Хатнія і офісныя падсеткі сутыкаюцца праз VPN: тры рашэнні

Кліент паведамляе, што падключэнне ёсць і тунель узняты, але офісны файлавы сервер адказвае аднекуль з кухні. Абодва бакі звычайна выкарыстоўваюць 192.168.1.0/24, бо менавіта з гэтым пастаўляюцца спажывецкія маршрутызатары, і ніякі маршрут не вырашае неадназначнасць, якая існуе адначасова з абодвух бакоў. Збой можа выглядаць як зламаны тунель або зламаны сервер, але гэта ні адно, ні другое. Вызначце, якое сутыкненне ў вас ёсць, перш чым чапаць канфігурацыю, бо ў гэтых відаў розныя рашэнні і толькі адно з іх пра маршрутызацыю.

Непасрэдна падключаны маршрут перамагае ўсё, што вы выпраўляеце

Хост лічыць адрас лакальным, калі яго пакрывае непасрэдна падключаны маршрут. На ноўтбуку, чый інтэрфейс — 192.168.1.20/24, адрас 192.168.1.50 з'яўляецца суседам, таму пакет выходзіць праз хатні інтэрфейс і ніколі не дасягае тунеля.

Выпраўленне маршруту для офіснага прэфікса нічога не змяняе, бо гэты прэфікс ужо існуе як непасрэдна падключаная сетка. Аперацыйная сістэма працягвае адказваць з падключанага запісу, і да яго звяртаюцца раней, чым тунель пра нешта спытаюць. Парадак можна ўбачыць самому: ip route get 192.168.1.50 называе хатні інтэрфейс, а не тунель. Процілеглы бок люструе праблему, бо офісны маршрутызатар таксама лічыць, што хатні дыяпазон ноўтбука належыць яму.

Ціхія сутыкненні за межамі відавочнага

Не кожны выпадак — рашэнне пра маршрутызацыю. Хатняя арэнда DHCP можа трапіць дакладна на адрас, які займае офісны сервер, і тады кліент размаўляе сам з сабой, а тунель не нясе нічога.

Імёны сутыкаюцца гэтак жа. Дзве машыны з адным імем кампутара ламаюць інструменты, заснаваныя на імёнах, нават калі кожны пакет маршрутызуецца правільна, а запіс hosts, які паказвае на офісны адрас, не спрацоўвае, калі лакальная машына ўжо валодае гэтым імем, бо лакальнае развязанне перамагае. Перайменуйце лакальную машыну або выкарыстоўвайце поўнае кваліфікаванае імя замест рэдагавання hosts.

Гіпервізары дадаюць трэці выпадак. Адаптар толькі для хоста звычайна сядзіць на 192.168.56.0/24, што можа сутыкнуцца з карпаратыўным дыяпазонам, пра які ніхто не памятае, што ён заняты.

Перанумаруйце бок, якім вы валодаеце

Перанумарацыя прыбірае неадназначнасць замест таго, каб пазбягаць яе, і ў хатнім офісе гэта менавіта той бок, якім вы валодаеце. Выберыце нешта, што не з'явіцца нідзе больш, і пералічыце ўсе прылады са статычным адрасам, перш чым чапаць маршрутызатар.

10.0.0.0/8 і 172.16.0.0/12 — звычайныя кандыдаты. Заводскія налады прашыўкі, 192.168.0.0/24 і 192.168.1.0/24, — гэта менавіта тое, што трэба пакінуць.

Перанумарацыя офіса рэдка разглядаецца, а хатняя перанумарацыя каштуе вечара на перападключэнне прынтараў і разетак. Гэта ўсё яшчэ танней за абыходны шлях, які паўтараюць на кожным ноўтбуку ў кампаніі.

Апублікуйце дыяпазон, які не можа сутыкнуцца

Там, дзе офісны дыяпазон павінен застацца, зрабіце бок тунеля больш абароненым ад сутыкнення. Выдзяленне пула кліентаў як малога прэфікса замест пазычання цэлага /24 дае канкрэтны маршрут, а не шырокі.

Калі шлюз можа трансляваць, апублікуйце офісную падсетку пад псеўданімным дыяпазонам, каб прызначэнне кліента не магло трапіць у яго ўласную LAN. Дызайн сайт-сайт можа даць кожнаму сайту свой псеўданім, і гэта дазваляе адрозніваць двух кліентаў з аднолькавай нумарацыяй.

Трансляцыя не бясплатная. Яна павінна працаваць у абодвух кірунках і пакрываць адрас крыніцы і прызначэнне, а праграмы, якія запісваюць адрасы ў свае карысныя нагрузкі, цалкам яе праігнаруюць. Менавіта таму гэта адказ, калі перанумарацыя немагчымая, а кліентаў мала.

Выбірайце па тым, што можаце змяніць

Адзін-два ноўтбукі дома: перанумаруйце хатнюю LAN. Кіраваны офіс, які не можа перанумараваць: псеўданімная трансляцыя на шлюзе. Паўторная нумарацыя ў розных сайтах кліентаў: псеўданімы для кожнага сайта, спланаваныя адзін раз. Калі не працуюць толькі інструменты на аснове імёнаў, разглядайце гэта як сутыкненне імёнаў, а не як збой маршрутызацыі.

Які б вы ні выбралі, праверце яго на адрас, які існуе толькі на процілеглым баку. Пінг вашага ўласнага маршрутызатара нічога не кажа пра тое, якая сетка адказала.