Mājas un birojs abi izmanto 192.168.1.x: ko darīt tagad?

Veiciet četras pārbaudes: uz kādu adresi atrisinās nosaukums, kādu prefiksu izmanto vietējais tīkls, kuru maršrutu kodols izvēlas šim mērķim un kas atbild tālajā galā. VPN pieteikšanās nav viena no tām, jo tā tiek pabeigta neatkarīgi no tā, kurš tīkls uzvar. Veiciet pārbaudes pēc kārtas, un pārklāšanās kļūs redzama otrajā solī, nevis ceturtajā.

Veiksmīga pieteikšanās nozīmē, ka tunelis ir uzcelts; tā neko nepasaka par to, uz kurieni norāda konkrēta adrese.

Viena adrese, divas mašīnas

Resursdators izvēlas ceļu no sava maršrutēšanas tabulas un politikas noteikumiem, izmantojot galamērķa adresi. Nekas tam nepasaka, ka pieprasījums uz 192.168.1.20 lēcienu ir domāts biroja serverim, nevis ierīcei blakus telpā. Kad abi tīkli ir vienā privātajā diapazonā, uzvar konkrētākais maršruts, un viss pārējais ir atkarīgs no tā, kuru ierakstu atkārtots savienojums nejauši instalēja. Pašā adresē nekas nenes šo atšķirību.

ip route get 192.168.1.20

Šī meklēšana nosauc saskarni un nākamo lēcienu, ko izvēlējās kodols, un tā ir otrā pārbaude sarakstā. Salīdziniet vietējo un attālo prefiksu, pirms darāt ko citu. Ja vietējais LAN ir 192.168.1.0/24 un attālā vieta arī ir 192.168.1.0/24, pārklāšanās ir atradums, un neviena klienta opcija to nelabo.

Pārnumurējiet pusi, kuru jūs kontrolējat

Personīgais maršrutētājs parasti ir vieglāk pārvietojamā puse. Izvēlieties diapazonu, kas nesaduras ar attālajiem tīkliem, kurus jūs faktiski lietojat, un ņemiet vērā, ka arī 10.x.x.x nav automātiski brīvs, jo daudzas vietas to izmanto. Izplānojiet izmaiņas: DHCP nomavas, rezervētās adreses, drukāšanas rindas un viss ar cieti iekodētu adresi prasa uzmanību. Veiciet pārnumurēšanu tādā laika posmā, kad varat atjaunot maršrutētāju bez VPN.

Attālo prefiksu sarakstu pārbaudiet vispirms, nevis pēc tam. Jauna diapazona izvēle, kas saduras ar citu biroja vietu, rada to pašu problēmu ar vairāk ieguldīta darba.

Kad neviena puse nevar mainīties

Ja nevienu no tīkliem nevar pārnumurēt, atlikušās iespējas dzīvo serverī. Vārteja var pārtulkot attālo tīklu citā apakštīklā VPN klientiem, izmantojot uz politiku balstītu NAT vai divvirzienu variantu, lai klients redzētu unikālu adresi. Tas ir vārtejas dizains, nevis slēdzis, ko nodrošina katrs galddatora klients, un tas maina, kādu adresi lietotāji ieraksta un kādiem nosaukumiem jāsakrīt. No foruma nokopēts maršruts nevar atšķirt divus identiskus galamērķus.

Privātie adrešu diapazoni paliek privāti; problēma ir atkārtota izmantošana, nevis paši diapazoni.

Pierādiet, kura mašīna atbildēja

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Pēc jebkuras izmaiņas kopā pārbaudiet biroja resursu un vietējās ierīces. Ja pazīstama mājas ierīce atbild tur, kur jābūt biroja serverim, vai TLS sertifikāts nosauc nepareizu resursdatoru, apstājieties un pirms turpināšanas nosakiet galamērķi. Atbildes saņemšana no šīs adreses nepierāda, kura mašīna to nosūtīja. Sertifikāta subjekta pārbaude ir viens no nedaudzajiem uzticamajiem signāliem, kas tajā brīdī ir pieejami.

Neaizstājiet biroja privātās adreses ar patvaļīgām publiskām adresēm, kuras jūs nekontrolējat. Tas apmaina pārklāšanos pret maršrutēšanas un īpašumtiesību problēmu, kas ir sliktāka un grūtāk izskaidrojama.

Pierakstiet vietējo prefiksu, attālo prefiksu un izmaiņu, kas to atrisināja. Nākamā pārklāšanās izskatīsies citādi, bet sekos tam pašam modelim.