VPN-д холбогдсоны дараа локал IP хаягийн зөрчил засах

Эдгээр тайлан бүр ижил сонсогддог ч өөр утгатай: зөөврийн компьютер хаягийн зөрчлийг гомдоллодог боловч зөвхөн заримдаа, ихэвчлэн VPN ажиллаж байх үед. Энэ мессежийг гурван өөр гэмтэл үүсгэдэг: өөрийн холболт дээрх жинхэнэ давхардал, алсын сүлжээ таны LAN мужийг ашиглаж юу ч давхардаагүй давхцал, нэг хаягийг хоёр түншид өгсөн туннель. Засвар тохиолдол бүрт өөр бөгөөд буруу засвар шинж тэмдгийг арилгахын оронд нүүлгэдэг. Тиймээс ямар нэгэн зүйл засахын өмнө аль тохиолдол болохоо шийдээрэй.

Нэг алдааны мессежтэй гурван гэмтэл

Давхардал гэдэг нь нэг сегмент дэх хоёр машин нэг хаягийг шаардаж байна. Цөм үүнийг анзаардаг, учир нь өөрийн шалгалтад ирэх хариу өөр MAC-аас ирдэг, дараа нь юу болох нь стекээс хамаарна: Linux бүртгэдэг, Windows интерфэйсийг идэвхгүй болгож системийн бүртгэлд бичдэг, DHCP клиент саналыг татгалзаж болно.

Давхцал ямар ч хаягийг давхардуулдаггүй. Таны LAN 192.168.1.0/24, оффисын сүлжээ мөн 192.168.1.0/24, одоо оффис руу чиглэсэн зам таны принтер болон NAS ч болох хаягуудыг заана. ARP утгаар юу ч зөрчилдөөгүй; пакет хоёр сүлжээний нэгэн дээр буруу төхөөрөмж рүү явдаг.

Сан дахь мөргөлдөөн бол туннелийн өөрийн алдаа. Хоёр түнш ижил туннелийн хаягтай тохируулагдсан эсвэл түүнийг авсан тул сервер буцах урсгал илгээхдээ тэднийг ялгаж чадахгүй. Хоёр клиентийн нэг нь ажиллаж байгаа гар барилт хардаг ч өгөгдөл хардаггүй, энэ нь маршрутын асуудал мэт уншигддаг боловч тийм биш.

1-р шалгалт: давхардал өөрийн сегментэд байна уу?

Машинд тань үнэхээр юу байгааг жагсааж эхэл, тохируулсан гэж санаж байгаа зүйлээ биш. VPN адаптерийн хаяг туннельд хувийн бөгөөд вэбсайтуудын хардаг хаягтай ижил биш, тиймээс хуваалцсан нийтийн гаралт зөрчил биш.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Windows-д ижил мэдээлэл ipconfig /all ба Get-NetIPAddress-аас ирдэг, хөршийн кэш arp -a дотор байна. Хэрэв маргаантай хаяг физик адаптер дээр байгаа бөгөөд VPN ажиллахгүйгээр гомдол гарч байвал VPN бол ажиглагч бөгөөд түүнийг оношлохоо болих хэрэгтэй.

Таамаглахын оронд давхардлыг батлахын тулд хаягийг эзэмшдэггүй төхөөрөмжөөс шалга. arping -D шалгалтыг тэг эх хаягтай илгээдэг тул санамсаргүй MAC-аас ирсэн хариу өөр хост аль хэдийн тэр хаягт хариулж байгааг батална.

sudo arping -D -I eth0 -c 3 192.168.1.50

Дараа нь өөрөө өөр хаяг сонгохын оронд сүлжээний админстратороор дамжуулан эзэмшигчийг ол. Зөвхөн хэн нэгний тэмдэглэлд амьдардаг статик хуваарилалт, тогтмол хаягтай принтерүүд, DHCP сервер дээрх захиалгууд нь ердийн буруутан бөгөөд унтарсан төхөөрөмж өөрийн түрээсийг эзэмсээр байна.

2-р шалгалт: хоёр сүлжээ давхцаж байна уу?

Туннелийн өгч байгаа префиксийг өөрийн интерфэйсүүдийн префикстэй харьцуул. Хэрэв алсын муж таны LAN-тай тэнцүү эсвэл түүнийг агуулж байвал гэмтэл нь давхцал бөгөөд сэжүүр нь VPN-гүйгээр хүрч байсан хост алга болох, эсвэл өөрийн принтер оффисын хаягт хариулах явдал юм.

ip route get 192.168.1.10
ip -br addr show

Маршрутын хайлт цөм аль интерфэйсийг ашиглахыг хэлдэг бөгөөд тэр хариу нь бүх онош юм. Хэрэв локал принтерт хамаарах хаягт туннель гэж хэлбэл, давхцал байгаа бөгөөд ямар ч түрээсийн шинэчлэл үүнийг өөрчлөхгүй.

