Kodu ja kontor kasutavad mõlemad 192.168.1.x: mida nüüd teha?

Käige läbi neli kontrolli: millisele aadressile nimi laheneb, millist prefiksit kasutab kohalik võrk, millise marsruudi tuum selle sihtkoha jaoks valib ja mis vastab kaugemas otsas. VPN-i sisselogimine ei ole üks neist, sest see lõpeb sõltumata sellest, milline võrk võidab. Tehke kontrollid järjekorras ja kattuvus ilmneb teisel sammul, mitte neljandal.

Edukas sisselogimine ütleb, et tunnel on püsti; see ei ütle midagi selle kohta, kuhu konkreetne aadress osutab.

Üks aadress, kaks masinat

Host valib tee oma marsruutimistabelist ja poliitikareeglitest, lähtudes sihtaadressist. Miski ei ütle talle, et päring hüppele 192.168.1.20 on mõeldud kontori serverile, mitte kõrvaltoa seadmele. Kui mõlemad võrgud on samas privaatses vahemikus, võidab kõige spetsiifilisem marsruut ja kõik muu sõltub sellest, millise kirje taaskinnitus juhtumisi paigaldas. Aadressis endas ei kanna see eristus midagi.

ip route get 192.168.1.20

See otsing nimetab liidese ja järgmise hüppe, mille tuum valis, ning see on nimekirja teine kontroll. Võrrelge kohalikku ja kaugemat prefiksit enne, kui midagi muud teete. Kui kohalik LAN on 192.168.1.0/24 ja kaugem sait on samuti 192.168.1.0/24, on kattuvus leid ja ükski kliendi valik seda ei paranda.

Nummerdage ümber pool, mida te kontrollite

Isiklik ruuter on tavaliselt kergem pool liigutada. Valige vahemik, mis ei satu vastuollu kaugvõrkudega, mida te tegelikult kasutate, ja pange tähele, et ka 10.x.x.x ei ole automaatselt vaba, sest paljud saidid kasutavad seda. Planeerige muudatus: DHCP-liisingud, reserveeritud aadressid, printerijärjekorrad ja kõik kõvakodeeritud aadressiga vajavad tähelepanu. Tehke ümbernummerdamine aknas, kus saate ruuteri ilma VPN-ita taastada.

Kontrollige kaugemate prefiksite nimekirja enne, mitte hiljem. Uue vahemiku valimine, mis satub vastuollu teise kontorisaitiga, tekitab sama probleemi suurema investeeritud tööga.

Kui kumbki pool ei saa muutuda

Kui kumbagi võrku ei saa ümber nummerdada, elavad ülejäänud valikud serveris. Lüüs saab tõlkida kaugvõrgu VPN-klientide jaoks teiseks alamvõrguks, kasutades poliitikapõhist NAT-i või kahesuunalist varianti, nii et klient näeb unikaalset aadressi. See on lüüsi disain, mitte lüliti, mida iga töölauaklient pakub, ja see muudab, millise aadressi kasutajad sisestavad ja millised nimed peavad ühtima. Foorumist kopeeritud marsruut ei suuda eristada kahte identset sihtkohta.

Privaatsed aadressivahemikud jäävad privaatseks; probleem on korduskasutuses, mitte vahemikes endis.

Tõestage, milline masin vastas

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Pärast mis tahes muudatust testige kontori ressursi ja kohalikke seadmeid koos. Kui tuttav kodune seade vastab seal, kus peaks olema kontori server, või TLS-sertifikaat nimetab vale hosti, peatuge ja tehke sihtkoht kindlaks enne jätkamist. Vastuse saamine sellelt aadressilt ei tõesta, milline masin selle saatis. Sertifikaadi subjekti kontrollimine on üks väheseid usaldusväärseid signaale, mis sel hetkel saadaval on.

Ärge asendage kontori privaatseid aadresse suvaliste avalike aadressidega, mida te ei kontrolli. See vahetab kattuvuse marsruutimis- ja omandiprobleemi vastu, mis on hullem ja raskemini seletatav.

Kirjutage üles kohalik prefiks, kaugem prefiks ja muudatus, mis selle lahendas. Järgmine kattuvus näeb teistsugune välja, kuid järgib sama mustrit.