As subredes de casa e oficina chocan por VPN: tres solucións

O seu cliente informa que está conectado e que o túnel está activo, pero o servidor de ficheiros da oficina responde desde algún lugar da cociña. Normalmente os dous extremos usan 192.168.1.0/24 porque é o que traen os routers domésticos, e ningunha ruta resolve unha ambigüidade que existe nos dous lados á vez. O fallo pode parecer un túnel roto ou un servidor roto, e non é ningunha das dúas cousas. Identifique que choque ten antes de tocar unha configuración, porque os tipos teñen solucións distintas e só unha trata de enrutamento.

Unha ruta conectada gaña a calquera cousa que empuxe

Un equipo chama local a un enderezo sempre que unha ruta conectada o cobre. Nun portátil cuxa propia interface é 192.168.1.20/24, o enderezo 192.168.1.50 é un veciño, así que o paquete sae pola interface de casa e nunca chega ao túnel.

Empuxar unha ruta para o prefixo da oficina non cambia nada, porque ese prefixo xa existe como rede directamente conectada. O sistema operativo segue respondendo desde a entrada conectada, e esta consúltase antes de preguntar nada ao túnel. Pode ver a orde vostede mesmo: ip route get 192.168.1.50 nomea a interface de casa, non o túnel. O extremo oposto reflicte o problema, porque o router da oficina tamén cre que o rango de casa do portátil lle pertence.

Choques silenciosos máis aló do obvio

Non todos os casos son unha decisión de enrutamento. Un contrato DHCP doméstico pode caer exactamente no enderezo que ten o servidor da oficina, e entón o cliente fala consigo mesmo mentres o túnel non leva nada.

Os nomes chocan do mesmo xeito. Dúas máquinas que comparten un nome de equipo rompen as ferramentas baseadas en nomes mesmo cando cada paquete se enruta correctamente, e unha entrada hosts que apunta ao enderezo da oficina falla cando a máquina local xa posúe ese nome, porque a resolución local gaña. Cambie o nome da máquina local ou use o nome totalmente cualificado en lugar de editar hosts.

Os hipervisores engaden un terceiro caso. Un adaptador só para o host adoita estar en 192.168.56.0/24, que pode chocar cun rango corporativo que ninguén lembra que está en uso.

Renumeren o lado que posúen

Renumerar elimina a ambigüidade en lugar de esquivala, e nunha oficina na casa ese é o lado que posúe. Escolla algo que non apareza en ningún outro sitio e enumere cada dispositivo cun enderezo estático antes de tocar o router.

10.0.0.0/8 e 172.16.0.0/12 son os candidatos habituais. Os valores de fábrica do firmware, 192.168.0.0/24 e 192.168.1.0/24, son exactamente o que hai que deixar.

Renumerar a oficina raramente está sobre a mesa, e unha renumeración doméstica custa unha tarde de reconectar impresoras e enchufes. Aínda así é máis barato que unha solución alternativa repetida en cada portátil da empresa.

Publiquen un rango que non poida chocar

Onde o rango da oficina teña que quedar, fagan que o lado do túnel sexa máis difícil de chocar. Recortar o conxunto de clientes como un prefixo pequeno en lugar de tomar prestada unha /24 enteira dá unha ruta específica en vez dunha ampla.

Se a pasarela pode traducir, publiquen a subrede da oficina baixo un rango alias, de modo que o destino do cliente non poida caer dentro da súa propia LAN. Un deseño de sitio a sitio pode dar a cada sitio o seu propio alias, o que mantén distinguibles dous clientes con numeración idéntica.

A tradución non é gratuíta. Ten que funcionar nas dúas direccións e cubrir o enderezo de orixe e o destino, e as aplicacións que escriben enderezos dentro da súa propia carga útil ignorarana por completo. Por iso é a resposta cando renumerar é imposible e o número de clientes é pequeno.

Escollan segundo o que poidan cambiar

Un ou dous portátiles na casa: renumere a LAN de casa. Unha oficina xestionada que non pode renumerar: tradución de alias na pasarela. Numeración repetida entre sitios de clientes: alias por sitio, planificados unha vez. Cando só fallan as ferramentas baseadas en nomes, tráteo como un choque de nomes e non como un fallo de enrutamento.

Escolla o que escolla, probáeo contra un enderezo que só exista no lado oposto. Facer ping ao seu propio router non di nada sobre que rede respondeu.