Fiks en lokal IP-adressekonflikt etter at du har koblet til en VPN

Alle disse rapportene høres like ut og betyr noe forskjellig: laptopen klager på en adressekonflikt, men bare av og til, og mest mens VPN-en er oppe. Tre separate feil gir den meldingen: en ekte duplikat på din egen lenke, en overlapp der fjernnettverket bruker LAN-området ditt og ingenting er duplisert i det hele tatt, og en tunnel som ga én adresse til to peers. Reparasjonen er forskjellig i hvert tilfelle, og den gale flytter symptomet i stedet for å fjerne det. Bestem derfor hvilket tilfelle du har før du endrer noe.

Tre feil som deler én feilmelding

En duplikat betyr at to maskiner på samme segment begge gjør krav på én adresse. Kjernen merker det fordi svaret på dens egen sonde kommer fra en annen MAC, og hva som skjer videre avhenger av stacken: Linux logger det, Windows deaktiverer grensesnittet og skriver en oppføring i systemloggen, og en DHCP-klient kan avvise tilbudet.

En overlapp dupliserer ingen adresse i det hele tatt. LAN-et ditt er 192.168.1.0/24, kontornettverket er også 192.168.1.0/24, og nå peker ruten til kontoret på adresser som også er skriveren og NAS-en din. Ingenting er i konflikt i ARP-forstand; pakken går rett og slett til feil enhet i ett av de to nettverkene.

En poolkollisjon er tunnelens egen feil. To peers ble konfigurert med eller tildelt samme tunneladresse, så serveren kan ikke skille dem når den sender returtrafikk. Én av de to klientene ser en fungerende handshake og ingen data, noe som leses som et ruteproblem og ikke er det.

Test 1: sitter duplikatet på ditt eget segment?

Begynn med å liste opp hva maskinen din faktisk har, ikke hva du husker at du konfigurerte. En VPN-adapters adresse er privat for tunnelen og er ikke den samme som adressen nettsteder ser, så en delt offentlig utgang er ikke en konflikt.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

På Windows kommer den samme informasjonen fra ipconfig /all og Get-NetIPAddress, med nabo-cachen i arp -a. Hvis den omstridte adressen ligger på den fysiske adapteren og klagen dukker opp uten at VPN-en kjører, er VPN-en en tilskuer, og du bør slutte å feilsøke den.

For å bevise en duplikat i stedet for å gjette, sonder adressen fra en enhet som ikke eier den. arping -D sender sonden med en nullbasert kildeadresse, så et svar fra en uventet MAC beviser at en annen vert allerede svarer for adressen.

sudo arping -D -I eth0 -c 3 192.168.1.50

Finn deretter eieren via nettverksadministratoren i stedet for å velge en annen adresse selv. Statiske tildelinger som bare finnes i noens notater, skrivere med fast adresse og reservasjoner på DHCP-serveren er de vanlige synderne, og en enhet som er slått av eier fortsatt lease-avtalen sin.

Test 2: overlapper de to nettverkene?

Sammenlign prefikset tunnelen gir deg med prefiksene på dine egne grensesnitt. Hvis fjernområdet er likt LAN-et ditt eller inneholder det, er feilen overlapp, og det avslørende tegnet er at en vert som nås uten VPN-en blir mørk, eller at din egen skriver svarer på en kontoradresse.

ip route get 192.168.1.10
ip -br addr show

Ruteoppslaget forteller deg hvilket grensesnitt kjernen ville bruke, og det svaret er hele diagnosen. Hvis det sier tunnelen for en adresse som tilhører den lokale skriveren din, har du en overlapp, og uansett hvor mange ganger du fornyer lease-avtalen, endrer det ingenting.

Det finnes tre ærlige veier ut, og bare én er vanligvis tilgjengelig for deg. Fjernsiden kan maskere trafikk for det overlappende subnettet, slik at klienten din bare ser serverens tunneladresse. Tunnelen kan bære et smalere fjernprefiks som ikke kolliderer med LAN-et ditt. Eller klienten kan rute etter kildeadresse med policyregler, noe som fungerer, men er skjørt og vanskelig å overlate til en kollega.

Å nummerere kontornettverket på nytt er sjelden din avgjørelse. Å nummerere ditt eget LAN på nytt for å unngå kollisjonen er en større endring enn de fleste forventer når skrivere, kameraer og statiske verter er involvert.

Test 3: delte tunnelen ut én adresse to ganger?

WireGuard har ingen adressepool. Hver peer identifiseres av sin offentlige nøkkel og av prefiksene i AllowedIPs, så en duplikat oppstår når samme tunneladresse skrives inn i to peer-oppføringer eller samme nøkkelpar installeres på to maskiner.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Trafikktellere er den nyttige kolonnen her: en peer som viser en nylig handshake men ingen overføring er enten feiladressert eller overskygget av en annen oppføring som gjør krav på samme prefiks. Sett et prefiks på nøyaktig én peer, og gi hver enhet sitt eget nøkkelpar.

OpenVPN har en pool, og den vanlige kollisjonen er en delt klientprofil med en fast --ifconfig-linje kopiert til en andre maskin. Begge klientene ber da om samme tunneladresse, og serveren godtar den økten den behandler først. Uttømming av poolen med --duplicate-cn gir et lignende resultat når flere økter av ett sertifikat konkurrerer om én oppføring.

Les serverloggen i stedet for klientloggen for dette. Serveren vet hvilken økt som gjorde krav på hvilken adresse, og gjentatte adresser vises der som advarsler som aldri når klienten.

Reparer ved kilden, og kontroller deretter begge enhetene

Rekkefølgen betyr noe. Fiks en LAN-duplikat først, fordi en klient som ikke kan beholde en adresse, heller ikke kan holde på en tunnel. Fiks deretter provisjoneringen på VPN-siden, fordi en klientendring av en pooltildeling angres ved neste tilkobling. Til slutt tar du for deg dupliserte identiteter: separate nøkkelpar på WireGuard, separate sertifikater eller i det minste separate profiler på OpenVPN.

På klienten er den mekaniske delen kort. Frigjør og forny en DHCP-lease, eller be om at adressen endres på serveren for en reservasjon. Ikke skriv inn en tilfeldig adresse som ser ledig ut.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Kontroller deretter fra begge ender, ikke én. Bekreft gatewayen, deretter tjenesten du faktisk trenger, og koble så til på nytt og gjenta. Hvis to enheter var involvert, kontroller begge: å flytte én adresse etterlater den andre med utdaterte nabo-oppføringer eller en gammel lease som dukker opp igjen senere.

Hva du ikke bør gjøre på veien

Ikke dyss ned symptomet. Duplicate address detection er det som hindrer deg i å ta en adresse som allerede er i bruk, og å slå det av gjør en synlig konflikt om til periodisk pakketap som er mye vanskeligere å spore. Det samme gjelder å godta en sertifikatadvarsel fra en uventet vert: det er ikke et adresseproblem i det hele tatt, og å klikke seg gjennom den skjuler en annen feil.

Ikke endre adresseringen til et administrert nettverk på egen hånd heller. Noter den opprinnelige innstillingen, spør eieren når adressen tildeles sentralt, og hold endringen liten nok til å reversere. RFC 5227-reglene for deteksjon av adressekonflikter forklarer hva en korrekt sonde beviser, noe som er verdt å vite før du kaller en konflikt ekte.