Trwsio gwrthdaro cyfeiriad IP lleol ar ôl cysylltu â VPN

Mae pob un o'r adroddiadau hyn yn swnio'r un peth ac yn golygu rhywbeth gwahanol: mae'r gliniadur yn cwyno am wrthdaro cyfeiriad, ond dim ond ambell waith, a'r rhan fwyaf o'r amser tra bo'r VPN ymlaen. Mae tri nam ar wahân yn cynhyrchu'r neges honno: dyblygiad go iawn ar eich dolen eich hun, gorgyffyrddiad lle mae'r rhwydwaith pell yn defnyddio'ch ystod LAN ac nid oes dim yn cael ei ddyblygu, a thwnnel a roddodd un cyfeiriad i ddau bâr. Mae'r trwsio'n wahanol ym mhob achos, ac mae'r un anghywir yn symud y symptom yn lle ei ddileu. Felly penderfynwch pa achos sydd gennych cyn i chi olygu unrhyw beth.

Tri nam sy'n rhannu un neges gwall

Mae dyblygiad yn golygu bod dau beiriant ar yr un segment ill dau yn hawlio un cyfeiriad. Mae'r cnewyllyn yn sylwi oherwydd daw'r ateb i'w brof ei hun o MAC gwahanol, ac mae'r hyn sy'n digwydd nesaf yn dibynnu ar y stac: mae Linux yn ei gofnodi, mae Windows yn analluogi'r rhyngwyneb ac yn ysgrifennu cofnod yn y log System, a gall cleient DHCP wrthod y cynnig.

Nid yw gorgyffyrddiad yn dyblygu unrhyw gyfeiriad o gwbl. Eich LAN yw 192.168.1.0/24, mae rhwydwaith y swyddfa hefyd yn 192.168.1.0/24, ac yn awr mae'r llwybr i'r swyddfa yn pwyntio at gyfeiriadau sydd hefyd yn eich argraffydd a'ch NAS. Nid oes dim mewn gwrthdaro yn yr ystyr ARP; mae'r pecyn yn syml yn mynd i'r ddyfais anghywir ar un o'r ddwy rwydwaith.

Mae gwrthdrawiad pwll yn fai'r twnnel ei hun. Cafodd dau bâr eu ffurfweddu â'r un cyfeiriad twnnel neu eu rhoi iddynt, felly ni all y gweinydd eu gwahaniaethu pan fydd yn anfon traffig dychwelyd. Mae un o'r dau gleient yn gweld ysgwyd llaw sy'n gweithio a dim data, ac mae hynny'n darllen fel problem llwybro ac nid yw.

Prawf 1: a yw'r dyblygiad ar eich segment eich hun?

Dechreuwch drwy restru'r hyn sydd gan eich peiriant mewn gwirionedd, nid yr hyn rydych yn cofio ei ffurfweddu. Mae cyfeiriad addasydd VPN yn breifat i'r twnnel ac nid yw'r un fath â'r cyfeiriad y mae gwefannau yn ei weld, felly nid yw allanfa gyhoeddus a rennir yn wrthdaro.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Ar Windows daw'r un wybodaeth o ipconfig /all a Get-NetIPAddress, gyda'r storfa gymydog yn arp -a. Os yw'r cyfeiriad dadleuol ar yr addasydd ffisegol ac mae'r gŵyn yn ymddangos heb y VPN yn rhedeg, mae'r VPN yn segur a dylech roi'r gorau i'w ddiagnosio.

I brofi dyblygiad yn lle dyfalu, profwch y cyfeiriad o ddyfais nad yw'n berchen arno. Mae arping -D yn anfon y prawf gyda chyfeiriad ffynhonnell sero, felly mae ateb o MAC annisgwyl yn profi bod gwesteiwr arall eisoes yn ateb ar gyfer y cyfeiriad hwnnw.

sudo arping -D -I eth0 -c 3 192.168.1.50

Yna dewch o hyd i'r perchennog drwy'r gweinyddwr rhwydwaith yn lle dewis cyfeiriad gwahanol eich hun. Aseiniadau statig sy'n byw yn nodiadau rhywun yn unig, argraffwyr â chyfeiriad sefydlog, a chadwraethau ar weinydd DHCP yw'r rhai cyffredin, ac mae dyfais sydd i ffwrdd yn dal i berchen ar ei les.

Prawf 2: a yw'r ddwy rwydwaith yn gorgyffwrdd?

Cymharwch y rhagddodiad y mae'r twnnel yn ei roi i chi â'r rhagddodiadau ar eich rhyngwynebau. Os yw'r ystod bell yn hafal i'ch LAN neu'n ei chynnwys, y nam yw gorgyffyrddiad, a'r arwydd yw bod gwesteiwr sy'n cyrraedd heb y VPN yn diffodd, neu fod eich argraffydd eich hun yn ateb ar gyfeiriad swyddfa.

ip route get 192.168.1.10
ip -br addr show

Mae edrych ar y llwybr yn dweud wrthych pa ryngwyneb y byddai'r cnewyllyn yn ei ddefnyddio, a'r ateb hwnnw yw'r holl ddiagnosis. Os yw'n dweud y twnnel ar gyfer cyfeiriad sy'n perthyn i'ch argraffydd lleol, mae gennych orgyffyrddiad ac ni fydd unrhyw adnewyddu les yn newid hynny.

