Az otthon és az iroda is 192.168.1.x-et használ: mi most?

Négy ellenőrzésen menjen végig: melyik címre oldódik fel a név, melyik előtagot használja a helyi hálózat, melyik útvonalat választja a kernel ehhez a célhoz, és mi válaszol a távoli végén. A VPN-bejelentkezés nem tartozik közéjük, mert attól függetlenül végbemegy, melyik hálózat nyer. Végezze el az ellenőrzéseket sorrendben, és az átfedés a második lépésnél válik láthatóvá, nem a negyediknél.

A sikeres bejelentkezés azt mondja, hogy az alagút áll; semmit nem mond arról, hogy egy adott cím hova mutat.

Egy cím, két gép

A gazdagép a célcíme alapján választ útvonalat az útválasztási táblájából és házirend-szabályaiból. Semmi nem mondja meg neki, hogy a 192.168.1.20 ugrásra irányuló kérés az irodai kiszolgálónak szól, nem pedig a szomszéd szobai eszköznek. Ha mindkét hálózat ugyanabban a privát tartományban van, a legspecifikusabb útvonal nyer, és minden más attól függ, melyik bejegyzést telepítette véletlenül egy újrakapcsolódás. Magában a címben semmi nem hordozza ezt a különbséget.

ip route get 192.168.1.20

Ez a lekérdezés megnevezi az interfészt és a következő ugrást, amelyet a kernel választott, ez a lista második ellenőrzése. Hasonlítsa össze a helyi és a távoli előtagot, mielőtt bármi mást tenne. Ha a helyi LAN 192.168.1.0/24, és a távoli hely is 192.168.1.0/24, az átfedés a megállapítás, és egyetlen kliensbeállítás sem javítja meg.

Számozza át az általa irányított oldalt

Az otthoni router általában a könnyebben mozgatható oldal. Válasszon olyan tartományt, amely nem ütközik a ténylegesen használt távoli hálózatokkal, és vegye figyelembe, hogy a 10.x.x.x sem automatikusan szabad, mert sok hely használja. Tervezze meg a változtatást: a DHCP-bérletek, a fenntartott címek, a nyomtatási sorok és minden mereven kódolt című eszköz figyelmet igényel. Az átszámozást olyan ablakban végezze, amikor a routert a VPN nélkül is helyre tudja állítani.

Először ellenőrizze a távoli előtagok listáját, ne utána. Ha olyan új tartományt választ, amely egy másik irodai hellyel ütközik, ugyanaz a probléma jön létre több befektetett munkával.

Amikor egyik oldal sem változhat

Ha egyik hálózat sem számozható át, a fennmaradó lehetőségek a kiszolgálón élnek. Egy átjáró lefordíthatja a távoli hálózatot egy másik alhálózatra a VPN-kliensek számára, házirend-alapú NAT vagy kétirányú változat használatával, így a kliens egyedi címet lát. Ez átjárótervezés, nem pedig olyan kapcsoló, amelyet minden asztali kliens biztosít, és megváltoztatja, hogy a felhasználók melyik címet írják be, és mely neveknek kell egyezniük. A fórumról másolt útvonal nem tud két azonos célt megkülönböztetni.

A privát címtartományok privátak maradnak; a probléma az újrafelhasználás, nem maguk a tartományok.

Bizonyítsa, melyik gép válaszolt

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Minden változtatás után tesztelje együtt az irodai erőforrást és a helyi eszközöket. Ha egy ismerős otthoni eszköz válaszol ott, ahol az irodai kiszolgálónak kellene lennie, vagy a TLS-tanúsítvány rossz gazdagépet nevez meg, álljon meg, és folytatás előtt azonosítsa a célt. Ha választ kap ettől a címtől, az nem bizonyítja, melyik gép küldte. A tanúsítvány tárgyának ellenőrzése az egyik kevés megbízható jel, amely abban a pillanatban rendelkezésre áll.

Ne cserélje ki az iroda privát címeit olyan tetszőleges nyilvános címekre, amelyeket nem irányít. Ez egy átfedést egy rosszabb és nehezebben magyarázható útválasztási és tulajdonlási problémára cserél.

Jegyezze fel a helyi előtagot, a távoli előtagot és a változtatást, amely megoldotta. A következő átfedés másképp fog kinézni, de ugyanazt a mintát követi.