VPN an Heem-LAN am selwechten Subnetz: geet d'Rout fir d'éischt duerch
Béid Adaptere froen 192.168.1.0/24 a just eng Route gewënnt. Geet d'Adapterslëscht, déi gewënnt Route an de Retour duerch, ier Dir emnumeréiert oder DNS beschëllegt.
Du verbënns dech mam Büro-VPN, d'Piktogramm gëtt gréng, den Intranet lued, an de Printer zwee Meter kann stoppt mat äntweren. D'Deelung, déi de Moien nach funktionéiert huet, leeft um selwechte Rechner an en Timeout, an et gëtt kee Log, dee vun engem Printer schwätzt. D'Reflex ass DNS, well en Numm, deen sech net opléist, ausgesäit wéi en Numm, deen et net gëtt, awer d'Adress ass de Problem: zwee Adapteren froen elo 192.168.1.0/24 a just eng Route kann dee Prefix gewannen. Geet et an dëser Rei duerch, an du gesäis, wéi en Adapter en geholl huet, ier du eppes ännert.
Fänk beim Symptom un, net beim Tunnel
Den Hiweis ass den Ëmfang. Wann den Intranet funktionéiert an all lokal Apparat feelt, ass den Tunnel gesond an de lokale Wee net. Wann déi lokal Apparater funktionéieren an den Intranet feelt, ass et ëmgedréit. Wann alles funktionéiert ausser engem Host, kucks du op eng eenzeg Adress, déi op béide Säiten existéiert.
Schreif eng lokal an eng wäit Adress op, ier du eng Astellung berührs. „De Printer“ ass net testbar; 192.168.1.40 ass et. Dee eenzege Schrëtt verhënnert déi meescht verschwend Stonn bei dësem Problem, nämlech DNS-Astellungen ëmzeschreiwen fir eng Routing-Entscheedung.
Schrëtt 1: gesinn déi zwee Adapteren, déi de Prefix froen
Maach Netzwierkverbindungen (ncpa.cpl) op a lies déi zwee Adapteren niewenteneen. Den Ethernet-Adapter weist 192.168.1.50/24 mat Gateway 192.168.1.1. Den VPN-Adapter weist 192.168.1.201/24, vum Server geschéckt. Béid si legitim, béid gleewen, de Prefix wier on-link, an de Stack hält eng eenzeg Route dofir.
Get-NetIPAddress -AddressFamily IPv4 zielt d'Adressen op, an Get-NetIPInterface | Sort-Object InterfaceMetric weist d'Reiefolleg, an där de Stack se benotzt. Déi Metrik-Kolonn ass d'Entscheedung, déi du gläich liess, also schreif d'Zuelen op amplaz se ze verzielen.
Widerlee d'DNS-Theorie bëlleg: Resolve-DnsName printer.office.lan gëtt déiselwecht Adress zréck wéi gëschter. Den Numm gouf opgeléist; duerno ass de Pak iwwer den falschen Adapter fortgaang. Zwee Minutten hei spueren en Nomëtteg an den Astellunge vum Resolver.
Schrëtt 2: lies d'Route, déi wierklech gewonnen huet
Find-NetRoute -RemoteIPAddress 192.168.1.40 dréckt d'Interface, den nächsten Hop an d'Quell aus, déi de Stack fir déi Adress géif benotzen. Behandel déi Ausgab als Äntwert, net als Hiweis. route print -4 gëtt déi ganz Tabell, wann du wëlls gesinn, wéi en Aschreiwung verluere gaangen ass a wéi vill.
Spezifizitéit schléit Absicht. Eng gedréckt 192.168.0.0/25 schléit eng lokal 192.168.0.0/24, well de Prefix méi laang ass, also ginn 192.168.0.0 bis 192.168.0.127 duerch den Tunnel eraus, während déi iewescht Hallschent lokal bleift. Datt eng halsch LAN ouni Feelermeldung verschwënnt, ass dat richtegt Verhalen fir déi Tabell.
tracert -d 192.168.1.40 bestätegt et vun ausserhalb vun der Tabell: wann den éischten Hop eng Tunneladress ass amplaz däi eegene Router, ass d'Route déi ganz Geschicht. Op Linux ass déiselwecht Fro ip route get 192.168.1.40, wat Quelladress an Apparat op enger Linn dréckt. Wann d'Äntwert tun0 nennt, halech op de Browser ze kucken.
Schrëtt 3: préif de Retour, ier du de Client beschëllegs
Eng korrekt Route no vir feelt awer, wann déi wäit Säit net äntwere kann. Wann eng Client-LAN iwwer den Tunnel erreecht gëtt, muss de Gateway vun där LAN wëssen, wou de Tunnelpool läit: ip route add 10.8.0.0/24 via 192.168.1.12 op deem Router, an push „route 192.168.1.0 255.255.255.0“ vum Server, soudatt d'Cliente de Retour kennen.
Ouni den éischten Aschreiwung verléisst d'Äntwert den Zil a Richtung vu sengem Standard-Gateway, deen eng privat Adress un de Provider weiderréckt an se fält. De Symptom ass een Richtung an einfach falsch ze lesen: Ufroe erschéingen op tun0, Äntwerten ni.
Eng Masquerade-Reeg um VPN-Host hëlt d'Noutwendegkeet vun där statescher Route ewech: iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE. Si verstoppt och déi richteg Quelladressen, wat all spéider Log-Fro méi schwéier mécht. En Zilhost mat falschem Standard-Gateway mécht déiselwecht Stëllt, mat enger ICMP-Ëmleedung am beschte Fall an engem schwaarze Lach am normale Fall, dofir gehéiert d'Opnam op béid Enden.
