VPN-ə qoşulduqdan sonra yerli IP ünvan toqquşmasını düzəltmək

Bu hesabatların hər biri eyni səslənir və fərqli bir şey ifadə edir: noutbuk ünvan toqquşmasından şikayət edir, lakin yalnız bəzən və əsasən VPN işləyərkən. Üç ayrı nasazlıq bu mesajı yaradır: öz bağlantınızda həqiqi dublikat, uzaq şəbəkənin yerli şəbəkə diapazonunuzu istifadə etdiyi və heç nəyin dublikat olmadığı üst-üstə düşmə, və bir ünvanı iki peer-ə verən tunel. Təmir hər halda fərqlidir və səhv olan simptomu aradan qaldırmaq əvəzinə onun yerini dəyişir. Buna görə hər hansı dəyişiklik etməzdən əvvəl hansı halda olduğunuzu müəyyənləşdirin.

Bir xəta mesajını paylaşan üç nasazlıq

Dublikat eyni seqmentdə iki maşının bir ünvanı iddia etməsi deməkdir. Kernel bunu hiss edir, çünki öz zonduna cavab fərqli MAC-dən gəlir, və sonra nə baş verdiyi stekdən asılıdır: Linux bunu qeyd edir, Windows interfeysi söndürür və System jurnalına yazı yazır, DHCP müştərisi isə təklifi rədd edə bilər.

Üst-üstə düşmə heç bir ünvanı dublikat etmir. Yerli şəbəkəniz 192.168.1.0/24, ofis şəbəkəsi də 192.168.1.0/24, və indi ofisə gedən marşrut həm də printerinizə və NAS-ınıza aid ünvanları göstərir. ARP mənasında heç bir toqquşma yoxdur; paket sadəcə iki şəbəkədən birində səhv cihaza gedir.

Hovuz toqquşması tunelin öz günahıdır. İki peer eyni tunel ünvanı ilə konfiqurasiya edilib və ya ona təyin edilib, buna görə server cavab trafikini göndərəndə onları ayıra bilmir. İki müştəridən biri işləyən əl sıxışması və heç bir data görmür, bu da marşrut problemi kimi oxunur və deyil.

Test 1: dublikat öz seqmentinizdədir?

Maşınınızın həqiqətən nə saxladığını sadalamaqla başlayın, konfiqurasiya etdiyinizi xatırladığınızı deyil. VPN adapter ünvanı tunelə xasdır və veb saytların gördüyü ünvanla eyni deyil, buna görə paylaşılan ictimai çıxış toqquşma deyil.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Windows-da eyni məlumat ipconfig /all və Get-NetIPAddress ilə gəlir, qonşu keşi isə arp -a içindədir. Mübahisəli ünvan fiziki adapterdədirsə və şikayət VPN işləmədən yaranırsa, VPN kənar müşahidəçidir və onun diaqnostikasını dayandırmalısınız.

Təxmin etmək əvəzinə dublikatı sübut etmək üçün ünvanı ona sahib olmayan cihazdan yoxlayın. arping -D zondunu sıfır mənbə ünvanı ilə göndərir, buna görə gözlənilməz MAC-dən gələn cavab başqa hostun artıq həmin ünvana cavab verdiyini sübut edir.

sudo arping -D -I eth0 -c 3 192.168.1.50

Sonra sahibini özünüz başqa ünvan seçmək əvəzinə şəbəkə administratoru vasitəsilə tapın. Yalnız kiminsə qeydlərində yaşayan statik təyinatlar, sabit ünvanlı printerlər və DHCP serverindəki rezervasiyalar adi günahkarlardır, söndürülmüş cihaz isə hələ də öz icarəsini saxlayır.

Test 2: iki şəbəkə üst-üstə düşürmü?

Tunelin sizə verdiyi prefiksi öz interfeyslərinizdəki prefikslərlə müqayisə edin. Uzaq diapazon yerli şəbəkənizə bərabərdirsə və ya onu əhatə edirsə, nasazlıq üst-üstə düşmədir və işarə odur ki, VPN olmadan əlçatan olan host qaralır, ya da öz printeriniz ofis ünvanında cavab verir.

ip route get 192.168.1.10
ip -br addr show

Marşrut axtarışı kernelin hansı interfeysi istifadə edəcəyini deyir və bu cavab bütün diaqnozdur. Yerli printerinizə aid ünvana görə tuneli göstərirsə, üst-üstə düşməniz var və heç bir icarə yeniləməsi bunu dəyişməyəcək.

