Kuća i ured oboje koriste 192.168.1.x: šta sada?

Prođite kroz četiri provjere: na koju adresu se ime razrješava, koji prefiks koristi lokalna mreža, koju rutu kernel bira za tu destinaciju i šta odgovara na udaljenoj strani. Prijava na VPN nije jedna od njih, jer se završava bez obzira na to koja mreža pobijedi. Uradite provjere po redu i preklapanje će postati vidljivo na drugom koraku, a ne na četvrtom.

Uspješna prijava kaže da je tunel podignut; ne kaže ništa o tome kamo pokazuje određena adresa.

Jedna adresa, dvije mašine

Host bira put iz svoje ruting tabele i pravila politike, koristeći odredišnu adresu. Ništa mu ne govori da je zahtjev na hop 192.168.1.20 namijenjen uredskom serveru, a ne uređaju u susjednoj sobi. Kada su obje mreže u istom privatnom opsegu, pobjeđuje najspecifičnija ruta i sve ostalo zavisi od toga koji je unos ponovno povezivanje slučajno instaliralo. Ništa u samoj adresi ne nosi tu razliku.

ip route get 192.168.1.20

To pretraživanje imenuje interfejs i sljedeći hop koje je kernel odabrao, što je druga provjera na listi. Uporedite lokalni i udaljeni prefiks prije nego što učinite bilo šta drugo. Ako je lokalni LAN 192.168.1.0/24 i udaljena lokacija također 192.168.1.0/24, preklapanje je nalaz i nijedna klijentska opcija ga ne popravlja.

Prenumerišite stranu koju kontrolišete

Lični ruter je obično lakša strana za premještanje. Odaberite opseg koji se ne sudara s udaljenim mrežama koje zaista koristite i imajte na umu da ni 10.x.x.x nije automatski slobodan, jer ga mnoge lokacije koriste. Isplanirajte promjenu: DHCP zakupi, rezervisane adrese, redovi za štampanje i sve s čvrsto upisanom adresom trebaju pažnju. Prenumerišite u prozoru kada možete vratiti ruter bez VPN-a.

Provjerite listu udaljenih prefiksa prvo, a ne poslije. Odabir novog opsega koji se sudara s drugom uredskom lokacijom stvara isti problem uz više uloženog rada.

Kada nijedna strana ne može da se promijeni

Ako se nijedna mreža ne može prenumerisati, preostale opcije žive na serveru. Gateway može prevesti udaljenu mrežu u drugu podmrežu za VPN klijente, koristeći NAT zasnovan na politici ili dvosmjernu varijantu, tako da klijent vidi jedinstvenu adresu. To je dizajn gatewaya, a ne prekidač koji pruža svaki desktop klijent, i mijenja koju adresu korisnici upisuju i koja imena moraju da se poklope. Ruta kopirana s foruma ne može razlikovati dvije identične destinacije.

Privatni opsezi adresa ostaju privatni; problem je ponovna upotreba, a ne sami opsezi.

Dokažite koja mašina je odgovorila

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Nakon svake promjene testirajte uredski resurs i lokalne uređaje zajedno. Ako poznati kućni uređaj odgovara tamo gdje bi trebao biti uredski server, ili TLS certifikat imenuje pogrešnog hosta, zaustavite se i identificirajte destinaciju prije nego što nastavite. Dobijanje odgovora s te adrese ne dokazuje koja ga je mašina poslala. Provjera subjekta certifikata jedan je od rijetkih pouzdanih signala dostupnih u tom trenutku.

Ne zamjenjujte privatne adrese ureda proizvoljnim javnim adresama koje ne kontrolišete. Time mijenjate preklapanje za problem rutiranja i vlasništva koji je gori i teže ga je objasniti.

Zabilježite lokalni prefiks, udaljeni prefiks i promjenu koja ga je riješila. Sljedeće preklapanje izgledat će drugačije, ali slijedit će isti obrazac.