Seewwi kunflitt fl-indirizz IP lokali wara li tqabbad ma' VPN

Kull waħda minn dawn ir-rapporti tinstema' l-istess u tfisser xi ħaġa differenti: il-laptop jilmenta dwar kunflitt fl-indirizz, imma biss kultant, u l-aktar waqt li l-VPN tkun attiva. Tliet ħsarat separati jipproduċu dak il-messaġġ: duplikat ġenwin fuq il-link tiegħek stess, sovrappożizzjoni fejn in-netwerk remot juża l-firxa tal-LAN tiegħek u xejn mhu duplikat, u tunnel li ta indirizz wieħed lil żewġ peers. It-tiswija tvarja f'kull każ, u dik ħażina ċċaqlaq is-sintomu minflok ma tneħħih. Għalhekk iddeċiedi liema każ għandek qabel ma tbiddel xejn.

Tliet ħsarat li jaqsmu messaġġ ta' żball wieħed

Duplikat ifisser li żewġ magni fuq l-istess segment it-tnejn jitolbu indirizz wieħed. Il-kernel jinduna għax it-tweġiba għall-probe tiegħu stess tiġi minn MAC differenti, u x'jiġri wara jiddependi mill-istack: Linux jirreġistrah, Windows jiddiżattiva l-interface u jikteb entrata fis-System log, u klijent DHCP jista' jirrifjuta l-offerta.

Sovrappożizzjoni ma tiddublikax l-ebda indirizz. Il-LAN tiegħek huwa 192.168.1.0/24, in-netwerk tal-uffiċċju huwa wkoll 192.168.1.0/24, u issa r-rotta lejn l-uffiċċju turi lejn indirizzi li huma wkoll il-printer u n-NAS tiegħek. Xejn mhu f'kunflitt fis-sens tal-ARP; il-pakkett sempliċement imur lejn il-mezz ħażin f'wieħed miż-żewġ netwerks.

Kolliżjoni fil-pool hija tort tat-tunnel innifsu. Żewġ peers ġew konfigurati b' jew assenjati l-istess indirizz tat-tunnel, allura s-server ma jistax jiddistingwihom meta jibgħat it-traffiku lura. Wieħed miż-żewġ klijenti jara handshake li taħdem u ebda data, li tidher bħala problema ta' routing u mhijiex.

Test 1: id-duplikat jinsab fuq is-segment tiegħek stess?

Ibda billi telenka dak li l-magna tiegħek tassew għandha, mhux dak li tiftakar li kkonfigurajt. Indirizz tal-adapter tal-VPN huwa privat għat-tunnel u mhuwiex l-istess bħall-indirizz li jaraw il-websites, allura ħruġ pubbliku kondiviż mhuwiex kunflitt.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Fuq Windows l-istess informazzjoni tiġi minn ipconfig /all u Get-NetIPAddress, bil-cache tal-ġirien f'arp -a. Jekk l-indirizz ikkontestat jinsab fuq l-adapter fiżiku u l-ilment jidher mingħajr il-VPN taħdem, il-VPN hija osservatriċi u għandek tieqaf issibha l-ħsara.

Biex tipprova duplikat minflok ma taqbad u tistma, ipprova l-indirizz minn mezz li ma jippossedihx. arping -D tibgħat il-probe b'indirizz sors ta' żero, allura tweġiba minn MAC mhux mistenni tipprova li host ieħor diġà jwieġeb għal dak l-indirizz.

sudo arping -D -I eth0 -c 3 192.168.1.50

Imbagħad sib is-sid permezz tal-amministratur tan-netwerk minflok ma tagħżel indirizz differenti waħdek. Assenjamenti statiċi li jgħixu biss fin-noti ta' xi ħadd, printers b'indirizz fiss, u riżervi fuq is-server DHCP huma l-ħatja tas-soltu, u mezz li jkun mitfi xorta jippossedi l-lease tiegħu.

Test 2: iż-żewġ netwerks jissovrapponu?

Qabbel il-prefix li t-tunnel jagħtik mal-prefixes fuq l-interfaces tiegħek. Jekk il-firxa remota hija ugwali għall-LAN tiegħek jew tinkludiha, il-ħsara hija sovrappożizzjoni, u s-sinjal huwa li host li jintlaħaq mingħajr il-VPN jidlam, jew li l-printer tiegħek stess iwieġeb fuq indirizz tal-uffiċċju.

ip route get 192.168.1.10
ip -br addr show

It-tfittxija tar-rotta tgħidlek liema interface l-kernel juża, u dik it-tweġiba hija d-dijanjosi kollha. Jekk tgħid it-tunnel għal indirizz li jappartjeni lill-printer lokali tiegħek, għandek sovrappożizzjoni u ebda tiġdid tal-lease ma jbiddilha.

