Ingen rute retter en VPN-pulje, der overlapper dit LAN

Appen hævder, at tunnelen er sund, og alligevel svarer halvdelen af de destinationer, du har brug for, aldrig. Refleksen er at tilføje en rute eller sænke en metrik, og netop den refleks er den myte, der først skal dræbes. Når klientens eget LAN og tunnelens pulje kræver samme præfiks, holder rutetabellen to uforenelige fakta, og hverken en standardrute eller en metrik løser dem. Reparationen er en adresseringsbeslutning, og ingen ruteredigering erstatter den.

Hvorfor en ekstra rute ikke kan dele ét præfiks

En rute kan ikke adskille to krav på ét præfiks, og derfor er det fornuftige træk at holde op med at lede efter den rigtige rutelinje. Stakken placerer ikke et identisk præfiks foran den forbundne rute, og en mere specifik post fanger godt nok adressen, men gør den lokale vært, der ejer den, utilgængelig. Det, der ligner et routingproblem, er en adresseringskollision, og begge reparationer ændrer adresser i stedet for ruter. Test påstanden på din egen maskine, før du accepterer den.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Spørg systemet om en enkelt adresse, og læg mærke til, hvilken grænseflade det nævner. Linux, macOS og Windows svarer hver med et skrivebeskyttet opslag, der rapporterer den valgte grænseflade og næste hop uden at sende noget. Når svaret peger på den fysiske adapter, mens tunnelen er oppe, behandler kernen adressen som on-link i stedet for som noget, tunnelen kunne bære.

Sæt det præfiks, udbyderen har givet, ved siden af det, hjemmeruteren betjener, og sammenlign dem som strenge. Et præcist match er det klare tilfælde, og en bredere udbyderpulje, der indeholder hjemmesubnettet, fejler på samme måde, mens den er lettere at overse. To præfikser, der blot ser ens ud, er ikke en kollision, så skriv begge ned, før du ændrer noget.

Læs den pulje, klienten faktisk fik

Læs, hvad klienten modtog, ikke udbyderens marketingsside. Skru op for detaljeringsgraden i en OpenVPN-klients log, og de ruter, serveren skubber, vises i den og afslører tunnelens præfikser; andre steder dukker puljen op i forbindelsesdetaljerne eller på adapteren selv. Bed udbyderen om den fulde liste over private områder, den bruger, for et enkelt /24 i dag kan være to i morgen. At undgå de almindelige RFC 1918-blokke er ikke det samme som at undgå den tildeling, du faktisk har fået.

En pulje kan også krympe eller flytte mellem regioner, så listen har brug for en dato og en ejer. Behandl ethvert udbydersvar, der er ældre end din sidste planændring, som et gæt snarere end et faktum. Spørg igen, før du forpligter dig til et område, og gem svaret sammen med netværksnoterne, så den næste person arver dokumentationen.

Omnummerering er den reparation, du kan udføre

Hvis VPN-serveren ikke er din at ændre, er flytning af hjemme-LAN'et den eneste tilgængelige reparation, og det er den sædvanlige situation med en kommerciel udbyder. Vælg et område uden for udbyderens pulje og uden for de områder, du måske får brug for senere, og kontrollér det mod hvert andet sted, du når over en tunnel. Forvent et kort udfald og en længere hale af glemte enheder: en, der stadig holder den gamle adresse, ser ud til at virke, indtil den har brug for gatewayen.

1. Inventér først: routerens egen adresse, DHCP-området, reservationer, portvideresendelser og enhver enhed, hvis adresse er tastet i hånden.
2. Skift derefter routerens LAN-præfiks og DHCP-området sammen inden for et vedligeholdelsesvindue, og forny kablede leases før trådløse.
3. Ret derefter de statiske adresser: printere, netværkslager, alt med en hårdkodet gateway.
4. Genopret til sidst VPN-klienten, og bekræft at tunneladressen ikke længere kolliderer med LAN'et.

Gå adresserne igennem i den rækkefølge i stedet for på én gang, og hold det gamle område dokumenteret et stykke tid, så en forældet enhed kan genkendes i stedet for at være mystisk. En enhed, der aldrig fornyer, melder sig ved ikke at nå gatewayen, hvilket er et langt bedre spor end et opkald til supporten. Hvis routeren uddeler leases på mere end et døgn, så forkort dem i vinduets varighed.

Hvad et alias kan og ikke kan

Når serveren er din, kan oversættelse af adresser på klienten blotte det fjerne præfiks inde i et ledigt lokalt område, så den samme vært svarer på en anden adresse. Fællesskabs-OpenVPN gør det med client-nat, og den direktiv er specifik for den klient, fraværende i de kommercielle og mobile klienter, folk normalt sammenligner den med. Arrangementet kræver en rute, der matcher oversættelsen, et frit område til aliaset og en server, der vil svare på klientens uoversatte adresse. Intet af det hjælper, når klienten tilhører en administreret udbyder, du ikke kan konfigurere.

Når ændringen er på plads, så nå en lokal vært og en fjern vært først på adresse og derefter på navn, og notér den rute, systemet vælger hver gang. Et navn kan stadig opløses til det gamle område, så adresser og navne fortjener uafhængige kontroller. Genstart én klient og én enhed på serversiden, hvis en af dem blev oppe gennem ændringen, for cachede nabo-poster lever længere end redigeringen.

Skriv de præfikser, du endte med, der hvor folk faktisk kigger: netværksnoterne, routerens eget kommentarfelt, introduktionssiden. Nogen vælger 192.168.1.0/24 igen, og kollisionen vender tilbage med dem.