Üç dürüst çıxış yolu var və adətən yalnız biri sizin üçün əlçatandır. Uzaq tərəf üst-üstə düşən alt şəbəkə üçün trafiki maskalaya bilər, buna görə müştəriniz yalnız serverin tunel ünvanını görür. Tunel yerli şəbəkənizlə toqquşmayan daha dar uzaq prefiks daşıya bilər. Və ya müştəri siyasət qaydaları ilə mənbə ünvanına görə marşrutlaşdıra bilər, bu işləyir amma kövrəkdir və həmkarınıza ötürmək çətindir.

Ofis şəbəkəsini yenidən nömrələmək nadir hallarda sizin qərarınızdır. Toqquşmadan yayınmaq üçün öz yerli şəbəkənizi yenidən nömrələmək printerlər, kameralar və statik hostlar işə qarışdıqdan sonra çoxlarının gözlədiyindən böyük dəyişiklikdir.

Test 3: tunel bir ünvanı iki dəfə verdi?

WireGuard-ın ünvan hovuzu yoxdur. Hər peer öz açıq açarı və AllowedIPs içindəki prefikslərlə tanınır, buna görə dublikat eyni tunel ünvanı iki peer qeydinə yazıldıqda və ya eyni açar cütü iki maşına quraşdırıldıqda yaranır.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Trafik sayğacları burada faydalı sütundur: son əl sıxışması göstərən amma ötürmə göstərməyən peer ya səhv ünvanlanıb, ya da eyni prefiksi iddia edən başqa qeyd tərəfindən kölgələnir. Prefiksi tam bir peer-ə qoyun və hər cihaza öz açar cütünü verin.

OpenVPN hovuzu var və ümumi toqquşma ikinci maşına köçürülmüş sabit --ifconfig sətri olan paylaşılan müştəri profilidir. Sonra iki müştəri eyni tunel ünvanını tələb edir və server ilk emal etdiyi sessiyanı qəbul edir. --duplicate-cn ilə hovuzun tükənməsi bir sertifikatın bir neçə sessiyası bir qeyd üçün yarışanda oxşar nəticə verir.

Bunun üçün müştəri jurnalı əvəzinə server jurnalını oxuyun. Server hansı sessiyanın hansı ünvanı iddia etdiyini bilir və orada təkrarlanan ünvanlar müştəriyə heç vaxt çatmayan xəbərdarlıqlar kimi görünür.

Mənbədə düzəldin, sonra iki cihazı yenidən yoxlayın

Sıra vacibdir. Əvvəlcə yerli şəbəkə dublikatını düzəldin, çünki ünvanı saxlaya bilməyən müştəri tuneli də saxlaya bilməz. Sonra VPN tərəfində təminatı düzəldin, çünki hovuz təyinatına müştəri tərəfindən edilən düzəliş növbəti qoşulmada ləğv olunur. Sonda dublikat kimliklərlə məşğul olun: WireGuard-da ayrı açar cütləri, OpenVPN-də ayrı sertifikatlar və ya ən azı ayrı profillər.

Müştəridə mexaniki hissə qısadır. DHCP icarəsini buraxın və yeniləyin, və ya rezervasiya üçün ünvanın serverdə dəyişdirilməsini xahiş edin. Boş görünən təsadüfi ünvan yazmayın.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Sonra bir tərəfdən deyil, hər iki tərəfdən yoxlayın. Şlüzü, sonra həqiqətən ehtiyacınız olan xidməti təsdiqləyin, sonra yenidən qoşulun və təkrarlayın. İki cihaz iştirak edibsə, hər ikisini yoxlayın: bir ünvanı köçürmək digərini köhnə qonşu qeydləri və ya sonra yenidən görünən köhnə icarə ilə qoyur.

Yolda nə etməməli

Simptomu susdurmayın. Dublikat ünvan aşkarlanması artıq istifadə olunan ünvanı almanızı dayandıran şeydir və onu söndürmək görünən toqquşmanı izləməsi daha çətin olan aralıq paket itkisinə çevirir. Eyni şey gözlənilməz hostdan gələn sertifikat xəbərdarlığını qəbul etməyə də aiddir: bu heç də ünvan problemi deyil və onu keçmək başqa bir nasazlığı gizlədir.

İdarə olunan şəbəkənin ünvanlamasını da özünüz dəyişməyin. Orijinal parametri qeyd edin, ünvan mərkəzi olaraq təyin edildikdə sahibindən soruşun və dəyişikliyi geri qaytarmaq mümkün qədər kiçik saxlayın. RFC 5227 ünvan toqquşması aşkarlama qaydaları düzgün zondun nəyi sübut etdiyini izah edir, bu da toqquşmanı həqiqi adlandırmazdan əvvəl bilməyə dəyər.