Namas ir biuras abu naudoja 192.168.1.x: ką daryti dabar?

Atlikite keturis patikrinimus: į kokį adresą išsprendžiamas vardas, kokį priešdėlį naudoja vietinis tinklas, kokį maršrutą branduolys pasirenka tam tikslui ir kas atsako tolimajame gale. VPN prisijungimas nėra vienas iš jų, nes jis baigiamas nepriklausomai nuo to, kuri tinklas laimi. Atlikite patikrinimus iš eilės ir persidengimas taps matomas antrame žingsnyje, o ne ketvirtame.

Sėkmingas prisijungimas sako, kad tunelis pakeltas; jis nieko nesako apie tai, kur nukreiptas konkretus adresas.

Vienas adresas, dvi mašinos

Hostas pasirenka kelią iš savo maršrutizavimo lentelės ir politikos taisyklių, naudodamas paskirties adresą. Niekas jam nesako, kad užklausa į 192.168.1.20 šuolį skirta biuro serveriui, o ne įrenginiui gretimame kambaryje. Kai abu tinklai yra tame pačiame privačiame diapazone, laimi konkretiausias maršrutas, o visa kita priklauso nuo to, kurį įrašą atsitiktinai įdiegė pakartotinis prisijungimas. Pačiame adrese niekas neneša šio skirtumo.

ip route get 192.168.1.20

Ta paieška įvardija sąsają ir kitą šuolį, kuriuos pasirinko branduolys, ir tai yra antrasis sąrašo patikrinimas. Palyginkite vietinį ir tolimą priešdėlius prieš ką nors darydami. Jei vietinis LAN yra 192.168.1.0/24 ir tolima vieta taip pat 192.168.1.0/24, persidengimas ir yra radinys, ir jokia kliento parinktis jo nepataiso.

Perverskite numeraciją toje pusėje, kurią kontroliuojate

Asmeninis maršrutizatorius paprastai yra lengviau perkeliama pusė. Pasirinkite diapazoną, kuris nesikerta su tolimais tinklais, kuriuos iš tikrųjų naudojate, ir atkreipkite dėmesį, kad 10.x.x.x taip pat nėra automatiškai laisvas, nes daugelis vietų jį naudoja. Suplanuokite pakeitimą: DHCP nuoma, rezervuoti adresai, spausdinimo eilės ir viskas su kietai įrašytu adresu reikalauja dėmesio. Perverskite numeraciją tokiu laiku, kai galite atkurti maršrutizatorių be VPN.

Tolimų priešdėlių sąrašą patikrinkite pirmiausia, o ne vėliau. Pasirinkus naują diapazoną, kuris susikerta su kita biuro vieta, sukuriama ta pati problema su daugiau investuoto darbo.

Kai nė viena pusė negali pasikeisti

Jei nė vieno tinklo negalima pernumeruoti, likusios parinktys gyvena serveryje. Tarpinė grandis gali išversti tolimą tinklą į kitą potinklį VPN klientams, naudodama politika paremtą NAT arba dvikryptį variantą, kad klientas matytų unikalų adresą. Tai tarpinės grandies dizainas, o ne jungiklis, kurį suteikia kiekvienas darbalaukio klientas, ir jis keičia, kokį adresą įveda naudotojai ir kokie vardai turi sutapti. Iš forumo nukopijuotas maršrutas negali atskirti dviejų identiškų tikslų.

Privatūs adresų diapazonai lieka privatūs; problema yra pakartotinis naudojimas, o ne patys diapazonai.

Įrodykite, kuri mašina atsakė

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Po bet kokio pakeitimo kartu išbandykite biuro išteklių ir vietinius įrenginius. Jei pažįstamas namų įrenginys atsako ten, kur turėtų būti biuro serveris, arba TLS sertifikatas nurodo netinkamą hostą, sustokite ir prieš tęsdami nustatykite tikslą. Atsakymo iš to adreso gavimas neįrodo, kuri mašina jį išsiuntė. Sertifikato subjekto tikrinimas yra vienas iš nedaugelio patikimų signalų, prieinamų tuo metu.

Nepakeiskite biuro privačių adresų savavališkais viešaisiais adresais, kurių nekontroliuojate. Taip persidengimą iškeičiate į maršrutizavimo ir nuosavybės problemą, kuri yra blogesnė ir sunkiau paaiškinama.

Užrašykite vietinį priešdėlį, tolimą priešdėlį ir pakeitimą, kuris tai išsprendė. Kitas persidengimas atrodys kitaip, bet laikysis to paties modelio.