Subnet rumah dan pejabat berlanggar melalui VPN: tiga pembaikan

Klien anda melaporkan bersambung dan terowong aktif, tetapi pelayan fail pejabat menjawab dari suatu tempat di dapur. Kedua-dua hujung biasanya menggunakan 192.168.1.0/24 kerana itulah yang dibekalkan oleh penghala pengguna, dan tiada laluan menyelesaikan kekaburan yang wujud di kedua-dua belah pihak serentak. Kegagalan boleh kelihatan seperti terowong rosak atau pelayan rosak, dan ia bukan kedua-duanya. Kenal pasti perlanggaran mana yang anda ada sebelum menyentuh sebarang konfigurasi, kerana jenisnya mempunyai pembaikan berbeza dan hanya satu daripadanya berkaitan penghalaan.

Laluan bersambung mengalahkan apa sahaja yang anda tolak

Hos menganggap sesuatu alamat sebagai setempat apabila laluan bersambung meliputinya. Pada komputer riba yang antara mukanya sendiri ialah 192.168.1.20/24, alamat 192.168.1.50 ialah jiran, jadi paket keluar melalui antara muka rumah dan tidak pernah sampai ke terowong.

Menolak laluan untuk awalan pejabat tidak mengubah apa-apa, kerana awalan itu sudah wujud sebagai rangkaian bersambung terus. Sistem pengendalian terus menjawab dari entri bersambung, dan entri itu dirujuk sebelum terowong ditanya apa-apa. Anda boleh melihat susunannya sendiri: ip route get 192.168.1.50 menamakan antara muka rumah, bukan terowong. Hujung jauh turut mencerminkan masalah itu, kerana penghala pejabat juga percaya julat rumah komputer riba itu miliknya.

Perlanggaran senyap di luar yang jelas

Bukan setiap kes ialah keputusan penghalaan. Pajakan DHCP rumah boleh mendarat tepat pada alamat yang dipegang pelayan pejabat, dan kemudian klien bercakap dengan dirinya sendiri sementara terowong tidak membawa apa-apa.

Nama berlanggar dengan cara yang sama. Dua mesin yang berkongsi nama komputer merosakkan alat berasaskan nama walaupun setiap paket dihalakan dengan betul, dan entri hosts yang menunjuk ke alamat pejabat gagal apabila mesin setempat sudah memiliki nama itu, kerana penyelesaian setempat menang. Namakan semula mesin setempat atau gunakan nama yang layak sepenuhnya daripada menyunting hosts.

Hypervisor menambah kes ketiga. Penyesuai khusus hos biasanya terletak pada 192.168.56.0/24, yang boleh berlanggar dengan julat korporat yang tiada siapa ingat sedang digunakan.

Nomborkan semula bahagian yang anda miliki

Penomboran semula menghapuskan kekaburan daripada mengelakkannya, dan di pejabat rumah itulah bahagian yang anda miliki. Pilih sesuatu yang tidak akan muncul di tempat lain, dan senaraikan setiap peranti yang memegang alamat statik sebelum menyentuh penghala.

10.0.0.0/8 dan 172.16.0.0/12 ialah calon biasa. Lalai firmware, 192.168.0.0/24 dan 192.168.1.0/24, ialah perkara yang patut ditinggalkan.

Menomborkan semula pejabat jarang menjadi pilihan, dan penomboran semula rumah mengambil masa satu malam untuk menyambung semula pencetak dan palam. Ia masih lebih murah daripada jalan pintas yang diulang pada setiap komputer riba di syarikat.

Terbitkan julat yang tidak boleh berlanggar

Di mana julat pejabat mesti kekal, jadikan bahagian terowong lebih sukar berlanggar. Memotong kumpulan klien sebagai awalan kecil daripada meminjam /24 penuh memberikan laluan khusus, bukan yang luas.

Jika gateway boleh menterjemah, terbitkan subnet pejabat di bawah julat alias, supaya destinasi klien tidak boleh jatuh dalam LAN-nya sendiri. Reka bentuk tapak-ke-tapak boleh memberi setiap tapak aliasnya sendiri, yang memastikan dua pelanggan dengan penomboran serupa kekal boleh dibezakan.

Terjemahan tidak percuma. Ia mesti berjalan dalam kedua-dua arah dan meliputi alamat sumber dan destinasi, dan aplikasi yang menulis alamat ke dalam muatan mereka sendiri akan mengabaikannya sepenuhnya. Itulah sebabnya ia menjadi jawapan apabila penomboran semula mustahil dan bilangan klien kecil.

Pilih mengikut apa yang boleh anda ubah

Satu atau dua komputer riba di rumah: nomborkan semula LAN rumah. Pejabat terurus yang tidak boleh menomborkan semula: terjemahan alias di gateway. Penomboran berulang merentas tapak pelanggan: alias setiap tapak, dirancang sekali. Apabila hanya alat berasaskan nama gagal, anggap ia perlanggaran nama dan bukan kerosakan penghalaan.

Apa pun yang anda pilih, uji terhadap alamat yang hanya wujud di hujung jauh. Ping penghala anda sendiri tidak memberitahu apa-apa tentang rangkaian mana yang menjawab.