Ükski marsruut ei paranda VPN-i pooli, mis kattub sinu LAN-iga

Kui tunnelipool ja kodune LAN jagavad aadressi 192.168.1.0/24, võidab kohalik alamvõrk. Nummerda ümber see pool, mida kontrollid, või tõlgi kaugvahemik.

Rakendus väidab, et tunnel on terve, ja ometi ei vasta kunagi pool neist sihtkohtadest, mida vajad. Refleks on lisada marsruut või langetada meetrikat, ja just see refleks on müüt, mille tasub esimesena tappa. Kui kliendi enda LAN ja tunneli pool nõuavad sama eesliidet, hoiab marsruutimistabel kahte kokkusobimatut fakti, ja ei vaikimisi marsruut ega meetrika lahenda neid. Parandus on adresseerimisotsus ja ükski marsruudi redigeerimine ei asenda seda.

Miks lisamarsruut ei saa üht eesliidet jagada

Marsruut ei saa eraldada kahte nõuet ühele eesliitele, seetõttu on mõistlik käik lõpetada õige marsruudirea otsimine. Stack ei pane identset eesliidet ühendatud marsruudi ette, ja täpsem kirje tabab küll aadressi, kuid muudab selle omanikuks oleva kohaliku hosti kättesaamatuks. See, mis näib marsruutimisprobleemina, on adresseerimiskollisioon, ja mõlemad parandused muudavad aadresse, mitte marsruute. Kontrolli seda väidet oma masinas, enne kui selle vastu võtad.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Küsi süsteemilt ühe aadressi kohta ja pane tähele, millist liidest see nimetab. Linux, macOS ja Windows vastavad sellele ainult lugemiseks mõeldud päringuga, mis teatab valitud liidese ja järgmise hüppe, ilma midagi edastamata. Kui vastus osutab füüsilisele adapterile, kui tunnel on üleval, käsitleb kernel aadressi lingil olevana, mitte millegi sellisena, mida tunnel võiks kanda.

Aseta teenusepakkuja antud eesliide kõrvale sellega, mida kodune ruuter teenindab, ja võrdle neid stringidena. Täpne kokkulangevus on selge juhtum, ja laiem pakkuja pool, mis sisaldab kodust alamvõrku, ebaõnnestub samamoodi, kuid seda on lihtsam märkamata jätta. Kaks eesliidet, mis ainult sarnased välja näevad, ei ole kollisioon, seega kirjuta mõlemad üles enne, kui midagi muudad.

Loe pool, mille klient tegelikult sai

Loe, mille klient vastu võttis, mitte teenusepakkuja turunduslehte. Tõsta OpenVPN-i kliendi logi detailsust ja serveri lükatud marsruudid ilmuvad sinna, paljastades tunneli eesliited; mujal ilmub pool ühenduse üksikasjades või adapteril endal. Küsi teenusepakkujalt täielikku nimekirja privaatsetest vahemikest, mida see kasutab, sest üks /24 täna võib homme olla kaks. Tavaliste RFC 1918 plokkide vältimine ei ole sama, mis sinule tegelikult antud eraldise vältimine.

Pool võib ka kahaneda või piirkondade vahel liikuda, seega vajab nimekiri kuupäeva ja omanikku. Kohtle iga teenusepakkuja vastust, mis on vanem kui sinu viimane plaani muudatus, oletusena, mitte faktina. Küsi uuesti enne, kui end vahemikuga seod, ja hoia vastust võrgumärkmete juures, et järgmine inimene pärriks tõendi.

Ümbernummerdamine on parandus, mille saad ise teha

Kui VPN-server ei ole sinu, et seda muuta, on koduse LAN-i liigutamine ainus saadaolev parandus, ja see on kommertsteenusepakkuja puhul tavaline olukord. Vali vahemik väljaspool pakkuja pooli ja väljaspool vahemikke, mida võid hiljem vajada, ja kontrolli seda iga teise saidi vastu, kuhu tunneliga jõuad. Oota lühikest katkestust ja pikemat unustatud seadmete saba: seade, mis hoiab veel vana aadressi, näib töötavat, kuni vajab lüüsi.

  1. Kõigepealt inventuur: ruuteri enda aadress, DHCP-vahemik, reserveeringud, pordisuunamised ja iga seade, mille aadress on käsitsi trükitud.
  2. Seejärel muuda ruuteri LAN-i eesliidet ja DHCP-vahemikku koos hooldusakna sees ning uuenda juhtmega liisingud enne traadita omi.
  3. Järgmisena paranda staatilised aadressid: printerid, võrgusalvestus, kõik kõvakodeeritud lüüsiga.
  4. Lõpuks ühenda VPN-i klient uuesti ja kinnita, et tunneli aadress ei kattu enam LAN-iga.

Käi aadressid selles järjekorras läbi, mitte korraga, ja hoia vana vahemik mõnda aega dokumenteerituna, et vananenud seade oleks äratuntav, mitte mõistatuslik. Seade, mis ei uuenda kunagi, annab endast märku, jõudmata lüüsini, mis on palju parem vihje kui kõne toele. Kui ruuter jagab liisinguid üle ühe päeva, lühenda neid akna kestuse ajaks.

Mida alias saab ja mida mitte

Kui server on sinu, saab kliendil aadresside tõlkimine paljastada kaugema eesliite vaba kohaliku vahemiku sees, nii et sama host vastab teisel aadressil. Kogukonna OpenVPN teeb seda client-nat, ja see direktiiv on omane just sellele kliendile, puudub kommerts- ja mobiilikliendist, millega seda tavaliselt võrreldakse. Lahendus vajab tõlkega sobivat marsruuti, alias jaoks vaba vahemikku ja serverit, mis on valmis vastama kliendi tõlkimata aadressile. Miski sellest ei aita, kui klient kuulub haldatud pakkujale, mida sa ei saa seadistada.

Kui muudatus jõustub, jõua kohaliku ja kaugema hostini esmalt aadressi, seejärel nime järgi, märkides üles marsruudi, mille süsteem iga kord valib. Nimi võib veel vanasse vahemikku laheneda, seega aadressid ja nimed väärivad eraldi kontrolle. Taaskäivita üks klient ja üks serveripoolne seade, kui kumbki püsis muudatuse ajal üleval, sest vahemällu salvestatud naaberkirjed elavad redigeerimisest kauem.

Kirjuta eesliited, millel peatud, sinna, kuhu inimesed tegelikult vaatavad: võrgumärkmed, ruuteri enda kommentaariväli, sissejuhatav leht. Keegi valib jälle 192.168.1.0/24 ja kollisioon tuleb temaga tagasi.

Seotud artiklid