Les subxarxes de casa i de l'oficina xoquen per VPN: tres solucions

El client informa que està connectat i que el túnel està actiu, però el servidor de fitxers de l'oficina respon des d'algun lloc de la cuina. Normalment els dos extrems fan servir 192.168.1.0/24 perquè és el que porten els encaminadors domèstics, i cap ruta no resol una ambigüitat que existeix als dos costats alhora. La fallada pot semblar un túnel trencat o un servidor trencat, i no és cap de les dues coses. Identifiqueu quin xoc teniu abans de tocar cap configuració, perquè els tipus tenen solucions diferents i només una és d'encaminament.

Una ruta connectada guanya qualsevol cosa que envieu

Un equip considera local una adreça sempre que una ruta connectada la cobreix. En un portàtil la interfície del qual és 192.168.1.20/24, l'adreça 192.168.1.50 és un veí, així que el paquet surt per la interfície de casa i mai no arriba al túnel.

Enviar una ruta pel prefix de l'oficina no canvia res, perquè aquest prefix ja existeix com a xarxa directament connectada. El sistema operatiu continua responent des de l'entrada connectada, i es consulta abans de preguntar res al túnel. Podeu veure l'ordre vosaltres mateixos: ip route get 192.168.1.50 nomena la interfície de casa, no el túnel. L'extrem oposat reflecteix el problema, perquè l'encaminador de l'oficina també creu que el rang de casa del portàtil li pertany.

Xocs silenciosos més enllà de l'obvi

No tots els casos són una decisió d'encaminament. Un contracte DHCP de casa pot caure exactament a l'adreça que té el servidor de l'oficina, i llavors el client parla amb si mateix mentre el túnel no porta res.

Els noms xoquen de la mateixa manera. Dues màquines que comparteixen un nom d'ordinador trenquen les eines basades en noms fins i tot quan cada paquet s'encamina correctament, i una entrada hosts que apunta a l'adreça de l'oficina falla quan la màquina local ja posseeix aquest nom, perquè la resolució local guanya. Canvieu el nom de la màquina local o feu servir el nom completament qualificat en lloc d'editar hosts.

Els hipervisors afegeixen un tercer cas. Un adaptador només per a l'amfitrió normalment se situa a 192.168.56.0/24, que pot xocar amb un rang corporatiu que ningú no recorda que està en ús.

Renumereu el costat que posseïu

Renumerar elimina l'ambigüitat en lloc d'esquivar-la, i en una oficina a casa aquest és el costat que posseïu. Trieu alguna cosa que no aparegui enlloc més i llisteu cada dispositiu amb una adreça estàtica abans de tocar l'encaminador.

10.0.0.0/8 i 172.16.0.0/12 són els candidats habituals. Els valors de fàbrica del firmware, 192.168.0.0/24 i 192.168.1.0/24, són exactament el que cal deixar.

Renumerar l'oficina poques vegades és sobre la taula, i una renumeració de casa costa un vespre de tornar a connectar impressores i endolls. Encara és més barat que una solució alternativa repetida a cada portàtil de l'empresa.

Publiqueu un rang que no pugui xocar

On el rang de l'oficina ha de quedar-se, feu que el costat del túnel sigui més difícil de xocar. Retallar el pool de clients com a prefix petit en lloc de manllevar un /24 sencer dóna una ruta específica en comptes d'una àmplia.

Si la passarel·la pot traduir, publiqueu la subxarxa de l'oficina sota un rang àlies, de manera que la destinació del client no pugui caure dins de la seva pròpia LAN. Un disseny de lloc a lloc pot donar a cada lloc el seu propi àlies, cosa que manté distingibles dos clients amb numeració idèntica.

La traducció no és gratuïta. Ha de funcionar en les dues direccions i cobrir l'adreça d'origen i la destinació, i les aplicacions que escriuen adreces dins de la seva pròpia càrrega útil l'ignoraran completament. Per això és la resposta quan renumerar és impossible i el nombre de clients és petit.

Trieu segons el que pugueu canviar

Un o dos portàtils a casa: renumereu la LAN de casa. Una oficina gestionada que no pot renumerar: traducció d'àlies a la passarel·la. Numeració repetida entre llocs de clients: àlies per lloc, planificats una vegada. Quan només fallen les eines basades en noms, tracteu-ho com un xoc de noms i no com una fallada d'encaminament.

Trieu el que trieu, proveu-ho contra una adreça que només existeixi al costat oposat. Fer ping al vostre propi encaminador no diu res sobre quina xarxa ha respost.