Paikallisen IP-osoiteristiriidan korjaaminen VPN-yhteyden muodostamisen jälkeen

Jokainen näistä raporteista kuulostaa samalta ja tarkoittaa eri asiaa: kannettava valittaa osoiteristiriidasta, mutta vain joskus, ja enimmäkseen silloin kun VPN on päällä. Kolme erillistä vikaa tuottaa tuon viestin: todellinen kaksoiskappale omassa linkissäsi, päällekkäisyys jossa etäverkko käyttää lähiverkkosi aluetta eikä mitään kopioida, ja tunneli joka antoi yhden osoitteen kahdelle vertaiselle. Korjaus on erilainen kussakin tapauksessa, ja väärä siirtää oireen sen poistamisen sijaan. Päätä siis, mikä tapaus sinulla on, ennen kuin muokkaat mitään.

Kolme vikaa ja yksi virheilmoitus

Kaksoiskappale tarkoittaa, että kaksi konetta samassa segmentissä vaatii molemmat yhtä osoitetta. Ydin huomaa sen, koska vastaus sen omaan tunnusteluun tulee eri MAC-osoitteesta, ja mitä seuraavaksi tapahtuu, riippuu pinosta: Linux kirjaa sen lokiin, Windows poistaa liitännän käytöstä ja kirjoittaa merkinnän järjestelmälokiin, ja DHCP-asiakas voi hylätä tarjouksen.

Päällekkäisyys ei kopioi yhtään osoitetta. Lähiverkkosi on 192.168.1.0/24, toimiston verkko on myös 192.168.1.0/24, ja nyt reitti toimistoon osoittaa osoitteisiin, jotka ovat myös tulostimesi ja NAS-laitteesi. ARP:n mielessä mikään ei ole ristiriidassa; paketti yksinkertaisesti menee väärälle laitteelle toisessa kahdesta verkosta.

Altaan törmäys on tunnelin oma vika. Kaksi vertaista määritettiin samalla tunneliosoitteella tai ne saivat sen, joten palvelin ei voi erottaa niitä, kun se lähettää paluuliikennettä. Toinen kahdesta asiakkaasta näkee toimivan kättelyn eikä yhtään dataa, mikä luetaan reititysongelmaksi eikä ole sitä.

Testi 1: onko kaksoiskappale omassa segmentissäsi?

Aloita listaamalla, mitä koneessasi todella on, älä sitä mitä muistat määrittäneesi. VPN-sovittimen osoite on tunnelille yksityinen eikä ole sama kuin osoite, jonka verkkosivut näkevät, joten jaettu julkinen ulostulo ei ole ristiriita.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Windowsissa samat tiedot tulevat komennoista ipconfig /all ja Get-NetIPAddress, ja naapurivälimuisti on komennossa arp -a. Jos kiistanalainen osoite on fyysisessä sovittimessa ja valitus ilmestyy ilman käynnissä olevaa VPN:ää, VPN on sivustakatsoja ja sinun pitäisi lopettaa sen diagnosointi.

Todistaaksesi kaksoiskappaleen arvaamisen sijaan, tunnustele osoitetta laitteesta, joka ei omista sitä. arping -D lähettää tunnustelun nollalähdeosoitteella, joten vastaus odottamattomasta MAC-osoitteesta todistaa, että toinen isäntä vastaa jo tuohon osoitteeseen.

sudo arping -D -I eth0 -c 3 192.168.1.50

Etsi sitten omistaja verkkoylläpitäjän kautta sen sijaan, että valitsisit itse toisen osoitteen. Vain jonkun muistiinpanoissa elävät staattiset varaukset, kiinteän osoitteen tulostimet ja DHCP-palvelimen varaukset ovat tavallisia syyllisiä, ja pois päältä oleva laite omistaa silti vuokransa.

Testi 2: menevätkö kaksi verkkoa päällekkäin?

Vertaa tunnelin antamaa etuliitettä omien liitäntöjesi etuliitteisiin. Jos etäalue on sama kuin lähiverkkosi tai sisältää sen, vika on päällekkäisyys, ja vihje on se, että ilman VPN:ää tavoitettava isäntä katoaa tai oma tulostimesi vastaa toimiston osoitteessa.

ip route get 192.168.1.10
ip -br addr show

Reittihaku kertoo, mitä liitäntää ydin käyttäisi, ja se vastaus on koko diagnoosi. Jos se sanoo tunnelia osoitteelle, joka kuuluu paikalliselle tulostimellesi, sinulla on päällekkäisyys eikä mikään vuokran uusiminen muuta sitä.

