Zuhause und Büro nutzen beide 192.168.1.x: Was nun?

Gehen Sie vier Prüfungen durch: auf welche Adresse der Name aufgelöst wird, welches Präfix das lokale Netz verwendet, welche Route der Kernel für dieses Ziel wählt und was am fernen Ende antwortet. Die VPN-Anmeldung gehört nicht dazu, weil sie unabhängig davon gelingt, welches Netz gewinnt. Führen Sie die Prüfungen der Reihe nach aus, und die Überschneidung wird beim zweiten Schritt sichtbar statt beim vierten.

Eine erfolgreiche Anmeldung besagt, dass der Tunnel steht; sie sagt nichts darüber, wohin eine bestimmte Adresse zeigt.

Eine Adresse, zwei Rechner

Ein Host wählt anhand der Zieladresse einen Pfad aus seiner Routingtabelle und seinen Policy-Regeln. Nichts sagt ihm, dass eine Anfrage an den Hop 192.168.1.20 für den Büroserver bestimmt ist und nicht für ein Gerät im Nebenzimmer. Liegen beide Netze im selben privaten Bereich, gewinnt die spezifischste Route, und alles andere hängt davon ab, welchen Eintrag eine Wiederverbindung zufällig installiert hat. Nichts in der Adresse selbst trägt diese Unterscheidung.

ip route get 192.168.1.20

Diese Abfrage nennt die Schnittstelle und den nächsten Hop, die der Kernel gewählt hat, und das ist die zweite Prüfung auf der Liste. Vergleichen Sie das lokale und das entfernte Präfix, bevor Sie etwas anderes tun. Wenn das lokale LAN 192.168.1.0/24 ist und der entfernte Standort ebenfalls 192.168.1.0/24, ist die Überschneidung der Befund, und keine Client-Option behebt sie.

Nummerieren Sie die Seite um, die Sie kontrollieren

Ein privater Router ist meist die leichter zu verschiebende Seite. Wählen Sie einen Bereich, der nicht mit den Fernnetzen kollidiert, die Sie tatsächlich nutzen, und bedenken Sie, dass auch 10.x.x.x nicht automatisch frei ist, da viele Standorte es verwenden. Planen Sie die Änderung: DHCP-Leases, reservierte Adressen, Druckerwarteschlangen und alles mit fest kodierter Adresse brauchen Aufmerksamkeit. Nehmen Sie die Umnummerierung in einem Zeitfenster vor, in dem Sie den Router ohne das VPN wiederherstellen können.

Prüfen Sie die Liste der entfernten Präfixe zuerst, nicht danach. Ein neuer Bereich, der mit einem anderen Bürostandort kollidiert, erzeugt dasselbe Problem mit mehr investierter Arbeit.

Wenn keine Seite geändert werden kann

Lässt sich keines der Netze umnummerieren, liegen die verbleibenden Optionen auf dem Server. Ein Gateway kann ein Fernnetz für VPN-Clients in ein anderes Subnetz übersetzen, mithilfe von policybasiertem NAT oder einer bidirektionalen Variante, sodass der Client eine eindeutige Adresse sieht. Das ist ein Gateway-Design und kein Schalter, den jeder Desktop-Client bietet, und es ändert, welche Adresse Benutzer eingeben und welche Namen übereinstimmen müssen. Eine aus einem Forum kopierte Route kann zwei identische Ziele nicht unterscheiden.

Private Adressbereiche bleiben privat; das Problem ist die Wiederverwendung, nicht die Bereiche selbst.

Beweisen Sie, welcher Rechner geantwortet hat

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Testen Sie nach jeder Änderung die Büroressource und die lokalen Geräte gemeinsam. Wenn ein vertrautes Hausgerät dort antwortet, wo der Büroserver sein sollte, oder das TLS-Zertifikat den falschen Host nennt, halten Sie an und identifizieren Sie das Ziel, bevor Sie fortfahren. Eine Antwort von dieser Adresse belegt nicht, welcher Rechner sie gesendet hat. Das Prüfen des Zertifikatsantragstellers ist eines der wenigen verlässlichen Signale, die zu diesem Zeitpunkt verfügbar sind.

Ersetzen Sie die privaten Adressen des Büros nicht durch beliebige öffentliche Adressen, die Sie nicht kontrollieren. Das tauscht eine Überschneidung gegen ein Routing- und Eigentumsproblem, das schlimmer und schwerer zu erklären ist.

Notieren Sie das lokale Präfix, das entfernte Präfix und die Änderung, die es gelöst hat. Die nächste Überschneidung wird anders aussehen, aber demselben Muster folgen.