Домът и офисът използват едно и също 192.168.1.x: какво сега?

Минете през четири проверки: към кой адрес се разрешава името, кой префикс използва локалната мрежа, кой маршрут избира ядрото за тази дестинация и какво отговаря в далечния край. Входът във VPN не е една от тях, защото той завършва независимо коя мрежа надделява. Направете проверките по ред и припокриването ще стане видимо на втората стъпка, а не на четвъртата.

Успешният вход казва, че тунелът е вдигнат; той не казва нищо за това накъде води даден адрес.

Един адрес, две машини

Хостът избира път от своята маршрутна таблица и правила за политика, използвайки адреса на дестинацията. Нищо не му казва, че заявка към хопа 192.168.1.20 е предназначена за офис сървъра, а не за устройство в съседната стая. Когато двете мрежи са в един и същ частен диапазон, най-конкретният маршрут печели и всичко останало зависи от това кой запис е успяло да инсталира повторното свързване. Нищо в самия адрес не носи това разграничение.

ip route get 192.168.1.20

Тази справка посочва интерфейса и следващия хоп, които ядрото е избрало, което е втората проверка в списъка. Сравнете локалния и отдалечения префикс, преди да правите каквото и да е друго. Ако локалната LAN е 192.168.1.0/24 и отдалеченият сайт също е 192.168.1.0/24, припокриването е находката и никоя опция на клиента не го поправя.

Преномерирайте страната, която контролирате

Личният рутер обикновено е по-лесната страна за преместване. Изберете диапазон, който не се сблъсква с отдалечените мрежи, които реално използвате, и имайте предвид, че 10.x.x.x също не е автоматично свободен, тъй като много сайтове го използват. Планирайте промяната: DHCP наеми, резервирани адреси, опашки за печат и всичко с твърдо зададен адрес се нуждаят от внимание. Направете преномерирането в прозорец, в който можете да възстановите рутера без VPN.

Проверете списъка с отдалечени префикси първо, а не след това. Избирането на нов диапазон, който се сблъсква с друг офис сайт, създава същия проблем с повече вложен труд.

Когато никоя страна не може да се промени

Ако нито една мрежа не може да бъде преномерирана, останалите опции живеят на сървъра. Шлюзът може да преведе отдалечена мрежа в друга подмрежа за VPN клиенти, използвайки NAT, базиран на политики, или двупосочен вариант, така че клиентът да вижда уникален адрес. Това е дизайн на шлюз, а не превключвател, който всеки настолен клиент предоставя, и той променя кой адрес въвеждат потребителите и кои имена трябва да съвпадат. Маршрут, копиран от форум, не може да различи две еднакви дестинации.

Частните диапазони на адреси остават частни; проблемът е повторното използване, а не самите диапазони.

Докажете коя машина е отговорила

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

След всяка промяна тествайте офис ресурса и локалните устройства заедно. Ако познато домашно устройство отговаря там, където трябва да е офис сървърът, или TLS сертификатът посочва грешен хост, спрете и идентифицирайте дестинацията, преди да продължите. Получаването на отговор от този адрес не доказва коя машина го е изпратила. Проверката на субекта на сертификата е един от малкото надеждни сигнали, налични в този момент.

Не заменяйте частните адреси на офиса с произволни публични, които не контролирате. Така разменяте припокриване срещу проблем с маршрутизацията и собствеността, който е по-лош и по-труден за обяснение.

Запишете локалния префикс, отдалечения префикс и промяната, която го реши. Следващото припокриване ще изглежда различно, но ще следва същия модел.