Ulos on kolme rehellistä tietä, ja yleensä vain yksi on sinulle käytettävissä. Etäpuoli voi maskeerata päällekkäisen aliverkon liikennettä, jolloin asiakkaasi näkee vain palvelimen tunneliosoitteen. Tunneli voi kuljettaa kapeampaa etäetuliitettä, joka ei törmää lähiverkkosi kanssa. Tai asiakas voi reitittää lähdeosoitteen mukaan käytäntösäännöillä, mikä toimii mutta on haurasta ja vaikea antaa kollegalle.

Toimiston verkon uudelleennumerointi on harvoin sinun päätöksesi. Oma lähiverkkosi uudelleennumerointi törmäyksen välttämiseksi on suurempi muutos kuin useimmat odottavat, kun tulostimet, kamerat ja staattiset isännät tulevat mukaan.

Testi 3: jakoi tunneli yhden osoitteen kahdesti?

WireGuardissa ei ole osoiteallasta. Jokainen vertainen tunnistetaan julkisella avaimellaan ja AllowedIPs-kohdan etuliitteillä, joten kaksoiskappale syntyy, kun sama tunneliosoite kirjoitetaan kahteen vertaismerkintään tai sama avainpari asennetaan kahdelle koneelle.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Liikennelaskurit ovat hyödyllinen sarake tässä: vertainen, joka näyttää äskettäisen kättelyn mutta ei siirtoa, on joko väärin osoitettu tai toinen samaa etuliitettä vaativa merkintä peittää sen. Laita etuliite täsmälleen yhdelle vertaiselle ja anna jokaiselle laitteelle oma avainpari.

OpenVPN sisältää altaan, ja tavallinen törmäys on jaettu asiakasprofiili, jossa kiinteä rivi --ifconfig on kopioitu toiselle koneelle. Silloin molemmat asiakkaat pyytävät samaa tunneliosoitetta, ja palvelin hyväksyy sen istunnon, jonka se käsittelee ensin. Altaan tyhjeneminen valitsimella --duplicate-cn tuottaa samankaltaisen tuloksen, kun yhden varmenteen useat istunnot kilpailevat yhdestä merkinnästä.

Tätä varten lue palvelimen lokia asiakkaan lokin sijaan. Palvelin tietää, mikä istunto vei minkä osoitteen, ja toistuvat osoitteet näkyvät siellä varoituksina, jotka eivät koskaan saavuta asiakasta.

Korjaa lähteestä ja tarkista sitten molemmat laitteet

Järjestyksellä on väliä. Korjaa ensin lähiverkon kaksoiskappale, koska asiakas, joka ei pysty pitämään osoitetta, ei pysty pitämään tunnelia. Korjaa sitten provisiointi VPN:n puolella, koska asiakkaan puolen muutos altaan varaukseen peruutetaan seuraavassa yhteydessä. Lopuksi käsittele kopioidut identiteetit: erilliset avainparit WireGuardissa, erilliset varmenteet tai ainakin erilliset profiilit OpenVPN:ssä.

Asiakkaassa mekaaninen osa on lyhyt. Vapauta ja uusi DHCP-vuokra, tai pyydä osoitteen vaihtamista palvelimella varausta varten. Älä kirjoita satunnaista osoitetta, joka näyttää vapaalta.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Tarkista sitten molemmista päistä, ei yhdestä. Vahvista yhdyskäytävä, sitten palvelu, jota todella tarvitset, sitten yhdistä uudelleen ja toista. Jos kaksi laitetta oli mukana, tarkista molemmat: yhden osoitteen siirtäminen jättää toiselle vanhentuneet naapurimerkinnät tai vanhan vuokran, joka ilmestyy myöhemmin uudelleen.

Mitä tiellä ei pidä tehdä

Älä vaienna oiretta. Kaksoisosoitteiden tunnistus on se, mikä estää sinua ottamasta jo käytössä olevaa osoitetta, ja sen poistaminen käytöstä muuttaa näkyvän ristiriidan ajoittaiseksi pakettihäviöksi, jota on paljon vaikeampi jäljittää. Sama koskee odottamattoman isännän varoituksen hyväksymistä: se ei ole lainkaan osoiteongelma, ja siitä läpi klikkaaminen piilottaa toisen vian.

Älä myöskään muuta hallitun verkon osoitteistusta itse. Kirjaa alkuperäinen asetus, kysy omistajalta, kun osoite jaetaan keskitetysti, ja pidä muutos riittävän pienenä peruutettavaksi. RFC 5227:n osoiteristiriitojen tunnistussäännöt selittävät, mitä oikea tunnustelu todistaa, mikä kannattaa tietää ennen kuin kutsut ristiriitaa todelliseksi.