Hjemme- og kontornett kolliderer over VPN: tre løsninger

Klienten din rapporterer tilkoblet og tunnelen er oppe, men filserveren på kontoret svarer fra et sted på kjøkkenet. Begge ender bruker vanligvis 192.168.1.0/24 fordi det er det forbrukerrutere leveres med, og ingen rute løser en tvetydighet som finnes på begge sider samtidig. Feilen kan se ut som en ødelagt tunnel eller en ødelagt server, og den er ingen av delene. Finn ut hvilken kollisjon du har før du rører en konfigurasjon, fordi typene har forskjellige løsninger og bare én av dem handler om ruting.

En tilkoblet rute slår alt du dytter

En vert kaller en adresse lokal når en tilkoblet rute dekker den. På en bærbar PC der eget grensesnitt er 192.168.1.20/24, er adressen 192.168.1.50 en nabo, så pakken forlater gjennom hjemmegrensesnittet og når aldri tunnelen.

Å dytte en rute for kontorprefikset endrer ingenting, fordi prefikset allerede finnes som et direkte tilkoblet nettverk. Operativsystemet fortsetter å svare fra den tilkoblede oppføringen, og den konsulteres før tunnelen blir spurt om noe. Du kan se rekkefølgen selv: ip route get 192.168.1.50 navngir hjemmegrensesnittet, ikke tunnelen. Den andre enden speiler problemet, fordi kontoruteren også tror at den bærbares hjemmeområde tilhører den.

Stille kollisjoner utenfor den åpenbare

Ikke hvert tilfelle er en ruteavgjørelse. En hjemme-DHCP-lease kan havne nøyaktig på adressen kontorserveren har, og da snakker klienten med seg selv mens tunnelen ikke bærer noe.

Navn kolliderer på samme måte. To maskiner som deler et datamaskinnavn ødelegger navnebaserte verktøy selv når hver pakke rutes riktig, og en hosts-oppføring som peker på kontoradressen feiler når den lokale maskinen allerede eier navnet, fordi lokal oppløsning vinner. Gi den lokale maskinen nytt navn eller bruk det fullt kvalifiserte navnet i stedet for å redigere hosts.

Hypervisorer legger til et tredje tilfelle. En kun-vert-adapter sitter vanligvis på 192.168.56.0/24, noe som kan kollidere med et bedriftsområde ingen husker er i bruk.

Nummer den siden du eier på nytt

Omnummerering fjerner tvetydigheten i stedet for å unngå den, og på et hjemmekontor er det den siden du eier. Velg noe som ikke vises andre steder, og list opp hver enhet med en statisk adresse før du rører ruteren.

10.0.0.0/8 og 172.16.0.0/12 er de vanlige kandidatene. Fastvarestyringens standardverdier, 192.168.0.0/24 og 192.168.1.0/24, er nettopp det du bør la være.

Å nummerere kontoret på nytt er sjelden aktuelt, og en hjemmeomnummerering koster en kveld med å koble til skrivere og kontakter på nytt. Det er fortsatt billigere enn en omvei som gjentas på hver bærbar PC i selskapet.

Publiser et område som ikke kan kollidere

Der kontorområdet må bli, gjør tunnelsiden vanskeligere å kollidere med. Å skjære ut klientpoolen som et lite prefiks i stedet for å låne et helt /24 gir en spesifikk rute i stedet for en bred.

Hvis gatewayen kan oversette, publiser kontor-undernettet under et aliasområde, slik at klientens mål ikke kan falle innenfor dens eget LAN. Et site-til-site-design kan gi hvert nettsted sitt eget alias, noe som holder to kunder med identisk nummerering skillbare.

Oversettelse er ikke gratis. Den må kjøre i begge retninger og dekke kildeadressen og målet, og applikasjoner som skriver adresser inn i sin egen nyttelast vil ignorere den fullstendig. Det gjør den til svaret når omnummerering er umulig og antallet klienter er lite.

Velg etter hva du kan endre

Én eller to bærbare PC-er hjemme: nummerer hjemme-LAN-et på nytt. Et administrert kontor som ikke kan omnummerere: aliasoversettelse ved gatewayen. Gjentatt nummerering på tvers av kundenettsteder: aliaser per nettsted, planlagt én gang. Når bare navnebaserte verktøy feiler, behandle det som en navnekollisjon og ikke som en rutingfeil.

Uansett hva du velger, test mot en adresse som bare finnes på den andre siden. Å pinge din egen ruter sier ingenting om hvilket nettverk som svarte.