Гарах гурван шударга зам байдаг бөгөөд ихэвчлэн зөвхөн нэг нь танд боломжтой. Алсын тал давхцаж буй дэд сүлжээний урсгалыг маскалж чадна, тиймээс таны клиент зөвхөн серверийн туннелийн хаягийг харна. Туннель таны LAN-тай мөргөлдөхгүй нарийн алсын префикс зөөж чадна. Эсвэл клиент бодлогын дүрмээр эх хаягаар чиглүүлж болно, энэ ажилладаг боловч эмзэг бөгөөд хамт олонд шилжүүлэхэд хэцүү.

Оффисын сүлжээг дахин дугаарлах нь ховор таны шийдвэр. Мөргөлдөөнөөс зайлсхийхэд өөрийн LAN-ыг дахин дугаарлах нь принтер, камер, статик хост оролцсон үед ихэнх хүмүүсийн хүлээхээс том өөрчлөлт юм.

3-р шалгалт: туннель нэг хаягийг хоёр удаа өгсөн үү?

WireGuard-д хаягийн сан байхгүй. Түнш бүр өөрийн нийтийн түлхүүр болон AllowedIPs дахь префиксээр тодорхойлогдоно, тиймээс нэг туннелийн хаягийг хоёр түншийн бичлэгт бичих эсвэл ижил түлхүүрийн хосыг хоёр машин дээр суулгахад давхардал гарна.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Урсгалын тоолуур энд ашигтай багана: сүүлийн гар барилт харуулж байгаа ч дамжуулалт харуулахгүй байгаа түнш нь буруу хаяглагдсан эсвэл ижил префиксийг шаардаж буй өөр бичлэгээр сүүдэрлэгдсэн байна. Префиксийг яг нэг түнш дээр тавьж, төхөөрөмж бүрт өөрийн түлхүүрийн хосыг өг.

OpenVPN сантай бөгөөд нийтлэг мөргөлдөөн нь хоёр дахь машин руу хуулагдсан тогтмол --ifconfig мөртэй хуваалцсан клиентийн профайл юм. Тэгвэл хоёр клиент ижил туннелийн хаяг шаардаж, сервер эхэлж боловсруулсан сессийг хүлээн авна. --duplicate-cn-той сангийн хомсдол нэг гэрчилгээний хэд хэдэн сесс нэг бичлэгийн төлөө өрсөлдөхөд ижил төстэй үр дүн өгнө.

Үүний тулд клиентийн бүртгэл биш серверийн бүртгэлийг унш. Сервер аль сесс аль хаягийг авсныг мэддэг бөгөөд тэнд давтагдсан хаягууд клиентэд хэзээ ч хүрдэггүй анхааруулга хэлбэрээр харагдана.

Эх сурвалжид засаад, дараа нь хоёр төхөөрөмжийг дахин шалга

Дараалал чухал. Эхлээд LAN-ын давхардлыг зас, учир нь хаяг барих чадваргүй клиент туннель ч барихгүй. Дараа нь VPN талд хангамжийг зас, учир нь сангийн хуваарилалтад клиентийн талын өөрчлөлт дараагийн холболтод цуцлагдана. Эцэст нь давхардсан таних тэмдгийг шийд: WireGuard-д тусдаа түлхүүрийн хосууд, OpenVPN-д тусдаа гэрчилгээ эсвэл ядаж тусдаа профайлууд.

Клиент дээр механик хэсэг богино. DHCP түрээсийг чөлөөлж шинэчил, эсвэл захиалгад зориулж сервер дээр хаягийг өөрчлөхийг хүс. Чөлөөтэй харагдах санамсаргүй хаяг бичих хэрэггүй.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Дараа нь нэг талаас биш хоёр талаас шалга. Гарцыг, дараа нь үнэхээр хэрэгтэй үйлчилгээг баталгаажуул, дараа нь дахин холбогдоод давт. Хоёр төхөөрөмж оролцсон бол хоёуланг нь шалга: нэг хаягийг зөөх нь нөгөөг хуучирсан хөршийн бичлэг эсвэл дараа дахин гарч ирэх хуучин түрээстэй үлдээдэг.

Замд юу хийх хэрэггүй вэ

Шинж тэмдгийг дуугүй болгох хэрэггүй. Давхардсан хаяг илрүүлэх нь аль хэдийн ашиглагдаж буй хаягийг авахаас таныг сэргийлдэг зүйл бөгөөд түүнийг унтраах нь харагдах зөрчлийг илрүүлэхэд хамаагүй хэцүү үе үеийн пакет алдагдал болгоно. Хүлээгдэхгүй хостын гэрчилгээний анхааруулгыг хүлээн авах ч мөн адил: энэ нь огт хаягийн асуудал биш бөгөөд түүнийг алгасах нь өөр гэмтэл нуудаг.

Удирдлагын сүлжээний хаяглалтыг ч өөрөө бүү өөрчил. Анхны тохиргоог бич, хаяг төвлөрсөн байдлаар олгогдож байвал эзэмшигчээс асуу, өөрчлөлтийг буцаах боломжтой жижиг байлга. RFC 5227 хаягийн зөрчил илрүүлэх дүрэм зөв шалгалт юуг баталж байгааг тайлбарладаг, зөрчлийг жинхэнэ гэж нэрлэхийн өмнө үүнийг мэдэх нь зүйтэй.