Nessuna rotta ripara un pool VPN che si sovrappone alla tua LAN

L’app dichiara che il tunnel è sano, eppure metà delle destinazioni che ti servono non risponde mai. Il riflesso è aggiungere una rotta o abbassare una metrica, e proprio quel riflesso è il mito da uccidere per primo. Quando la LAN del client e il pool del tunnel rivendicano lo stesso prefisso, la tabella di routing tiene due fatti incompatibili, e né una rotta predefinita né una metrica li risolve. La riparazione è una decisione di indirizzamento, e nessuna modifica delle rotte la sostituisce.

Perché una rotta in più non può dividere un solo prefisso

Una rotta non può separare due rivendicazioni sullo stesso prefisso, perciò la mossa sensata è smettere di cercare la riga di rotta giusta. Lo stack non metterà un prefisso identico davanti alla rotta connessa, e una voce più specifica cattura l’indirizzo, ma rende irraggiungibile l’host locale che lo possiede. Quello che sembra un problema di routing è una collisione di indirizzamento, e le due riparazioni cambiano indirizzi invece di rotte. Verifica l’affermazione sulla tua macchina prima di accettarla.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Interroga il sistema su un solo indirizzo e nota quale interfaccia nomina. Linux, macOS e Windows rispondono con una ricerca in sola lettura che riporta l’interfaccia scelta e il salto successivo senza trasmettere nulla. Quando la risposta punta all’adattatore fisico mentre il tunnel è attivo, il kernel tratta l’indirizzo come on-link e non come qualcosa che il tunnel potrebbe trasportare.

Metti il prefisso concesso dal provider accanto a quello servito dal router di casa e confrontali come stringhe. La corrispondenza esatta è il caso chiaro, e un pool più ampio del provider che contiene la sottorete di casa fallisce allo stesso modo, ma è più facile da trascurare. Due prefissi che solo sembrano simili non sono una collisione, quindi annota entrambi prima di cambiare qualcosa.

Leggi il pool che il client ha davvero ricevuto

Leggi ciò che il client ha ricevuto, non la pagina marketing del provider. Alza la verbosità del log di un client OpenVPN e le rotte spinte dal server compariranno al suo interno, rivelando i prefissi del tunnel; altrove il pool appare nei dettagli della connessione o sull’adattatore stesso. Chiedi al provider l’elenco completo degli intervalli privati che usa, perché un solo /24 oggi può diventare due domani. Evitare i blocchi RFC 1918 comuni non è la stessa cosa che evitare l’assegnazione che ti è stata davvero data.

Un pool può anche ridursi o spostarsi tra regioni, quindi l’elenco ha bisogno di una data e di un responsabile. Tratta ogni risposta del provider più vecchia del tuo ultimo cambio di piano come una congettura, non come un fatto. Chiedi di nuovo prima di impegnarti su un intervallo, e conserva la risposta con le note di rete così la persona successiva eredita la prova.

La rinumerazione è la riparazione che puoi fare

Se il server VPN non è tuo da cambiare, spostare la LAN di casa è l’unica riparazione disponibile, e questa è la situazione abituale con un provider commerciale. Scegli un intervallo fuori dal pool del provider e fuori dagli intervalli che potresti servirti più avanti, e verificalo contro ogni altro sito che raggiungi tramite un tunnel. Aspettati una breve interruzione e una coda più lunga di dispositivi dimenticati: uno che tiene ancora l’indirizzo vecchio sembra funzionare finché non gli serve il gateway.

1. Prima l’inventario: l’indirizzo del router stesso, l’ambito DHCP, le prenotazioni, gli inoltri di porta e ogni dispositivo il cui indirizzo è stato digitato a mano.
2. Poi cambia il prefisso LAN del router e l’ambito DHCP insieme dentro una finestra di manutenzione, e rinnova i contratti cablati prima di quelli wireless.
3. Dopo correggi gli indirizzi statici: stampanti, storage di rete, tutto ciò che ha un gateway codificato.
4. Infine, riconnetti il client VPN e conferma che l’indirizzo del tunnel non collide più con la LAN.

Percorri gli indirizzi in quest’ordine e non tutti insieme, e lascia l’intervallo vecchio documentato per un po’ così un dispositivo obsoleto è riconoscibile invece che misterioso. Un dispositivo che non rinnova mai si annuncia non raggiungendo il gateway, che è un indizio molto migliore di una chiamata al supporto. Se il router assegna contratti più lunghi di un giorno, accorciali per la durata della finestra.

Cosa può e cosa non può fare un alias

Quando il server è tuo, tradurre gli indirizzi sul client può esporre il prefisso remoto dentro un intervallo locale libero, così lo stesso host risponde su un secondo indirizzo. L’OpenVPN comunitario lo fa con client-nat, e quella direttiva è specifica di quel client, assente nei client commerciali e mobili con cui di solito la si confronta. L’assetto richiede una rotta che corrisponda alla traduzione, un intervallo libero per l’alias e un server disposto a rispondere all’indirizzo non tradotto del client. Niente di tutto ciò aiuta quando il client appartiene a un provider gestito che non puoi configurare.

Quando la modifica entra in vigore, raggiungi un host locale e uno remoto prima per indirizzo e poi per nome, annotando la rotta che il sistema sceglie ogni volta. Un nome può ancora risolversi nel vecchio intervallo, quindi indirizzi e nomi meritano verifiche indipendenti. Riavvia un client e un dispositivo lato server se uno dei due è rimasto acceso durante la modifica, perché le voci di vicinato in cache sopravvivono alla modifica.

Scrivi i prefissi su cui ti sei fermato dove le persone guardano davvero: le note di rete, il campo commento del router, la pagina di benvenuto. Qualcuno sceglierà di nuovo 192.168.1.0/24, e la collisione tornerà con lui.