VPN batera konektatu ondorengo IP helbide lokalaren gatazka konpontzea

Txosten hauek guztiek berdin egiten dute soinu eta zerbait desberdina esan nahi dute: ordenagailu eramangarriak helbide gatazkaren berri ematen du, baina batzuetan bakarrik, eta gehienetan VPN-a martxan dagoen bitartean. Hiru huts bereizik sortzen dute mezu hori: benetako bikoiztu bat zure estekak beran, urruneko sareak zure LAN barrutia erabiltzen duen eta ezer bikoizten ez den gainjartze bat, eta helbide bat bi pareari eman zien tunel bat. Konponketa kasu bakoitzean desberdina da, eta okerrak sintoma lekuz aldatzen du ezabatu beharrean. Beraz, erabaki zein kasu duzun ezer aldatu aurretik.

Mezu beraren atzean dauden hiru huts

Bikoiztu batek esan nahi du segmentu bereko bi makinek helbide bat erreklamatzen dutela. Kernelak nabaritzen du bere probearen erantzuna beste MAC batetik datorrelako, eta gero gertatzen dena pilaren araberakoa da: Linuxek erregistratu egiten du, Windowsek interfazea desgaitzen du eta sistemaren erregistroan sarrera bat idazten du, eta DHCP bezero batek eskaintza bazter dezake.

Gainjartze batek ez du helbiderik bikoizten. Zure LANa 192.168.1.0/24 da, bulegoko sarea ere 192.168.1.0/24 da, eta orain bulegorako bidea zure inprimagailua eta zure NAS ere diren helbideetara doa. ARP zentzuan ez dago gatazkarik; paketea bi sareetako batean gaizki dagoen gailura joaten da besterik gabe.

Igerilekuko talka tunelaren beraren errua da. Bi pare tunel helbide berarekin konfiguratu ziren edo hura jaso zuten, beraz zerbitzariak ezin ditu bereizi itzulerako trafikoa bidaltzen duenean. Bi bezeroetako batek funtzionatzen duen handshakea ikusten du eta daturik ez, eta hori bideratze arazo bezala irakurtzen da eta ez da hala.

1. proba: bikoiztua zure segmentuan dago?

Has zaitez zure makinak benetan daukana zerrendatzen, konfiguratu zenuela gogoratzen duzuna baino. VPN egokitzailearen helbidea tunelerako pribatua da eta ez da webguneek ikusten duten helbide bera, beraz partekatutako irteera publiko bat ez da gatazka.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Windowsen informazio bera ipconfig /all eta Get-NetIPAddress-tik dator, eta bizilagunen cachea arp -a-en dago. Helbide eztabaidatua egokitzaile fisikoan badago eta kexa VPN-a martxan ez dagoela agertzen bada, VPN-a ikuslea besterik ez da eta utzi behar diozu hura diagnostikatzen.

Bikoiztu bat asmatu beharrean frogatzeko, egiaztatu helbidea hura ez duen gailu batetik. arping -D probea zero jatorri helbidearekin bidaltzen du, beraz ustekabeko MAC batetik datorren erantzunak frogatzen du beste ostalari bat jada erantzuten ari zaiola helbide horri.

sudo arping -D -I eth0 -c 3 192.168.1.50

Gero aurkitu jabea sareko administratzailearen bidez, zeure burua beste helbide bat aukeratu beharrean. Norbaiten oharretan bakarrik bizi diren esleipen estatikoak, helbide finkoa duten inprimagailuak eta DHCP zerbitzariko erreserbak dira errudun ohikoak, eta itzalita dagoen gailu batek bere alokairua oraindik dauka.

2. proba: bi sareak gainjartzen al dira?

Konparatu tunelak ematen dizun aurrizkia zure interfazeen aurrizkiekin. Urruneko barrutia zure LANaren berdina bada edo hura barne hartzen badu, hutsa gainjartzea da, eta arrastoa da VPN-rik gabe irisgarria den ostalari bat iluntzen dela, edo zure inprimagailuak bulegoko helbide batean erantzuten duela.

ip route get 192.168.1.10
ip -br addr show

Ibilbidearen bilaketak nukleoak zein interfaze erabiliko lukeen esaten dizu, eta erantzun hori diagnostiko osoa da. Zure inprimagailu lokalarena den helbide baterako tunela aipatzen badu, gainjartzea duzu eta alokairua berritzeak ez du hori aldatuko.

