Neviens maršruts nelabo VPN baseinu, kas pārklājas ar jūsu LAN

Lietotne apgalvo, ka tunelis ir vesels, un tomēr puse no vajadzīgajām piederības vietām nekad neatbild. Reflekss ir pievienot maršrutu vai pazemināt metriku, un tieši šis reflekss ir mīts, ko ir vērts noslepkavot vispirms. Kad klienta paša LAN un tuneļa baseins pieprasa vienu un to pašu prefiksu, maršrutēšanas tabula tur divus nesavienojamus faktus, un ne noklusējuma maršruts, ne metrika tos neatrisina. Labojums ir adresācijas lēmums, un neviena maršruta rediģēšana to neaizstāj.

Kāpēc papildu maršruts nevar sadalīt vienu prefiksu

Maršruts nevar atdalīt divas pretenzijas uz vienu prefiksu, tāpēc saprātīgais solis ir pārtraukt pareizās maršruta rindas meklēšanu. Steks neliks identisku prefiksu priekšā pievienotajam maršrutam, un konkrētāks ieraksts gan notver adresi, bet padara to īpašo vietējo resursdatoru nepieejamu. Tas, kas izskatās pēc maršrutēšanas problēmas, ir adresācijas sadursme, un abi labojumi maina adreses, nevis maršrutus. Pārbaudiet šo apgalvojumu savā mašīnā, pirms to pieņemat.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Uzjautājiet sistēmai par vienu adresi un ievērojiet, kuru saskarni tā nosauc. Linux, macOS un Windows atbild ar tikai lasīšanas meklēšanu, kas ziņo izvēlēto saskarni un nākamo lēcienu, neko nepārsūtot. Kad atbilde norāda uz fizisko adapteri, kamēr tunelis ir augšā, kodols adresi uzskata par tādu, kas atrodas saitē, nevis par kaut ko, ko tunelis varētu nest.

Novietojiet pakalpojumu sniedzēja piešķirto prefiksu blakus tam, ko apkalpo mājas maršrutētājs, un salīdziniet tos kā virknes. Precīza sakritība ir skaidrs gadījums, un plašāks pakalpojumu sniedzēja baseins, kas satur mājas apakštīklu, neizdodas tāpat, tikai to ir vieglāk nepamanīt. Divi prefiksi, kas tikai izskatās līdzīgi, nav sadursme, tāpēc pierakstiet abus, pirms kaut ko maināt.

Izlasiet baseinu, ko klients faktiski saņēma

Lasiet to, ko klients saņēma, nevis pakalpojumu sniedzēja mārketinga lapu. Palieliniet OpenVPN klienta žurnāla detalizāciju, un servera virzītie maršruti tajā parādīsies, atklājot tuneļa prefiksus; citur baseins parādās savienojuma informācijā vai pašā adapterī. Palūdziet pakalpojumu sniedzējam pilnu izmantoto privāto diapazonu sarakstu, jo viens /24 šodien var būt divi rīt. Izvairīties no ierastajiem RFC 1918 blokiem nav tas pats, kas izvairīties no jums faktiski piešķirtā sadalījuma.

Baseins var arī sarukt vai pārvietoties starp reģioniem, tāpēc sarakstam vajag datumu un atbildīgo. Jebkuru pakalpojumu sniedzēja atbildi, kas vecāka par jūsu pēdējo plāna izmaiņu, uzskatiet par minējumu, nevis faktu. Jautājiet vēlreiz, pirms apņematies diapazonu, un glabājiet atbildi kopā ar tīkla piezīmēm, lai nākamais cilvēks manto pierādījumu.

Pārnumurēšana ir labojums, ko jūs varat veikt

Ja VPN serveris nav jūsu, lai to mainītu, mājas LAN pārvietošana ir vienīgais pieejamais labojums, un tā ir ierastā situācija ar komerciālu pakalpojumu sniedzēju. Izvēlieties diapazonu ārpus pakalpojumu sniedzēja baseina un ārpus diapazoniem, kas varētu būt vajadzīgi vēlāk, un pārbaudiet to pret katru citu vietu, kuru sasniedzat pa tuneli. Gaidiet īsu pārtraukumu un garāku aizmirsto ierīču asti: ierīce, kurai vēl ir vecā adrese, izskatās strādājoša, līdz tai vajag vārteju.

1. Vispirms inventārs: paša maršrutētāja adrese, DHCP apgabals, rezervācijas, portu pāradresācijas un katra ierīce, kuras adrese ievadīta ar roku.
2. Pēc tam kopā nomainiet maršrutētāja LAN prefiksu un DHCP apgabalu apkopes logā, un atjaunojiet vadu nomu pirms bezvadu.
3. Tad izlabojiet statiskās adreses: printeri, tīkla krātuve, viss ar cieti ierakstītu vārteju.
4. Visbeidzot, no jauna pievienojiet VPN klientu un apstipriniet, ka tuneļa adrese vairs nesaduras ar LAN.

Izstaigājiet adreses šajā kārtībā, nevis visas uzreiz, un atstājiet veco diapazonu dokumentētu kādu laiku, lai novecojusi ierīce būtu atpazīstama, nevis noslēpumaina. Ierīce, kas nekad neatjaunojas, paziņo par sevi, neaizsniedzot vārteju, un tas ir daudz labāks pavediens nekā zvans uz atbalsta dienestu. Ja maršrutētājs izsniedz nomas, kas garākas par diennakti, saīsiniet tās uz loga laiku.

Ko aizstājvārds var un ko nevar

Kad serveris ir jūsu, adrešu tulkošana klientā var atklāt attālo prefiksu brīvā vietējā diapazonā, tā ka tas pats resursdators atbild uz otro adresi. Kopienas OpenVPN to dara ar client-nat, un šī direktīva ir raksturīga tieši tam klientam, tās nav komerciālajos un mobilajos klientos, ar kuriem to parasti salīdzina. Izkārtojumam vajag maršrutu, kas atbilst tulkojumam, brīvu diapazonu aizstājvārdam un serveri, kas gatavs atbildēt uz klienta netulkoto adresi. Nekas no tā nepalīdz, kad klients pieder pārvaldītam pakalpojumu sniedzējam, kuru jūs nevarat konfigurēt.

Kad izmaiņa stājas spēkā, sasniedziet vietējo un attālo resursdatoru vispirms pēc adreses, tad pēc nosaukuma, atzīmējot maršrutu, kuru sistēma izvēlas katru reizi. Nosaukums vēl var atrisināties vecajā diapazonā, tāpēc adreses un nosaukumi ir pelnījuši atsevišķas pārbaudes. Restartējiet vienu klientu un vienu servera puses ierīci, ja kāda no tām palika ieslēgta visā izmaiņā, jo kešatmiņā saglabātie kaimiņu ieraksti dzīvo ilgāk par labojumu.

Pierakstiet prefiksus, pie kuriem apstājāties, tur, kur cilvēki tiešām skatās: tīkla piezīmēs, paša maršrutētāja komentāru laukā, iepazīšanās lapā. Kāds atkal izvēlēsies 192.168.1.0/24, un sadursme atgriezīsies kopā ar viņu.