Les sous-réseaux de la maison et du bureau se heurtent via un VPN : trois solutions

Votre client signale qu’il est connecté et que le tunnel est actif, mais le serveur de fichiers du bureau répond depuis quelque part dans la cuisine. Les deux extrémités utilisent généralement 192.168.1.0/24, parce que c’est ce que livrent les routeurs grand public, et aucune route ne résout une ambiguïté qui existe des deux côtés à la fois. La panne peut ressembler à un tunnel cassé ou à un serveur cassé, et elle n’est ni l’un ni l’autre. Identifiez la collision avant de toucher à une configuration, car les types ont des solutions différentes et une seule concerne le routage.

Une route connectée bat tout ce que vous poussez

Un hôte considère une adresse comme locale dès qu’une route connectée la couvre. Sur un portable dont l’interface est 192.168.1.20/24, l’adresse 192.168.1.50 est un voisin, donc le paquet sort par l’interface de la maison et n’atteint jamais le tunnel.

Pousser une route pour le préfixe du bureau ne change rien, car ce préfixe existe déjà comme réseau directement connecté. Le système d’exploitation continue de répondre depuis l’entrée connectée, et celle-ci est consultée avant que le tunnel soit interrogé. Vous pouvez observer l’ordre vous-même : ip route get 192.168.1.50 nomme l’interface de la maison, pas le tunnel. L’extrémité distante reflète le problème, car le routeur du bureau croit lui aussi que la plage domestique du portable lui appartient.

Des collisions silencieuses au-delà de l’évidente

Chaque cas n’est pas une décision de routage. Un bail DHCP domestique peut tomber exactement sur l’adresse que détient le serveur du bureau, et le client se parle alors à lui-même pendant que le tunnel ne transporte rien.

Les noms entrent en collision de la même façon. Deux machines qui partagent un nom d’ordinateur cassent les outils fondés sur les noms même quand chaque paquet est correctement routé, et une entrée hosts pointant vers l’adresse du bureau échoue quand la machine locale possède déjà ce nom, car la résolution locale l’emporte. Renommez la machine locale ou utilisez le nom pleinement qualifié au lieu de modifier hosts.

Les hyperviseurs ajoutent un troisième cas. Un adaptateur hôte uniquement se trouve généralement sur 192.168.56.0/24, ce qui peut entrer en collision avec une plage d’entreprise dont personne ne se souvient qu’elle est utilisée.

Renumérotez le côté que vous possédez

La renumérotation supprime l’ambiguïté au lieu de l’éviter, et dans un bureau à domicile c’est le côté que vous possédez. Choisissez quelque chose qui n’apparaîtra nulle part ailleurs, et listez chaque appareil ayant une adresse statique avant de toucher au routeur.

10.0.0.0/8 et 172.16.0.0/12 sont les candidats habituels. Les valeurs d’usine du micrologiciel, 192.168.0.0/24 et 192.168.1.0/24, sont exactement ce qu’il faut laisser.

Renuméroter le bureau est rarement possible, et une renumérotation domestique coûte une soirée à rebrancher imprimantes et prises. Cela reste moins cher qu’un contournement répété sur chaque portable de l’entreprise.

Publiez une plage qui ne peut pas entrer en collision

Là où la plage du bureau doit rester, rendez le côté tunnel plus difficile à heurter. Découper le pool de clients en petit préfixe au lieu d’emprunter un /24 entier donne une route précise plutôt qu’une route large.

Si la passerelle peut traduire, publiez le sous-réseau du bureau sous une plage d’alias, afin que la destination du client ne puisse pas tomber dans son propre LAN. Une conception site à site peut donner à chaque site son propre alias, ce qui garde distinguables deux clients ayant une numérotation identique.

La traduction n’est pas gratuite. Elle doit fonctionner dans les deux sens et couvrir l’adresse source et la destination, et les applications qui écrivent des adresses dans leur propre charge utile l’ignoreront complètement. C’est pourquoi elle est la réponse quand la renumérotation est impossible et que le nombre de clients est faible.

Choisissez selon ce que vous pouvez changer

Un ou deux portables à la maison : renumérotez le LAN domestique. Un bureau géré qui ne peut pas renuméroter : traduction d’alias à la passerelle. Numérotation répétée entre sites clients : alias par site, planifiés une fois. Quand seuls les outils fondés sur les noms échouent, traitez-le comme une collision de noms et non comme une panne de routage.

Quel que soit votre choix, testez avec une adresse qui n’existe que de l’autre côté. Faire un ping à votre propre routeur ne dit rien sur le réseau qui a répondu.