route get 192.168.1.20

Daardie opsoek noem die koppelvlak en volgende hop wat die kernel gekies het, wat die tweede kontrole in die lys is. Vergelyk die plaaslike en afgeleë voorvoegsels voordat jy iets anders doen. As die plaaslike LAN 192.168.1.0/24 is en die afgeleë terrein ook 192.168.1.0/24, is die oorvleueling die bevinding, en geen kliëntopsie herstel dit nie.

Hernommer die kant wat jy beheer

'n Persoonlike router is gewoonlik die makliker kant om te skuif. Kies 'n reeks wat nie met die afgeleë netwerke bots wat jy werklik gebruik nie, en let daarop dat 10.x.x.x ook nie outomaties vry is nie, want baie terreine gebruik dit. Beplan die verandering: DHCP-leases, gereserveerde adresse, drukkerwagtou en enigiets met 'n hardgekodeerde adres het aandag nodig. Doen die hernommering in 'n tydvenster waarin jy die router sonder die VPN kan herstel.

Kontroleer die afgeleë voorvoegsellys eerste, nie agterna nie. Om 'n nuwe reeks te kies wat met 'n ander kantoorterrein bots, lewer dieselfde probleem met meer werk.

Wanneer nie een kant kan verander nie

As nie een van die netwerke hernommer kan word nie, woon die oorblywende opsies op die bediener. 'n Hek kan 'n afgeleë netwerk vir VPN-kliënte na 'n ander subnet vertaal, met behulp van beleidsgebaseerde NAT of 'n tweerigtingvariant, sodat die kliënt 'n unieke adres sien. Dit is 'n hekontwerp eerder as 'n skakelaar wat elke lessenaarkliënt bied, en dit verander watter adres gebruikers intik en watter name moet pas. 'n Roete wat van 'n forum gekopieer is, kan nie twee identiese bestemmings onderskei nie.

Privaat adresreekse bly privaat; die probleem is hergebruik, nie die reekse self nie.

Bewys watter masjien geantwoord het

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Toets ná enige verandering die kantoorhulpbron en die plaaslike toestelle saam. As 'n bekende huistoestel antwoord waar die kantoorbediener behoort te wees, of die TLS-sertifikaat noem die verkeerde gasheer, stop en identifiseer die bestemming voordat jy voortgaan. Om 'n antwoord van daardie adres te kry, bewys nie watter masjien dit gestuur het nie. Om die sertifikaat se onderwerp na te gaan, is een van die min betroubare tekens op daardie punt.

Moenie kantoorprivaatadresse met willekeurige publieke adresse vervang wat jy nie beheer nie. Dit ruil 'n oorvleueling vir 'n roete- en eienaarskapprobleem wat erger en moeiliker verduidelik is.

Teken die plaaslike voorvoegsel, die afgeleë voorvoegsel en die verandering wat dit opgelos het, aan. Die volgende oorvleueling sal anders lyk, maar dieselfde patroon volg.