In lokaal IP-adreskonflikt ferhelpje nei it ferbinen mei in VPN

Elk fan dizze rapporten klinkt itselde en betsjut wat oars: de laptop klaget oer in adreskonflikt, mar allinnich soms, en meast wylst de VPN oan stiet. Trije aparte flaters meitsje dy melding: in wier duplikaat op jo eigen keppeling, in oerlaap wêrby't it ôfstânnetwurk jo LAN-berik brûkt en neat dûbele is, en in tunnel dy't ien adres oan twa pearen joech. De reparaasje ferskilt yn elk gefal, en de ferkearde ferpleatst it symptoom ynstee fan it fuort te heljen. Beslis dus hokker gefal jo ha foardat jo wat feroarje.

Trije flaters mei ien flatermelding

In duplikaat betsjut dat twa masines op itselde segmint beide ien adres opeaskje. De kernel merkt it omdat it antwurd op syn eigen probe fan in oare MAC komt, en wat dernei bart hinget fan de steapel ôf: Linux logt it, Windows skeakelet de ynterface út en skriuwt in ynskriuwing yn it systeemlog, en in DHCP-klant kin it oanbod wegerje.

In oerlaap dûbelet hielendal gjin adres. Jo LAN is 192.168.1.0/24, it kantoarnetwurk is ek 192.168.1.0/24, en no wiist de rûte nei it kantoar nei adressen dy't ek jo printer en jo NAS binne. Yn ARP-sin is neat yn konflikt; it pakket giet gewoan nei it ferkearde apparaat op ien fan de twa netwurken.

In botsing yn 'e pool is de eigen skuld fan 'e tunnel. Twa pearen waarden konfigurearre mei of krigen itselde tunneladres, sadat de server se net útinoar hâlde kin as er weromferkear stjoert. Ien fan 'e twa klanten sjocht in wurkjende handshake en gjin data, wat as in routingprobleem lêzen wurdt en dat net is.

Test 1: sit it duplikaat op jo eigen segmint?

Begjin mei it listjen fan wat jo masine wier hat, net wat jo jo herinnerje konfigurearre te hawwen. In VPN-adapteradres is privee foar de tunnel en is net itselde as it adres dat websiden sjogge, dus in dielde iepenbiere útgong is gjin konflikt.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Op Windows komme deselde gegevens fan ipconfig /all en Get-NetIPAddress, mei de buorlju-cache yn arp -a. As it betwiste adres op 'e fysike adapter stiet en de klacht ferskynt sûnder draaiende VPN, is de VPN taskôger en moatte jo ophâlde mei it diagnostisearjen.

Om in duplikaat te bewizen ynstee fan te rieden, probearje it adres fan in apparaat dat it net hat. arping -D stjoert de probe mei in nul boarne-adres, dus in antwurd fan in ûnferwachte MAC bewist dat in oare host al foar dat adres antwurdet.

sudo arping -D -I eth0 -c 3 192.168.1.50

Fyn dan de eigner fia de netwurkbehearder ynstee fan sels in oar adres te kiezen. Statyske taskennings dy't allinne yn ien syn notysjes libje, printers mei in fêst adres en reservearrings op 'e DHCP-server binne de gewoane skuldigen, en in apparaat dat út is hat noch altyd syn lease.

Test 2: oerlaapje de twa netwurken?

Fergelykje it foarheaksel dat de tunnel jo jout mei de foarheakseis op jo eigen ynterfaces. As it ôfstânberik gelyk is oan jo LAN of it befettet, is de flater oerlaap, en de oanwizing is dat in host berikber sûnder de VPN fertsjusteret, of dat jo eigen printer op in kantoaradres antwurdet.

ip route get 192.168.1.10
ip -br addr show

De rûtesykjefunksje fertelt jo hokker ynterface de kernel brûke soe, en dat antwurd is de hiele diagnoaze. As it de tunnel seit foar in adres dat by jo lokale printer heart, hawwe jo in oerlaap en gjin leasefernijing sil dat feroarje.

