Hejmo kaj oficejo ambaŭ uzas 192.168.1.x: kio nun?

Trairu kvar kontrolojn: al kiu adreso la nomo solviĝas, kiun prefikson uzas la loka reto, kiun itineron la kerno elektas por tiu celo, kaj kio respondas ĉe la malproksima fino. La VPN-ensaluto ne estas unu el ili, ĉar ĝi kompletiĝas sendepende de tio, kiu reto venkas. Faru la kontrolojn laŭorde, kaj la koincido fariĝos videbla ĉe la dua paŝo anstataŭ la kvara.

Sukcesa ensaluto diras, ke la tunelo funkcias; ĝi diras nenion pri tio, kien montras certa adreso.

Unu adreso, du maŝinoj

Gastiganto elektas vojon el sia itinera tabelo kaj politikaj reguloj, uzante la celan adreson. Nenio diras al ĝi, ke peto al la salto 192.168.1.20 estas destinita por la oficeja servilo kaj ne por aparato en la apuda ĉambro. Kiam ambaŭ retoj estas en la sama privata gamo, venkas la plej specifa itinero, kaj ĉio alia dependas de tio, kiun enskribon rekonekto hazarde instalis. Nenio en la adreso mem portas tiun diferencon.

ip route get 192.168.1.20

Tiu serĉo nomas la interfacon kaj la sekvan salon, kiujn la kerno elektis, kio estas la dua kontrolo en la listo. Komparu la lokan kaj malproksiman prefiksojn antaŭ ol fari ion alian. Se la loka LAN estas 192.168.1.0/24 kaj la malproksima ejo ankaŭ estas 192.168.1.0/24, la koincido estas la trovaĵo, kaj neniu klienta opcio riparas ĝin.

Renumeru la flankon, kiun vi kontrolas

Persona enkursigilo kutime estas la pli facila flanko por movi. Elektu gamon, kiu ne kolizias kun la malproksimaj retoj, kiujn vi efektive uzas, kaj notu, ke ankaŭ 10.x.x.x ne estas aŭtomate libera, ĉar multaj ejoj uzas ĝin. Planu la ŝanĝon: DHCP-luoj, rezervitaj adresoj, printilaj vicoj kaj ĉio kun malmola adreso bezonas atenton. Faru la renumeradon en fenestro, kiam vi povas restarigi la enkursigilon sen la VPN.

Kontrolu la liston de malproksimaj prefiksoj unue, ne poste. Elekti novan gamon, kiu kolizias kun alia oficeja ejo, produktas la saman problemon kun pli da investita laboro.

Kiam nek unu flanko povas ŝanĝiĝi

Se nek unu reto povas esti renumerita, la ceteraj opcioj loĝas sur la servilo. Kluzo povas traduki malproksiman reton en alian subreton por VPN-klientoj, uzante politiko-bazitan NAT aŭ dudirektan varianton, tiel ke la kliento vidas unikan adreson. Tio estas kluzo-dezajno, ne ŝaltilo, kiun ĉiu labortabla kliento provizas, kaj ĝi ŝanĝas, kiun adreson uzantoj tajpas kaj kiuj nomoj devas kongrui. Itinero kopiita el forumo ne povas distingi du identajn celojn.

Privataj adresaj gamoj restas privataj; la problemo estas reuzado, ne la gamoj mem.

Pruvu, kiu maŝino respondis

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Post ajna ŝanĝo, testu la oficejan rimedon kaj la lokajn aparatojn kune. Se konata hejma aparato respondas tie, kie la oficeja servilo devus esti, aŭ la TLS-atestilo nomas la malĝustan gastiganton, haltu kaj identigu la celon antaŭ ol daŭrigi. Ricevi respondon de tiu adreso ne pruvas, kiu maŝino ĝin sendis. Kontroli la subjekton de la atestilo estas unu el la malmultaj fidindaj signaloj disponeblaj en tiu momento.

Ne anstataŭigu la privatajn adresojn de la oficejo per arbitraj publikaj adresoj, kiujn vi ne kontrolas. Tio interŝanĝas koincidon kontraŭ itinera kaj posedrajta problemo, kiu estas pli malbona kaj pli malfacile klarigebla.

Notu la lokan prefikson, la malproksiman prefikson kaj la ŝanĝon, kiu solvis ĝin. La sekva koincido aspektos alie sed sekvos la saman ŝablonon.