Hemm tliet toroq onesti 'l barra, u ġeneralment waħda biss hija disponibbli għalik. In-naħa remota tista' tmaskera t-traffiku għas-subnet li jissovrapponi, allura l-klijent tiegħek jara biss l-indirizz tat-tunnel tas-server. It-tunnel jista' jġorr prefix remot idjaq li ma jaħbatx mal-LAN tiegħek. Jew il-klijent jista' jirrotta bl-indirizz sors b'regoli ta' politika, li jaħdem imma huwa fraġli u diffiċli li tgħaddih lil kollega.

L-għadd mill-ġdid tan-netwerk tal-uffiċċju rari jkun f'idejk. L-għadd mill-ġdid tal-LAN tiegħek stess biex tevita l-kolliżjoni huwa bidla akbar milli jistennew ħafna nies ladarba jidħlu printers, kameras u hosts statiċi.

Test 3: it-tunnel ta indirizz wieħed darbtejn?

WireGuard m'għandux pool ta' indirizzi. Kull peer jiġi identifikat bil-key pubblika tiegħu u bil-prefixes f'AllowedIPs, allura duplikat jidher meta l-istess indirizz tat-tunnel jinkiteb f'żewġ entrati peer jew l-istess par ta' keys jiġi installat fuq żewġ magni.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Il-counters tat-traffiku huma l-kolonna utli hawn: peer li juri handshake reċenti imma ebda trasferiment jew huwa indirizzat ħażin jew qed jiġi mgħotti minn entrata oħra li titlob l-istess prefix. Qiegħed prefix fuq peer wieħed biss u agħti lil kull mezz il-par ta' keys tiegħu.

OpenVPN għandha pool, u l-kolliżjoni komuni hija profil tal-klijent kondiviż b'linja --ifconfig fissa kopjata fuq it-tieni magna. Iż-żewġ klijenti mbagħad jitolbu l-istess indirizz tat-tunnel, u s-server jaċċetta s-sessjoni li jipproċessa l-ewwel. L-eżawriment tal-pool b'--duplicate-cn jipproduċi riżultat simili meta diversi sessjonijiet ta' ċertifikat wieħed jikkompetu għal entrata waħda.

Aqra l-log tas-server minflok il-log tal-klijent għal dan. Is-server jaf liema sessjoni talbet liema indirizz, u indirizzi ripetuti hemmhekk jidhru bħala twissijiet li qatt ma jaslu għand il-klijent.

Sewwi fl-għajn, imbagħad erġa' ċċekkja ż-żewġ mezzi

L-ordni hija importanti. Sewwi l-ewwel duplikat fil-LAN, għax klijent li ma jistax iżomm indirizz ma jistax iżomm tunnel lanqas. Imbagħad sewwi l-provisioning fuq in-naħa tal-VPN, għax bidla fuq il-klijent għal assenjament tal-pool titħassar fil-konnessjoni li jmiss. Fl-aħħar, ittratta l-identitajiet duplikati: pari ta' keys separati fuq WireGuard, ċertifikati separati jew għall-inqas profili separati fuq OpenVPN.

Fuq il-klijent il-parti mekkanika hija qasira. Illibera u ġġedded lease DHCP, jew itlob li l-indirizz jinbidel fuq is-server għal riżerva. Tiktibx indirizz bl-addoċċ li jidher ħieles.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Imbagħad ivverifika miż-żewġt itruf, mhux minn wieħed. Ikkonferma l-gateway, imbagħad is-servizz li tassew għandek bżonn, imbagħad erġa' qabbad u rrepeti. Jekk kienu involuti żewġ mezzi, iċċekkjahom it-tnejn: li ċċaqlaq indirizz wieħed iħalli lill-ieħor b'entrati tal-ġirien skaduti jew lease qadima li terġa' tidher aktar tard.

X'ma tagħmilx fit-triq 'il quddiem

Tiskitx is-sintomu. Id-duplicate address detection hija dik li żżommok milli tieħu indirizz li diġà jintuża, u li tiddiżattivaha tibdel kunflitt viżibbli f'telf intermittenti ta' pakketti li huwa ħafna aktar diffiċli li jiġi ttraċċat. L-istess jgħodd għall-aċċettazzjoni ta' twissija ta' ċertifikat minn host mhux mistenni: dak mhuwiex problema ta' indirizz affattu, u li tikklikkja minnha jaħbi ħsara differenti.

Tibdilx l-indirizzar ta' netwerk amministrat waħdek lanqas. Irreġistra l-issettjar oriġinali, staqsi lis-sid meta l-indirizz jiġi assenjat ċentralment, u żomm il-bidla żgħira biżżejjed biex treġġagħha lura. Ir-regoli tal-RFC 5227 għad-detezzjoni ta' kunflitti fl-indirizzi jispjegaw x'jipprova probe korrett, li tajjeb li tkun taf qabel ma tgħid li kunflitt huwa veru.