Der binne trije earlike útwegen, en meastentiids is mar ien foar jo beskikber. De ôfstânkant kin it ferkear foar it oerlaapjende subnet maskere, sadat jo klant allinnich it tunneladres fan 'e server sjocht. De tunnel kin in smeller ôfstânfoarheaksel drage dat net botst mei jo LAN. Of de klant kin mei beliedsregels op boarne-adres route, wat wurket mar kwetsber is en dreech oan in kollega te jaan.

It kantoarnetwurk opnij nûmerje is selden jo beslissing. Jo eigen LAN opnij nûmerje om 'e botsing te ûntwykjen is in gruttere feroaring as de measte minsken ferwachtsje sadree't printers, kamera's en statyske hosts belutsen binne.

Test 3: joech de tunnel ien adres twa kear?

WireGuard hat gjin adrespool. Elk pear wurdt identifisearre troch syn iepenbiere kaai en troch de foarheakseis yn AllowedIPs, dus in duplikaat ferskynt as itselde tunneladres yn twa pear-ynskriuwingen skreaun wurdt of deselde kaaipaar op twa masines ynstallearre wurdt.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Ferkearsstellers binne hjir de nuttige kolom: in pear dat in resinte handshake sjen lit mar gjin oerdracht is óf ferkeard adressearre óf wurdt oerskaden troch in oare ynskriuwing dy't itselde foarheaksel opeasket. Set in foarheaksel op krekt ien pear en jou elk apparaat syn eigen kaaipaar.

OpenVPN hat wol in pool, en de gewoane botsing is in dield klantprofyl mei in fêste rigel --ifconfig dy't nei in twadde masine kopiearre is. Dan freegje beide klanten itselde tunneladres oan, en de server akseptearret de sesje dy't er earst ferwurket. It leechrinnen fan 'e pool mei --duplicate-cn jout in soartgelyk resultaat as ferskate sesjes fan ien sertifikaat om ien ynskriuwing stride.

Lês hjirfoar it serverlog ynstee fan it klantlog. De server wit hokker sesje hokker adres naam, en werhelle adressen binne dêr te sjen as warskôgings dy't de klant nea berikke.

Ferhelpje by de boarne en kontrolearje dan beide apparaten

De oarder is wichtich. Ferhelpje earst in LAN-duplikaat, want in klant dy't in adres net hâlde kin, kin ek in tunnel net hâlde. Ferhelpje dêrnei de foarsjenning oan 'e VPN-kant, want in bewurking oan 'e klantkant fan in pooltaskenning wurdt by de folgjende ferbining ûngedien makke. Ta beslút de dûbele identiteiten: aparte kaaiparen op WireGuard, aparte sertifikaten of teminsten aparte profylen op OpenVPN.

Op 'e klant is it meganyske part koart. Lit in DHCP-lease los en fernij it, of freegje om it adres op 'e server te feroarjen foar in reservearring. Typ gjin willekeurich adres dat frij liket.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Kontrolearje dan fan beide kanten, net fan ien. Befestigje de gateway, dan de tsjinst dy't jo echt nedich hawwe, dan ferbine jo opnij en werhelje. As twa apparaten belutsen wiene, kontrolearje beide: it ferpleatsen fan ien adres lit de oare mei ferâldere buorljuy-nskriuwingen of in âlde lease efter dy't letter wer ferskynt.

Wat jo ûnderweis net dwaan moatte

Meitsje it symptoom net stil. It opspoaren fan dûbele adressen is wat jo tsjinhâldt om in adres te nimmen dat al brûkt wurdt, en it útskeakeljen feroaret in sichtber konflikt yn tuskentiidsk pakketferlies dat folle dreger te folgjen is. Itselde jildt foar it akseptearjen fan in sertifikaatswarskôging fan in ûnferwachte host: dat is hielendal gjin adresprobleem, en der oerhinne klikke ferbergt in oare flater.

Feroarje ek net op eigen mannichte de adressearring fan in beheard netwurk. Skriuw de oarspronklike ynstelling op, freegje de eigner as it adres sintraal taskend wurdt, en hâld de feroaring lyts genôch om werom te draaien. De RFC 5227-regels foar it opspoaren fan adreskonflikten ferklearje wat in korrekte probe bewist, wat de muoite wurdich is om te witten foardat jo in konflikt wier neame.