Schrëtt 4: wiel eng Reparatur, mat där du liewen kanns
Dofir ginn et fënnef Reparaturen, an se sinn net auswiesselbar. Wielt no deem, wat zur selwechter Zäit erreechbar muss bleiwen, net no deem, wéi en Kommando am kierzsten ass.
| Repair | What it fixes | What it costs |
|---|---|---|
| Flip interface metrics | Alternating access: office now, home later, never both | Get-NetAdapter -Name "Ethernet 2" | Set-NetIPInterface -InterfaceMetric 21; set the VPN adapter back to 5000. A client that rewrites metrics on connect defeats it |
| Renumber one side | Every host reachable in both directions | DHCP reservations, printer queues, firewall rules and hard-coded addresses all move |
| Narrow the advertised prefix | Remote hosts really live in the upper half | Breaks the day someone adds a host below the cut |
| Translate with client-nat | Both address plans stay untouched | Stateless per-client mapping, unreadable logs, anything embedding addresses breaks |
| Publish one service with DNAT | One service on the VPN host reachable from the LAN | Both address plans stay; source addresses and reverse lookups stop being meaningful |
Metriken sinn déi bëlleg Optioun an déi, no där d'Leit als éischt gräifen. D'Ännerung gëllt fir d'Interface, also funktionéiert se, soulaang den Tunnel uewen ass, an se gehéiert an e Skript niewent dem Client amplaz an eng Shell, déi du vergiiss. Si kann keen gläichzäitegen Zougang zu der selwechter Adress an zwou Netzwierker ginn, an dat ass d'Grenz, déi all déi aner d'Tabell erof schéckt.
D'Heem-LAN ëmnummeréieren op 10.10.0.0/24 ass déi propper Léisung: eng DHCP-Lease-Erneierung plus d'Reservatiounen, d'Dréckereien an d'haart kodéiert Adressen, déi den ale Beräich ernennen. D'Büro-Säit ëmnummeréieren ass normalerweis net deng Entscheedung. IPv6 hëlt de Kollisioun komplett ewech, wann béid Netzwierker et droen, mat engem eenzegaartege lokale Prefix aus fd00::/8 amplaz vun eppes, wat een sech mierkt, awer test d'Applikatioun iwwer TCP, net mat engem Ping, well ICMP ka funktionéieren, während den Service et net mécht.
Dem OpenVPN seng eege Iwwersetzungsoptioun ass déi lescht Rettung, vum Server an en clientspezifeschen Verzeechnesaschreiwung gedréckt. Si hëlt véier Parameteren nom Numm vun der Optioun — Richtung, Netz, Netmask an Alias — an den Alias ass net fakultativ: push "route 192.168.2.0 255.255.255.0" an push "client-nat dnat 192.168.2.0 255.255.255.0 192.168.1.0". D'Netz an d'Netmask sinn de Beräich, deen de Client gesäit (192.168.2.0/24), den Alias ass de richtege Büroberäich op der Serversäit (192.168.1.0/24), an déi gedréckt Route ass dat, wat dee sichtbaren Beräich erreechbar mécht. De Büro erschéngt dann deem Client ënner 192.168.2.x. Dokumentéier d'Mapping am Profil, soss wäert déi nächst Persoun et als Routing-Fehler debuggen.
Ee Service publizéieren ass déi schmal Versioun vun der Iwwersetzung, an et brauch dem OpenVPN seng Optioun guer net. Eng DNAT-Reeg um VPN-Host publizéiert ee Port nei, also behält d'LAN seng Adressen an erreecht de Service op der Hostadress, déi et schonn kennt. D'Käschte sinn déi üblech: de Service gesäit den VPN-Host als Quell, dofir verléieren d'Loge pro Client an d'Ëmkéier-Sich hiren Sënn. Dat deckt eng Dréckerei oder eng Admin-Säit of, net Hoste op béide Säiten, déi sech erreechen.
Wat nach ëmmer net funktionéiere wäert, a wat ze notéieren
Broadcast geet net iwwer en gerouteten Tunnel. DLNA, UPnP, NetBIOS-Browsing a Wake-on-LAN hänken of vu Broadcast oder Multicast, deen en tun-Apparat net dréit, dofir reparéiert keng Route d'Entdeckung. Bridging mat dev tap verlängert de Segment, an domat DHCP-Broadcasts, ARP an all aner Entdeckungspaket; bevorzug eng Unicast-Hostroute wéi route 192.168.2.1 255.255.255.255 fir d'LAN-Säit-Adress vun engem wäite Router.
Zwee Routeren, déi allebéid 192.168.1.1 op dem selwechte Wee benotzen, gehéieren zu der selwechter Famill vu Problemer: déi lokal Adress gewënnt ëmmer, also bleift d'Säit vum wäite Router onerreechbar, bis eng LAN ëmzitt. En zweeten Adapter bäisetze ännert a béide Fäll näischt.
Schreif d'Beweiser op, ier du eppes ämmerks: ip route get oder Find-NetRoute, ping -c 3 op déi betreffend Adress, en traceroute, an tcpdump -ni tun0 icmp um Client, duerno d'Routingtabell an d'NAT-Zähler um Server. En Ping, deen eng Richtung funktionéiert an an der anerer stierft, weist op de Retour, net op den Tunnel, an dee eenzegen Ënnerscheed entscheet, wéi eng vun den Reparaturen uewen du wierklech brauchs.