Hjem og kontor bruger begge 192.168.1.x: hvad nu?

Gå gennem fire kontroller: hvilken adresse navnet opløses til, hvilket præfiks det lokale netværk bruger, hvilken rute kernen vælger for den destination, og hvad der svarer i den anden ende. VPN-login er ikke en af dem, fordi det gennemføres uanset hvilket netværk der vinder. Udfør kontrollerne i rækkefølge, og overlapningen bliver synlig ved andet trin i stedet for det fjerde.

Et vellykket login siger, at tunnelen er oppe; det siger intet om, hvor en bestemt adresse peger hen.

Én adresse, to maskiner

En vært vælger en vej fra sin routingtabel og sine politikregler ud fra destinationsadressen. Intet fortæller den, at en anmodning til hoppet 192.168.1.20 er beregnet til kontorserveren og ikke til en enhed i rummet ved siden af. Når begge netværk ligger på samme private område, vinder den mest specifikke rute, og alt andet afhænger af, hvilken post en genopkobling tilfældigvis installerede. Intet i selve adressen bærer den forskel.

ip route get 192.168.1.20

Det opslag angiver det interface og det næste hop, som kernen valgte, og det er den anden kontrol på listen. Sammenlign det lokale og det fjerne præfiks, før du gør noget andet. Hvis det lokale LAN er 192.168.1.0/24, og det fjerne sted også er 192.168.1.0/24, er overlapningen fundet, og ingen klientindstilling reparerer den.

Omnummerér den side, du kontrollerer

En personlig router er normalt den letteste side at flytte. Vælg et område, der ikke kolliderer med de fjernnetværk, du faktisk bruger, og bemærk, at 10.x.x.x heller ikke er automatisk ledigt, da mange steder bruger det. Planlæg ændringen: DHCP-leaser, reserverede adresser, printerkøer og alt med en hårdkodet adresse kræver opmærksomhed. Omnummerér i et tidsvindue, hvor du kan gendanne routeren uden VPN.

Kontrollér listen over fjerne præfikser først, ikke bagefter. At vælge et nyt område, der kolliderer med et andet kontorsted, giver det samme problem med mere arbejde investeret.

Når ingen af siderne kan ændres

Hvis ingen af netværkene kan omnummereres, ligger de resterende muligheder på serveren. En gateway kan oversætte et fjernnetværk til et andet subnet for VPN-klienter ved hjælp af policybaseret NAT eller en tovejsvariant, så klienten ser en unik adresse. Det er et gatewaydesign og ikke en kontakt, som enhver desktopklient tilbyder, og det ændrer, hvilken adresse brugerne skriver, og hvilke navne der skal matche. En rute kopieret fra et forum kan ikke skelne to identiske destinationer.

Private adresseområder forbliver private; problemet er genbrug, ikke områderne selv.

Bevis, hvilken maskine der svarede

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Test efter enhver ændring kontorressourcen og de lokale enheder sammen. Hvis en velkendt hjemmeenhed svarer der, hvor kontorserveren burde være, eller TLS-certifikatet angiver den forkerte vært, så stop og identificér destinationen, før du fortsætter. At få et svar fra den adresse beviser ikke, hvilken maskine der sendte det. At kontrollere certifikatets emne er et af de få pålidelige signaler, der er tilgængelige på det tidspunkt.

Erstat ikke kontorets private adresser med vilkårlige offentlige adresser, du ikke kontrollerer. Det bytter en overlapning for et routing- og ejerskabsproblem, som er værre og sværere at forklare.

Noter det lokale præfiks, det fjerne præfiks og den ændring, der løste det. Den næste overlapning vil se anderledes ud, men følge samme mønster.