Домашната и офисната подмрежа се сблъскват през VPN: три решения

Клиентът съобщава, че е свързан и тунелът работи, но офис файловият сървър отговаря отнякъде в кухнята. Обикновено двете страни използват 192.168.1.0/24, защото потребителските рутери идват така, и никой маршрут не решава двусмислие, което съществува от двете страни едновременно. Повредата може да изглежда като счупен тунел или счупен сървър, но не е нито едното. Определете кой сблъсък имате, преди да пипате конфигурация, защото видовете имат различни решения и само едно от тях е за маршрутизация.

Свързаният маршрут побеждава всичко, което изпратите

Хостът смята адреса за локален, когато свързан маршрут го покрива. На лаптоп, чийто интерфейс е 192.168.1.20/24, адресът 192.168.1.50 е съсед, така че пакетът излиза през домашния интерфейс и никога не стига до тунела.

Изпращането на маршрут за офис префикса не променя нищо, защото този префикс вече съществува като директно свързана мрежа. Операционната система продължава да отговаря от свързания запис и той се преглежда, преди тунелът да бъде питан за каквото и да е. Можете да видите реда сами: ip route get 192.168.1.50 посочва домашния интерфейс, а не тунела. Отсрещната страна отразява проблема, защото офис рутерът също вярва, че домашният диапазон на лаптопа му принадлежи.

Тихи сблъсъци отвъд очевидния

Не всеки случай е решение за маршрутизация. Домашен DHCP наем може да попадне точно на адреса, който офис сървърът заема, и тогава клиентът говори сам със себе си, докато тунелът не носи нищо.

Имената се сблъскват по същия начин. Две машини с едно и също име на компютър чупят инструментите, базирани на имена, дори когато всеки пакет е маршрутизиран правилно, а запис в hosts, сочещ към офис адреса, се проваля, когато локалната машина вече притежава това име, защото локалното разрешаване печели. Преименувайте локалната машина или използвайте пълното квалифицирано име, вместо да редактирате hosts.

Хипервизорите добавят трети случай. Адаптер само за хост обикновено стои на 192.168.56.0/24, което може да се сблъска с корпоративен диапазон, за който никой не помни, че се използва.

Преномерирайте страната, която притежавате

Преномерирането премахва двусмислието, вместо да го заобикаля, а в домашния офис това е страната, която притежавате. Изберете нещо, което няма да се появи никъде другаде, и избройте всяко устройство със статичен адрес, преди да пипате рутера.

10.0.0.0/8 и 172.16.0.0/12 са обичайните кандидати. Фабричните настройки на фърмуера, 192.168.0.0/24 и 192.168.1.0/24, са точно това, което трябва да оставите.

Преномерирането на офиса рядко е на дневен ред, а домашното преномериране струва една вечер за пресвързване на принтери и щепсели. Все пак е по-евтино от заобиколно решение, повтаряно на всеки лаптоп в компанията.

Публикувайте диапазон, който не може да се сблъска

Където офис диапазонът трябва да остане, направете страната на тунела по-трудна за сблъсък. Отделяне на клиентския пул като малък префикс, вместо да заемате цяло /24, дава конкретен маршрут, а не широк.

Ако шлюзът може да превежда, публикувайте офис подмрежата под псевдоним диапазон, така че дестинацията на клиента да не може да попадне в собствения му LAN. Дизайн сайт-към-сайт може да даде на всеки сайт свой псевдоним, което прави двама клиенти с еднаква номерация различими.

Преводът не е безплатен. Той трябва да работи в двете посоки и да покрива изходния адрес и дестинацията, а приложенията, които записват адреси в собствените си полезни товари, ще го игнорират напълно. Това го прави отговорът, когато преномерирането е невъзможно и клиентите са малко.

Изберете според това, което можете да промените

Един-два лаптопа у дома: преномерирайте домашния LAN. Управляван офис, който не може да преномерира: превод с псевдоним на шлюза. Повтаряща се номерация при клиентски сайтове: псевдоними за всеки сайт, планирани веднъж. Когато се провалят само инструментите, базирани на имена, третирайте го като сблъсък на имена, а не като маршрутна повреда.

Кое и да изберете, тествайте срещу адрес, който съществува само от отсрещната страна. Пингването на собствения ви рутер не казва нищо за това коя мрежа е отговорила.