Hiru irteera zintzo daude, eta normalean bakarra dago erabilgarri. Urruneko aldeak gainjartzen den azpisarearen trafikoa maskara dezake, beraz zure bezeroak zerbitzariaren tunel helbidea soilik ikusten du. Tunelak zure LANarekin talka egiten ez duen urruneko aurrizki estuagoa eraman dezake. Edo bezeroak jatorri helbidearen arabera bidera dezake politika arauekin, eta horrek funtzionatzen du baina hauskorra da eta zaila lankide bati ematea.

Bulegoko sarea berriro zenbakitzea gutxitan da zure erabakia. Zeure LANa berriro zenbakitzea talka saihesteko jendeak espero duena baino aldaketa handiagoa da inprimagailuak, kamerak eta ostalari estatikoak sartzen direnean.

3. proba: tunelak helbide bat bi aldiz eman al zuen?

WireGuardek ez du helbide igerilekurik. Pare bakoitza bere gako publikoaren eta AllowedIPs barneko aurrizkien bidez identifikatzen da, beraz bikoiztu bat agertzen da tunel helbide bera bi pare sarreratako idazten denean edo gako pare bera bi makinatan instalatzen denean.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Trafiko kontagailuak zutabe erabilgarria dira hemen: duela gutxiko handshakea baina transferentziarik erakusten ez duen pare bat gaizki helbideratuta dago edo aurrizki bera erreklamatzen duen beste sarrera batek estaltzen du. Jarri aurrizki bat pare bakar batean eta eman gailu bakoitzari bere gako parea.

OpenVPN aplikazioak igerileku bat du, eta talka ohikoa bigarren makina batera kopiatutako --ifconfig lerro finkoa duen bezero profil partekatua da. Orduan bi bezeroek tunel helbide bera eskatzen dute, eta zerbitzariak lehenengo prozesatzen duen saioa onartzen du. Igerilekua --duplicate-cn erabiliz agortzeak antzeko emaitza ematen du ziurtagiri baten hainbat saio sarrera batengatik lehiatzen direnean.

Horretarako irakurri zerbitzariaren erregistroa bezeroarena baino. Zerbitzariak badaki zein saio arduratu zen zein helbidez, eta han errepikatzen diren helbideak bezeroarengana inoiz iristen ez diren abisu gisa ikusten dira.

Konpondu iturburuan, eta gero egiaztatu berriro bi gailuak

Ordenak garrantzia du. Konpondu lehenengo LANeko bikoiztu bat, helbide bat eutsi ezin duen bezero batek tunela ere ezin duelako eutsi. Gero konpondu hornikuntza VPN aldean, igerilekuko esleipen baten bezero aldeko aldaketa hurrengo konexioan deuseztatzen delako. Azkenik, kudeatu identitate bikoiztuak: gako pare bereiziak WireGuarden, ziurtagiri bereiziak edo gutxienez profil bereiziak OpenVPNen.

Bezeroan zati mekanikoa laburra da. Askatu eta berritu DHCP alokairu bat, edo eskatu helbidea zerbitzarian aldatzea erreserba baterako. Ez idatzi libre dirudien helbide aleatorio bat.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Gero egiaztatu bi muturretatik, ez batetik. Berretsi atea, gero benetan behar duzun zerbitzua, gero berriro konektatu eta errepikatu. Bi gailu tartean bazeuden, egiaztatu biak: helbide bat mugitzeak bestea bizilagunen sarrera zaharkituekin edo geroago berriro agertzen den alokairu zahar batekin uzten du.

Zer ez egitea bidean

Ez isildu sintoma. Helbide bikoiztuen detekzioa da jada erabiltzen ari den helbide bat hartzea eragozten duena, eta hura desgaitzeak gatazka ikusgai bat pakete galera intermitente bihurtzen du, askoz zailagoa jarraitzeko. Gauza bera gertatzen da ustekabeko ostalari baten ziurtagiri abisua onartzean: hori ez da inola ere helbide arazoa, eta hura gainditzeak beste huts bat ezkutatzen du.

Ez aldatu zeure kabuz kudeatutako sare baten helbideratzea ere. Erregistratu jatorrizko ezarpena, galdetu jabeari helbidea zentralizatuta esleitzen denean, eta eduki aldaketa itzultzeko bezain txiki. RFC 5227 helbide gatazken detekzio arauek azaltzen dute zer frogatzen duen probe zuzen batek, eta hori jakitea merezi du gatazka bat benetakoa dela esan aurretik.