E lokalen IP-Adresskonflikt no enger VPN-Verbindung behiewen

All dës Rapportë kléngen d'selwecht a bedeiten eppes anescht: de Laptop beschwéiert sech iwwer en Adresskonflikt, awer just heiansdo, a meeschtens wärend d'VPN un ass. Dräi verschidde Feeler produzéieren déi Meldung: en echte Duplikat op Ärer eegener Verbindung, eng Iwwerlappung, wou de wäite Reseau Äre LAN-Beräich benotzt an näischt duplizéiert gëtt, an en Tunnel, deen eng Adress un zwee Peeren ginn huet. D'Reparatur ass a jiddwer Fall anescht, an déi falsch verréckelt d'Symptom amplaz et ewechzehuelen. Entscheet Iech also, wéi en Fall Dir hutt, ier Dir eppes ännert.

Dräi Feeler mat enger Fehlermeldung

En Duplikat heescht, datt zwee Maschinnen am selwechten Deel béid eng Adress behaapten. De Kernel mierkt et, well d'Äntwert op seng eege Sonde vun enger anerer MAC kënnt, an wat duerno geschitt, hänkt vum Stack of: Linux loggt et, Windows deaktivéiert d'Interface an schreift en Agang an de Systemlog, an en DHCP-Client kann d'Ugebot ofleenen.

Eng Iwwerlappung duplizéiert keng Adress. Äre LAN ass 192.168.1.0/24, de Büroreseau ass och 192.168.1.0/24, an elo weist d'Route an de Büro op Adressen, déi och Ären Drucker an Ären NAS sinn. Am ARP-Sënn ass näischt am Konflikt; de Pak geet einfach op dat falscht Gerät an engem vun den zwéi Reseauen.

Eng Kollisioun am Pool ass de Feeler vum Tunnel selwer. Zwee Peeren goufen mat der selwechter Tunneladress konfiguréiert oder hunn se kritt, sou datt de Server se net ënnerscheede kann, wa en Zeréckverkéier schéckt. Een vun deenen zwee Clienten gesäit en Handshake, deen funktionéiert, an keng Daten, wat wéi e Routingproblem kléngt an keent ass.

Test 1: ass den Duplikat op Ärem eegenen Deel?

Fänkt mat enger Lëscht un, wat Äre Rechner tatsächlech huet, net wat Dir Iech erënnert konfiguréiert ze hunn. Eng VPN-Adapteradress ass privat fir den Tunnel an ass net déiselwecht wéi d'Adress, déi Websäite gesinn, also ass en gedeelte ëffentlechen Ausgang kee Konflikt.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Op Windows kommen déiselwecht Informatiounen aus ipconfig /all an Get-NetIPAddress, mam Noper-Cache an arp -a. Wann d'striddeg Adress um physeschen Adapter ass an d'Beschwéierdung ouni lafender VPN erschéngt, ass d'VPN en Zuschauer a Dir sollt ophalen, se ze diagnostizéieren.

Fir en Duplikat ze beweisen amplaz ze roden, sondéiert d'Adress vun engem Gerät, dat se net huet. arping -D schéckt d'Sonde mat enger Null-Quelladress, also bewäist eng Äntwert vun enger onerwaarter MAC, datt en aneren Host schonn fir déi Adress äntwert.

sudo arping -D -I eth0 -c 3 192.168.1.50

Sicht duerno den Eigentümer iwwer den Netzwierkadministrator, amplaz selwer eng aner Adress ze wielen. Statesch Zouordnungen, déi just an engem sengen Notizen liewen, Drucker mat enger fester Adress an Reservatioune um DHCP-Server sinn déi üblech Schëlleg, an en ausgeschalt Gerät besëtzt nach ëmmer seng Lease.

Test 2: iwwerlappen sech déi zwéi Reseauen?

Vergläicht de Prefix, deen den Tunnel Iech gëtt, mat de Prefixen op Ären eegenen Interfaces. Wann de wäite Beräich gläich Ärem LAN ass oder et enthält, ass de Feeler eng Iwwerlappung, an den Hiweis ass, datt en Host, deen ouni VPN erreechbar ass, verschwënnt, oder datt Ären eegenen Drucker op enger Büroadress äntwert.

ip route get 192.168.1.10
ip -br addr show

D'Route-Sich seet Iech, wéi eng Interface de Kernel benotze géif, an déi Äntwert ass déi ganz Diagnos. Wa se den Tunnel fir eng Adress nennt, déi zu Ärem lokalen Drucker gehéiert, huet Dir eng Iwwerlappung an keng Lease-Erneierung ännert dat.

