Las subredes de casa y oficina chocan por VPN: tres soluciones

Su cliente informa que está conectado y que el túnel está activo, pero el servidor de archivos de la oficina responde desde algún lugar de la cocina. Normalmente ambos extremos usan 192.168.1.0/24 porque es lo que traen los routers domésticos, y ninguna ruta resuelve una ambigüedad que existe en ambos lados a la vez. El fallo puede parecer un túnel roto o un servidor roto, y no es ninguna de las dos cosas. Identifique qué choque tiene antes de tocar una configuración, porque los tipos tienen soluciones distintas y solo una trata de enrutamiento.

Una ruta conectada gana a cualquier cosa que empuje

Un equipo llama local a una dirección siempre que una ruta conectada la cubra. En un portátil cuya propia interfaz es 192.168.1.20/24, la dirección 192.168.1.50 es un vecino, así que el paquete sale por la interfaz de casa y nunca llega al túnel.

Empujar una ruta para el prefijo de la oficina no cambia nada, porque ese prefijo ya existe como red directamente conectada. El sistema operativo sigue respondiendo desde la entrada conectada, y se consulta antes de preguntar nada al túnel. Puede ver el orden usted mismo: ip route get 192.168.1.50 nombra la interfaz de casa, no el túnel. El extremo opuesto refleja el problema, porque el router de la oficina también cree que el rango de casa del portátil le pertenece.

Choques silenciosos más allá del obvio

No todos los casos son una decisión de enrutamiento. Un contrato DHCP doméstico puede caer exactamente en la dirección que tiene el servidor de la oficina, y entonces el cliente habla consigo mismo mientras el túnel no lleva nada.

Los nombres chocan del mismo modo. Dos máquinas que comparten un nombre de equipo rompen las herramientas basadas en nombres incluso cuando cada paquete se enruta correctamente, y una entrada hosts que apunta a la dirección de la oficina falla cuando la máquina local ya posee ese nombre, porque la resolución local gana. Cambie el nombre de la máquina local o use el nombre totalmente cualificado en lugar de editar hosts.

Los hipervisores añaden un tercer caso. Un adaptador solo para el host suele estar en 192.168.56.0/24, que puede chocar con un rango corporativo que nadie recuerda que está en uso.

Renumere el lado que usted posee

Renumerar elimina la ambigüedad en lugar de esquivarla, y en una oficina en casa ese es el lado que usted posee. Elija algo que no aparezca en ningún otro sitio y enumere cada dispositivo con dirección estática antes de tocar el router.

10.0.0.0/8 y 172.16.0.0/12 son los candidatos habituales. Los valores de fábrica del firmware, 192.168.0.0/24 y 192.168.1.0/24, son exactamente lo que hay que dejar.

Renumerar la oficina rara vez está sobre la mesa, y una renumeración doméstica cuesta una tarde de reconectar impresoras y enchufes. Aun así es más barato que un apaño repetido en cada portátil de la empresa.

Publique un rango que no pueda chocar

Donde el rango de la oficina tenga que quedarse, haga que el lado del túnel sea más difícil de chocar. Recortar el grupo de clientes como un prefijo pequeño en lugar de tomar prestada una /24 entera da una ruta específica en vez de una amplia.

Si la puerta de enlace puede traducir, publique la subred de la oficina bajo un rango alias, de modo que el destino del cliente no pueda caer dentro de su propia LAN. Un diseño de sitio a sitio puede dar a cada sitio su propio alias, lo que mantiene distinguibles a dos clientes con numeración idéntica.

La traducción no es gratuita. Tiene que funcionar en ambas direcciones y cubrir la dirección de origen y el destino, y las aplicaciones que escriben direcciones dentro de su propia carga útil la ignorarán por completo. Por eso es la respuesta cuando renumerar es imposible y el número de clientes es pequeño.

Elija según lo que pueda cambiar

Uno o dos portátiles en casa: renumere la LAN de casa. Una oficina gestionada que no puede renumerar: traducción de alias en la puerta de enlace. Numeración repetida entre sitios de clientes: alias por sitio, planificados una vez. Cuando solo fallan las herramientas basadas en nombres, trátelo como un choque de nombres y no como un fallo de enrutamiento.

Elija lo que elija, pruébelo contra una dirección que solo exista en el lado opuesto. Hacer ping a su propio router no dice nada sobre qué red respondió.