Doma i v kanceláři používají 192.168.1.x: co teď?

Projděte čtyři kontroly: na kterou adresu se jméno překládá, který prefix používá místní síť, kterou trasu jádro pro tento cíl zvolí a co odpovídá na vzdáleném konci. Přihlášení k VPN mezi ně nepatří, protože proběhne bez ohledu na to, která síť vyhraje. Proveďte kontroly v pořadí a překryv se ukáže už ve druhém kroku, ne ve čtvrtém.

Úspěšné přihlášení říká, že tunel je nahoře; neříká nic o tom, kam určitá adresa vede.

Jedna adresa, dva stroje

Hostitel volí cestu ze své směrovací tabulky a pravidel zásad podle cílové adresy. Nic mu neříká, že požadavek na skok 192.168.1.20 je určen kancelářskému serveru, a ne zařízení ve vedlejší místnosti. Když jsou obě sítě ve stejném privátním rozsahu, vyhraje nejkonkrétnější trasa a všechno ostatní závisí na tom, kterou položku náhodou nainstalovalo opětovné připojení. Nic v adrese samotné toto rozlišení nenese.

ip route get 192.168.1.20

Toto vyhledání pojmenuje rozhraní a další skok, které jádro zvolilo, což je druhá kontrola v seznamu. Porovnejte místní a vzdálený prefix, než uděláte cokoli jiného. Pokud je místní LAN 192.168.1.0/24 a vzdálené pracoviště také 192.168.1.0/24, překryv je nález a žádná klientská volba ho neopraví.

Přenumurujte stranu, kterou ovládáte

Osobní router je obvykle snadnější strana k přesunu. Zvolte rozsah, který nekoliduje se vzdálenými sítěmi, jež skutečně používáte, a všimněte si, že ani 10.x.x.x není automaticky volné, protože ho používá mnoho pracovišť. Naplánujte změnu: DHCP lease, rezervované adresy, tiskové fronty a cokoli s pevně zadanou adresou potřebují pozornost. Přenumujte v okně, kdy můžete router obnovit bez VPN.

Zkontrolujte seznam vzdálených prefixů nejdřív, ne potom. Volba nového rozsahu, který koliduje s jiným kancelářským pracovištěm, vytvoří stejný problém s více vloženou prací.

Když se ani jedna strana nemůže změnit

Pokud nelze přenumurovat ani jednu síť, zbývající možnosti žijí na serveru. Brána může přeložit vzdálenou síť do jiné podsítě pro klienty VPN pomocí NAT založeného na zásadách nebo obousměrné varianty, takže klient vidí jedinečnou adresu. To je návrh brány, ne přepínač, který poskytuje každý desktopový klient, a mění, kterou adresu uživatelé zadávají a která jména musí odpovídat. Trasa zkopírovaná z fóra nedokáže rozlišit dva stejné cíle.

Privátní rozsahy adres zůstávají privátní; problémem je opětovné použití, ne samotné rozsahy.

Dokažte, který stroj odpověděl

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Po každé změně otestujte kancelářský zdroj a místní zařízení společně. Pokud tam, kde má být kancelářský server, odpovídá známé domácí zařízení, nebo certifikát TLS uvádí špatného hostitele, zastavte se a před pokračováním určete cíl. Odpověď z této adresy nedokazuje, který stroj ji poslal. Kontrola subjektu certifikátu je jedním z mála spolehlivých signálů dostupných v té chvíli.

Nahrazujte kancelářské privátní adresy svévolnými veřejnými adresami, které neovládáte. Vyměníte tím překryv za problém směrování a vlastnictví, který je horší a hůř se vysvětluje.

Zapište místní prefix, vzdálený prefix a změnu, která to vyřešila. Další překryv bude vypadat jinak, ale bude sledovat stejný vzorec.