Domácí a kancelářské podsítě se srážejí přes VPN: tři řešení

Klient hlásí, že je připojený a tunel je nahoru, ale souborový server v kanceláři odpovídá někde z kuchyně. Oba konce obvykle používají 192.168.1.0/24, protože s tím přicházejí domácí routery, a žádná trasa neřeší nejednoznačnost, která existuje na obou stranách současně. Závada může vypadat jako rozbitý tunel nebo rozbitý server, ale není ani jedno. Zjistěte, jaký střet máte, než se dotknete konfigurace, protože druhy mají různá řešení a jen jedno z nich je o směrování.

Připojená trasa porazí cokoli, co pošlete

Hostitel považuje adresu za místní, kdykoli ji pokrývá připojená trasa. Na notebooku, jehož rozhraní je 192.168.1.20/24, je adresa 192.168.1.50 sousedem, takže paket odchází přes domácí rozhraní a nikdy nedorazí do tunelu.

Odeslání trasy pro kancelářský prefix nic nemění, protože tento prefix už existuje jako přímo připojená síť. Operační systém dál odpovídá z připojené položky a ta se prohlíží dřív, než se tunelu na cokoli zeptá. Pořadí si můžete prohlédnout sami: ip route get 192.168.1.50 jmenuje domácí rozhraní, ne tunel. Protější konec problém zrcadlí, protože kancelářský router také věří, že mu domácí rozsah notebooku patří.

Tiché střety za tím zjevným

Ne každý případ je rozhodnutí o směrování. Domácí DHCP pronájem může padnout přesně na adresu, kterou drží kancelářský server, a pak klient mluví sám se sebou, zatímco tunel nic nenese.

Jména kolidují stejně. Dva stroje se stejným názvem počítače rozbijí nástroje založené na jménech, i když je každý paket směrován správně, a záznam hosts ukazující na kancelářskou adresu selže, když místní stroj to jméno už vlastní, protože místní překlad vyhrává. Přejmenujte místní stroj nebo použijte plně kvalifikované jméno místo úpravy hosts.

Hypervizory přidávají třetí případ. Adaptér pouze pro hostitele obvykle sedí na 192.168.56.0/24, což může kolidovat s firemním rozsahem, o kterém si nikdo nepamatuje, že se používá.

Přečíslujte stranu, kterou vlastníte

Přečíslování odstraňuje nejednoznačnost místo toho, aby se jí vyhýbalo, a v domácí kanceláři je to strana, kterou vlastníte. Vyberte něco, co se nikde jinde neobjeví, a před zásahem do routeru vypište každé zařízení se statickou adresou.

10.0.0.0/8 a 172.16.0.0/12 jsou obvyklí kandidáti. Tovární nastavení firmwaru, 192.168.0.0/24 a 192.168.1.0/24, jsou přesně to, co je třeba nechat.

Přečíslování kanceláře je málokdy na pořadu dne a domácí přečíslování stojí večer opětovného připojování tiskáren a zásuvek. Je to pořád levnější než obchvat opakovaný na každém notebooku ve firmě.

Zveřejněte rozsah, který nemůže kolidovat

Tam, kde kancelářský rozsah musí zůstat, udělejte stranu tunelu obtížněji kolizní. Vydělení klientského poolu jako malého prefixu místo půjčení celého /24 dává konkrétní trasu, ne širokou.

Pokud brána umí překládat, zveřejněte kancelářskou podsíť pod aliasovým rozsahem, aby cíl klienta nemohl padnout do jeho vlastní LAN. Design site-to-site může každému místu dát vlastní alias, což drží dva zákazníky se shodným číslováním rozlišitelné.

Překlad není zdarma. Musí běžet oběma směry a pokrývat zdrojovou adresu i cíl, a aplikace, které si adresy zapisují do vlastního obsahu, jej úplně ignorují. Proto je odpovědí, když je přečíslování nemožné a klientů je málo.

Vyberte podle toho, co můžete změnit

Jeden nebo dva notebooky doma: přečíslujte domácí LAN. Spravovaná kancelář, která nemůže přečíslovat: aliasový překlad na bráně. Opakované číslování napříč zákaznickými místy: aliasy pro jednotlivá místa, naplánované jednou. Když selžou jen nástroje založené na jménech, berte to jako kolizi jmen, ne jako chybu směrování.

Ať už vyberete cokoli, testujte proti adrese, která existuje jen na protější straně. Ping na vlastní router nic neříká o tom, která síť odpověděla.