Le sottoreti di casa e ufficio si scontrano su una VPN: tre soluzioni

Il tuo client segnala connesso e il tunnel attivo, ma il file server dell’ufficio risponde da qualche parte in cucina. Di solito entrambe le estremità usano 192.168.1.0/24 perché è quello con cui arrivano i router domestici, e nessuna rotta risolve un’ambiguità che esiste su entrambi i lati contemporaneamente. Il guasto può sembrare un tunnel rotto o un server rotto, e non è né l’uno né l’altro. Identifica quale collisione hai prima di toccare una configurazione, perché i tipi hanno soluzioni diverse e solo una riguarda l’instradamento.

Una rotta connessa batte tutto ciò che inserisci

Un host considera locale un indirizzo ogni volta che una rotta connessa lo copre. Su un portatile la cui interfaccia è 192.168.1.20/24, l’indirizzo 192.168.1.50 è un vicino, quindi il pacchetto esce dall’interfaccia di casa e non raggiunge mai il tunnel.

Inserire una rotta per il prefisso dell’ufficio non cambia nulla, perché quel prefisso esiste già come rete direttamente connessa. Il sistema operativo continua a rispondere dalla voce connessa, e questa viene consultata prima che al tunnel venga chiesto qualcosa. Puoi vedere l’ordine da solo: ip route get 192.168.1.50 nomina l’interfaccia di casa, non il tunnel. L’estremità remota rispecchia il problema, perché anche il router dell’ufficio crede che l’intervallo di casa del portatile appartenga a lui.

Collisioni silenziose oltre quella ovvia

Non ogni caso è una decisione di instradamento. Un lease DHCP domestico può cadere esattamente sull’indirizzo che ha il server dell’ufficio, e allora il client parla con se stesso mentre il tunnel non trasporta nulla.

I nomi si scontrano allo stesso modo. Due macchine che condividono un nome computer rompono gli strumenti basati sui nomi anche quando ogni pacchetto è instradato correttamente, e una voce hosts che punta all’indirizzo dell’ufficio fallisce quando la macchina locale possiede già quel nome, perché la risoluzione locale vince. Rinomina la macchina locale o usa il nome completamente qualificato invece di modificare hosts.

Gli hypervisor aggiungono un terzo caso. Un adattatore solo host di solito si trova su 192.168.56.0/24, che può scontrarsi con un intervallo aziendale che nessuno ricorda essere in uso.

Rinumera il lato che possiedi

La rinumerazione elimina l’ambiguità invece di aggirarla, e in un ufficio domestico è il lato che possiedi. Scegli qualcosa che non apparirà altrove, ed elenca ogni dispositivo con un indirizzo statico prima di toccare il router.

10.0.0.0/8 e 172.16.0.0/12 sono i candidati abituali. I valori di fabbrica del firmware, 192.168.0.0/24 e 192.168.1.0/24, sono esattamente ciò che va lasciato.

Rinumerare l’ufficio è raramente possibile, e una rinumerazione domestica costa una serata di ricollegamento di stampanti e spine. Resta comunque più economica di un espediente ripetuto su ogni portatile dell’azienda.

Pubblica un intervallo che non può scontrarsi

Dove l’intervallo dell’ufficio deve restare, rendi il lato tunnel più difficile da scontrare. Ritagliare il pool di client come prefisso piccolo invece di prendere in prestito un’intera /24 dà una rotta specifica anziché ampia.

Se il gateway può tradurre, pubblica la sottorete dell’ufficio sotto un intervallo alias, così la destinazione del client non può cadere nella sua stessa LAN. Un progetto sito-a-sito può dare a ogni sito il proprio alias, il che mantiene distinguibili due clienti con numerazione identica.

La traduzione non è gratuita. Deve funzionare in entrambe le direzioni e coprire l’indirizzo sorgente e la destinazione, e le applicazioni che scrivono indirizzi nel proprio payload la ignoreranno completamente. Ecco perché è la risposta quando rinumerare è impossibile e il numero di client è piccolo.

Scegli in base a ciò che puoi cambiare

Uno o due portatili a casa: rinumerare la LAN di casa. Un ufficio gestito che non può rinumerare: traduzione alias al gateway. Numerazione ripetuta tra siti dei clienti: alias per sito, pianificati una volta. Quando falliscono solo gli strumenti basati sui nomi, trattalo come una collisione di nomi e non come un guasto di instradamento.

Qualunque cosa scegli, provala contro un indirizzo che esiste solo dall’altro lato. Fare ping al proprio router non dice nulla su quale rete abbia risposto.