Et gëtt dräi éierlech Ausweeër, a meeschtens ass just ee fir Iech verfügbar. Déi wäit Säit kann de Verkéier fir deen iwwerlappenden Subnetz maskéieren, sou datt Äre Client just d'Tunneladress vum Server gesäit. Den Tunnel kann e méi schmuelen wäite Prefix droen, deen net mat Ärem LAN kollidéiert. Oder de Client kann no Quelladress mat Politikregelen route, wat funktionéiert awer bréchleg ass a schwéier un engem Kolleg ze ginn.

De Büroreseau ëmzennummeréieren ass selten Är Entscheedung. Ären eegene LAN ëmzennummeréieren, fir d'Kollisioun ze vermeiden, ass eng méi grouss Ännerung wéi déi meescht Leit erwaarden, soubal Drucker, Kameraen a statesch Hosten dobäi sinn.

Test 3: huet den Tunnel eng Adress zweemol ausginn?

De WireGuard huet kee Adresspool. All Peer gëtt duerch säi ëffentlechen Schlëssel an duerch d'Prefixen an AllowedIPs identifizéiert, also erschéngt en Duplikat, wann déiselwecht Tunneladress an zwee Peer-Agäng geschriwwe gëtt oder dee selwechte Schlësselpaar op zwee Maschinnen installéiert ass.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

D'Verkéierszähler sinn hei déi nëtzlech Kolonn: en Peer, deen en aktuelle Handshake weist awer keng Iwwerdroung, ass entweder falsch adresséiert oder gëtt vun engem aneren Agang iwwerschatzt, deen dee selwechte Prefix behaapt. Setzt e Prefix op genee ee Peer a gitt all Gerät säi eigenen Schlësselpaar.

OpenVPN huet e Pool, an déi heefeg Kollisioun ass en gedeelte Clientprofil mat enger fester --ifconfig-Linn, déi op eng zweet Maschinn kopéiert gouf. Dann froen béid Clienten déiselwecht Tunneladress un, an de Server hëlt déi Sessioun un, déi en als éischt veraarbecht. D'Pool-Erschöpfung mam --duplicate-cn gëtt en ähnlecht Resultat, wa méi Sessioune vun engem Zertifikat ëm een Agang konkurréieren.

Fir dëst liest de Server-Log amplaz de Client-Log. De Server weess, wéi eng Sessioun wéi eng Adress geholl huet, an widderholl Adressen do sinn als Warnungen ze gesinn, déi ni beim Client ukommen.

Bei der Quell behiewen, duerno béid Geräter nachpréifen

D'Reiefolleg zielt. Behieft als éischt en LAN-Duplikat, well en Client, deen keng Adress halen kann, och keen Tunnel halen kann. Duerno behieft d'Provisioun op der VPN-Säit, well eng Ännerung vun der Client-Säit un enger Pool-Zouordnung bei der nächster Verbindung réckgängeg gemaach gëtt. Zuletzt këmmert Iech ëm déi duebel Identitéiten: getrennt Schlësselpaarer beim WireGuard, getrennt Zertifikater oder op d'mannst getrennt Profiler beim OpenVPN.

Um Client ass den mechaneschen Deel kuerz. Leet eng DHCP-Lease fräi a erneiert se, oder freet, datt d'Adress um Server fir eng Reservatioun geännert gëtt. Tippt keng zoufälleg Adress a géif fräi ausgesinn.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Iwwerpréift dann vun allen zwou Säiten, net vun enger. Bestätegt den Gateway, dann de Service, deen Dir wierklech braucht, dann verbënnt Iech erëm a widderhollt. Wann zwee Geräter dobäi waren, kontrolléiert béid: eng Adress ze réckelen léisst dat anert mat veralterten Nopeschagäng oder enger aler Lease, déi méi spéit erëm erschéngt.

Wat een ënnerwee net maache soll

Bréngt d'Symptom net zum Schwäigen. D'Erkennung vun duebelen Adressen ass dat, wat Iech dovun ofhält, eng Adress ze huelen, déi schonn a Gebrauch ass, an se auszeschalten verwandelt e sichtbare Konflikt an zäitweilegen Pakverloscht, deen éischter schwéier ze verfollegen ass. Datselwecht gëllt fir eng Zertifikatswarnung vun engem onerwaarten Host unzehuelen: dat ass iwwerhaapt kee Adressproblem, an driwwer ewechzeklicken verstoppt en aneren Feeler.

Ännert och net d'Adresséierung vun engem verwalteten Netz op eegen Faust. Notéiert déi ursprénglech Astellung, freet den Eigentümer, wann d'Adress zentral zou gewisen, an hält d'Ännerung kleng genuch, fir se réckgängeg ze maachen. D'RFC 5227-Regelen zur Erkennung vun Adresskonflikter erklären, wat eng korrekt Sonde beweist, wat ee wësse sollt, ier een e Konflikt fir richteg erkläert.