Žádná trasa nespraví fond VPN, který se překrývá s vaší LAN

Když fond tunelu a domácí LAN sdílejí 192.168.1.0/24, vyhrává místní podsíť. Přečíslujte stranu, kterou ovládáte, nebo přeložte vzdálený rozsah.

Aplikace tvrdí, že tunel je zdravý, a přesto polovina cílových adres, které potřebujete, nikdy neodpoví. Reflex je přidat trasu nebo snížit metriku, a právě tento reflex je mýtus, který je třeba zabít jako první. Když si klientova vlastní LAN a fond tunelu nárokují stejný prefix, směrovací tabulka drží dvě neslučitelná fakta a nevyřeší je ani výchozí trasa, ani metrika. Oprava je rozhodnutí o adresování a žádné editování tras ji nenahradí.

Proč další trasa nemůže rozdělit jeden prefix

Trasa nedokáže oddělit dva nároky na jeden prefix, proto je rozumné přestat hledat správný řádek trasy. Zásobník neumístí totožný prefix před připojenou trasu a konkrétnější záznam adresu sice zachytí, ale místní hostitel, který ji vlastní, se stane nedostupným. Co vypadá jako problém směrování, je kolize adresování, a obě opravy mění adresy, nikoli trasy. Ověřte toto tvrzení na svém stroji, než ho přijmete.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Zeptejte se systému na jedinou adresu a všimněte si, které rozhraní uvede. Linux, macOS i Windows odpovídají vyhledáním pouze pro čtení, které hlásí zvolené rozhraní a další skok, aniž by cokoli odeslalo. Když odpověď ukazuje na fyzický adaptér, zatímco tunel běží, jádro adresu považuje za on-link, a ne za něco, co by tunel mohl nést.

Položte prefix přidělený poskytovatelem vedle toho, který obsluhuje domácí router, a porovnejte je jako řetězce. Přesná shoda je jasný případ a širší fond poskytovatele, který obsahuje domácí podsíť, selhává stejně, jen se snáz přehlédne. Dva prefixy, které jen vypadají podobně, nejsou kolize, tak si oba zapište, než cokoli změníte.

Přečtěte si fond, který klient skutečně dostal

Čtěte, co klient obdržel, ne marketingovou stránku poskytovatele. Zvyšte podrobnost protokolu klienta OpenVPN a trasy tlačené serverem se v něm objeví, což odhalí prefixy tunelu; jinde se fond ukáže v podrobnostech připojení nebo na samotném adaptéru. Požádejte poskytovatele o úplný seznam privátních rozsahů, které používá, protože jediná /24 dnes může být zítra dvě. Vyhýbat se běžným blokům RFC 1918 není totéž jako vyhýbat se přidělení, které jste skutečně dostali.

Fond se může také zmenšit nebo přesunout mezi regiony, takže seznam potřebuje datum a vlastníka. Každou odpověď poskytovatele starší než vaše poslední změna plánu berte jako domněnku, ne jako fakt. Než se na rozsah zavážete, zeptejte se znovu, a odpověď uložte k síťovým poznámkám, aby další člověk zdědil důkaz.

Přečíslování je oprava, kterou můžete provést

Pokud server VPN nemůžete změnit, přesun domácí LAN je jediná dostupná oprava, a to je obvyklá situace u komerčního poskytovatele. Vyberte rozsah mimo fond poskytovatele a mimo rozsahy, které byste mohli později potřebovat, a ověřte ho proti každému dalšímu místu, kam se dostáváte tunelem. Očekávejte krátký výpadek a delší ohon zapomenutých zařízení: zařízení, které stále drží starou adresu, vypadá funkční, dokud nepotřebuje bránu.

  1. Nejprve inventura: vlastní adresa routeru, rozsah DHCP, rezervace, přesměrování portů a každé zařízení, jehož adresa byla zadána ručně.
  2. Potom změňte prefix LAN routeru a rozsah DHCP společně v rámci servisního okna a obnovte kabelové lease dřív než bezdrátové.
  3. Dále opravte statické adresy: tiskárny, síťové úložiště, cokoli s pevně zadanou bránou.
  4. Nakonec znovu připojte klienta VPN a potvrďte, že adresa tunelu už nekoliduje s LAN.

Procházejte adresy v tomto pořadí, ne všechny najednou, a starý rozsah chvíli nechte zdokumentovaný, aby bylo zastaralé zařízení rozpoznatelné, a ne záhadné. Zařízení, které nikdy neobnoví lease, se ozve tím, že se nedostane na bránu, což je mnohem lepší stopa než volání podpoře. Pokud router vydává lease na déle než den, zkraťte je na dobu okna.

Co alias umí a co ne

Když je server váš, překlad adres na klientovi může odhalit vzdálený prefix uvnitř volného místního rozsahu, takže stejný hostitel odpovídá na druhé adrese. Komunitní OpenVPN to dělá pomocí client-nat, a tato direktiva je specifická pro onen klient, chybí u komerčních a mobilních klientů, se kterými se obvykle srovnává. Uspořádání potřebuje trasu odpovídající překladu, volný rozsah pro alias a server ochotný odpovědět na klientovu nepřeloženou adresu. Nic z toho nepomůže, když klient patří spravovanému poskytovateli, který nemůžete konfigurovat.

Jakmile změna vstoupí v platnost, dostaněte se na místního a vzdáleného hostitele nejprve podle adresy a potom podle jména a poznamenejte si, kterou trasu systém pokaždé zvolí. Jméno se ještě může přeložit do starého rozsahu, takže adresy a jména si zaslouží nezávislé kontroly. Restartujte jednoho klienta a jedno zařízení na straně serveru, pokud některé zůstalo zapnuté po celou změnu, protože cachované položky sousedů žijí déle než úprava.

Zapište prefixy, na kterých jste se ustálili, tam, kam lidé skutečně koukají: síťové poznámky, pole komentáře routeru, uvítací stránku. Někdo znovu zvolí 192.168.1.0/24 a kolize se s ním vrátí.

Související články