Heim- und Büro-Subnetze kollidieren über ein VPN: drei Lösungen

Ihr Client meldet verbunden und der Tunnel steht, doch der Dateiserver im Büro antwortet von irgendwo in der Küche. Beide Seiten laufen meist mit 192.168.1.0/24, weil Verbraucherrouter damit ausgeliefert werden, und keine Route löst eine Mehrdeutigkeit, die gleichzeitig auf beiden Seiten besteht. Der Fehler kann wie ein defekter Tunnel oder ein defekter Server aussehen, und er ist keines von beiden. Stellen Sie fest, welche Kollision Sie haben, bevor Sie eine Konfiguration anfassen, denn die Arten haben unterschiedliche Lösungen und nur eine davon betrifft das Routing.

Eine verbundene Route schlägt alles, was Sie pushen

Ein Host nennt eine Adresse lokal, sobald eine verbundene Route sie abdeckt. Auf einem Laptop, dessen eigene Schnittstelle 192.168.1.20/24 ist, ist die Adresse 192.168.1.50 ein Nachbar, also verlässt das Paket die Heim-Schnittstelle und erreicht den Tunnel nie.

Eine Route für das Büropräfix zu pushen ändert nichts, weil dieses Präfix bereits als direkt verbundenes Netz existiert. Das Betriebssystem antwortet weiterhin aus dem verbundenen Eintrag, und dieser wird konsultiert, bevor der Tunnel überhaupt gefragt wird. Die Reihenfolge können Sie selbst beobachten: ip route get 192.168.1.50 nennt die Heim-Schnittstelle, nicht den Tunnel. Die Gegenseite spiegelt das Problem, denn auch der Büro-Router glaubt, der Heimbereich des Laptops gehöre ihm.

Stille Kollisionen jenseits der offensichtlichen

Nicht jeder Fall ist eine Routing-Entscheidung. Ein Heim-DHCP-Lease kann genau auf der Adresse landen, die der Büroserver hält, und dann spricht der Client mit sich selbst, während der Tunnel nichts trägt.

Namen kollidieren auf dieselbe Weise. Zwei Rechner mit demselben Computernamen brechen namensbasierte Werkzeuge, selbst wenn jedes Paket korrekt geroutet wird, und ein hosts-Eintrag, der auf die Büroadresse zeigt, versagt, wenn der lokale Rechner den Namen bereits besitzt, weil die lokale Auflösung gewinnt. Benennen Sie den lokalen Rechner um oder verwenden Sie den vollqualifizierten Namen, statt hosts zu bearbeiten.

Hypervisoren fügen einen dritten Fall hinzu. Ein Host-only-Adapter sitzt meist auf 192.168.56.0/24, was mit einem Firmenbereich kollidieren kann, von dem niemand mehr weiß, dass er in Benutzung ist.

Nummerieren Sie die Seite neu, die Ihnen gehört

Neunummerierung beseitigt die Mehrdeutigkeit, statt ihr auszuweichen, und in einem Homeoffice ist das die Seite, die Ihnen gehört. Wählen Sie etwas, das nirgendwo sonst auftaucht, und listen Sie jedes Gerät mit einer statischen Adresse auf, bevor Sie den Router anfassen.

10.0.0.0/8 und 172.16.0.0/12 sind die üblichen Kandidaten. Die Firmware-Standardwerte, 192.168.0.0/24 und 192.168.1.0/24, sind genau das, was man lassen sollte.

Eine Neunummerierung des Büros ist selten möglich, und eine Heim-Neunummerierung kostet einen Abend mit dem Wiederanschließen von Druckern und Steckern. Sie ist immer noch billiger als ein Workaround, der auf jedem Laptop der Firma wiederholt wird.

Veröffentlichen Sie einen Bereich, der nicht kollidieren kann

Wo der Bürobereich bleiben muss, machen Sie die Tunnelseite schwerer kollidierbar. Den Client-Pool als kleines Präfix herausschneiden statt ein ganzes /24 zu leihen ergibt eine spezifische Route statt einer breiten.

Kann das Gateway übersetzen, veröffentlichen Sie das Büro-Subnetz unter einem Alias-Bereich, sodass das Ziel des Clients nicht in sein eigenes LAN fallen kann. Ein Site-to-Site-Design kann jeder Site ihren eigenen Alias geben, was zwei Kunden mit identischer Nummerierung unterscheidbar hält.

Übersetzung ist nicht kostenlos. Sie muss in beide Richtungen laufen und die Quelladresse sowie das Ziel abdecken, und Anwendungen, die Adressen in ihre eigenen Nutzdaten schreiben, ignorieren sie vollständig. Das macht sie zur Antwort, wenn Neunummerierung unmöglich und die Clientzahl klein ist.

Wählen Sie nach dem, was Sie ändern können

Ein oder zwei Laptops zu Hause: das Heim-LAN neu nummerieren. Ein verwaltetes Büro, das nicht neu nummerieren kann: Alias-Übersetzung am Gateway. Wiederholte Nummerierung über Kundensites: Aliase pro Site, einmal geplant. Wenn nur namensbasierte Werkzeuge versagen, behandeln Sie es als Namenskollision und nicht als Routingfehler.

Was auch immer Sie wählen, testen Sie gegen eine Adresse, die nur auf der Gegenseite existiert. Ihren eigenen Router anzupingen sagt nichts darüber, welches Netzwerk geantwortet hat.