Mae tair ffordd onest allan, ac fel rheol dim ond un ar gael i chi. Gall yr ochr bell guddio traffig y is-rwydwaith sy'n gorgyffwrdd, felly dim ond cyfeiriad twnnel y gweinydd y mae eich cleient yn ei weld. Gall y twnnel gario rhagddodiad pell culach nad yw'n gwrthdaro â'ch LAN. Neu gall y cleient lwybro yn ôl cyfeiriad ffynhonnell gyda rheolau polisi, sy'n gweithio ond yn fregus ac yn anodd ei roi i gydweithiwr.

Anaml y mae ailrifo rhwydwaith y swyddfa yn eich penderfyniad chi. Mae ailrifo eich LAN eich hun i osgoi'r gwrthdrawiad yn newid mwy nag y mae'r rhan fwyaf o bobl yn ei ddisgwyl unwaith y bydd argraffwyr, cameraon a gwesteiwyr statig yn rhan o'r darlun.

Prawf 3: a roddodd y twnnel un cyfeiriad ddwywaith?

Nid oes gan WireGuard bwll cyfeiriadau. Adnabyddir pob pâr gan ei allwedd gyhoeddus a chan y rhagddodiadau yn AllowedIPs, felly mae dyblygiad yn ymddangos pan fydd yr un cyfeiriad twnnel yn cael ei ysgrifennu mewn dau gofnod pâr neu'r un pâr allwedd yn cael ei osod ar ddau beiriant.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Mae cownteri traffig yn golofn ddefnyddiol yma: pâr sy'n dangos ysgwyd llaw diweddar ond dim trosglwyddiad naill ai'n cael ei gyfeirio'n anghywir neu mae cofnod arall sy'n hawlio'r un rhagddodiad yn ei gysgodi. Rhowch ragddodiad ar un pâr yn union a rhowch ei bâr allwedd ei hun i bob dyfais.

Mae gan OpenVPN bwll, a'r gwrthdrawiad cyffredin yw proffil cleient a rennir gyda llinell --ifconfig sefydlog wedi'i chopïo i ail beiriant. Yna mae'r ddau gleient yn gofyn am yr un cyfeiriad twnnel, ac mae'r gweinydd yn derbyn y sesiwn y mae'n ei phrosesu gyntaf. Mae disbyddu'r pwll gyda --duplicate-cn yn rhoi canlyniad tebyg pan fydd sawl sesiwn o un dystysgrif yn cystadlu am un cofnod.

Ar gyfer hyn, darllenwch log y gweinydd yn lle log y cleient. Mae'r gweinydd yn gwybod pa sesiwn a hawliodd pa gyfeiriad, ac mae cyfeiriadau sy'n ailadrodd yno i'w gweld fel rhybuddion na chyrhaeddant y cleient byth.

Trwsiwch wrth y ffynhonnell, yna ailwirio'r ddwy ddyfais

Mae trefn yn bwysig. Trwsiwch ddyblygiad LAN yn gyntaf, oherwydd ni all cleient na all gadw cyfeiriad gadw twnnel chwaith. Yna trwsiwch y ddarpariaeth ar ochr y VPN, oherwydd mae golygiad ar ochr y cleient i aseiniad pwll yn cael ei ddadwneud ar y cysylltiad nesaf. Yn olaf, deliwch â hunaniaethau dyblyg: parau allwedd ar wahân ar WireGuard, tystysgrifau ar wahân neu o leiaf proffiliau ar wahân ar OpenVPN.

Ar y cleient mae'r rhan fecanyddol yn fyr. Rhyddhewch ac adnewyddwch les DHCP, neu gofynnwch i'r cyfeiriad gael ei newid ar y gweinydd ar gyfer cadwraeth. Peidiwch â theipio cyfeiriad ar hap sy'n edrych yn rhydd.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Yna gwiriwch o'r ddau ben, nid o un. Cadarnhewch y giât, yna'r gwasanaeth sydd ei angen arnoch mewn gwirionedd, yna ailgysylltwch ac ailadroddwch. Os oedd dau ddyfais yn rhan o'r mater, gwiriwch y ddau: mae symud un cyfeiriad yn gadael y llall â chofnodion cymydog hen neu les hen sy'n ailymddangos yn ddiweddarach.

Beth i beidio â'i wneud ar y ffordd

Peidiwch â thawelu'r symptom. Canfod cyfeiriadau dyblyg yw'r hyn sy'n eich stopio rhag cymryd cyfeiriad sydd eisoes yn cael ei ddefnyddio, ac mae ei analluogi yn troi gwrthdaro gweladwy yn golled pecynnau ysbeidiol sy'n llawer anoddach ei olrhain. Mae'r un peth yn wir am dderbyn rhybudd tystysgrif o westeiwr annisgwyl: nid yw hynny'n broblem cyfeiriad o gwbl, ac mae clicio heibio iddo yn cuddio nam gwahanol.

Peidiwch â newid cyfeiriadau rhwydwaith a reolir eich hun ychwaith. Cofnodwch y gosodiad gwreiddiol, gofynnwch i'r perchennog pan fydd y cyfeiriad yn cael ei aseinio'n ganolog, a chadwch y newid yn ddigon bach i'w wrthdroi. Mae rheolau canfod gwrthdaro cyfeiriad RFC 5227 yn egluro beth mae prawf cywir yn ei brofi, sy'n werth ei wybod cyn i chi alw gwrthdaro yn un go iawn.