Thuis- en kantoorsubnetten botsen over een VPN: drie oplossingen

Uw client meldt verbonden en de tunnel staat, maar de bestandsserver van kantoor antwoordt vanuit ergens in de keuken. Beide kanten gebruiken meestal 192.168.1.0/24 omdat consumentenrouters daarmee komen, en geen route lost een dubbelzinnigheid op die aan beide kanten tegelijk bestaat. De storing kan lijken op een kapotte tunnel of een kapotte server, en het is geen van beide. Stel vast welke botsing u hebt voordat u een configuratie aanraakt, want de soorten hebben verschillende oplossingen en slechts één ervan gaat over routing.

Een verbonden route wint van alles wat u pusht

Een host noemt een adres lokaal zodra een verbonden route het dekt. Op een laptop waarvan de eigen interface 192.168.1.20/24 is, is het adres 192.168.1.50 een buur, dus het pakket verlaat via de thuisinterface en bereikt de tunnel nooit.

Een route voor het kantoorprefix pushen verandert niets, omdat dat prefix al bestaat als een direct verbonden netwerk. Het besturingssysteem blijft antwoorden vanuit de verbonden vermelding, en die wordt geraadpleegd voordat de tunnel iets wordt gevraagd. U kunt de volgorde zelf zien: ip route get 192.168.1.50 noemt de thuisinterface, niet de tunnel. De andere kant weerspiegelt het probleem, want de kantoorrouter gelooft ook dat het thuisbereik van de laptop van hem is.

Stille botsingen voorbij de voor de hand liggende

Niet elk geval is een routingbeslissing. Een thuis-DHCP-lease kan precies op het adres landen dat de kantoorserver heeft, en dan praat de client met zichzelf terwijl de tunnel niets draagt.

Namen botsen op dezelfde manier. Twee machines met dezelfde computernaam breken naamgebaseerde hulpmiddelen, zelfs wanneer elk pakket correct wordt gerouteerd, en een hosts-regel die naar het kantooradres wijst faalt wanneer de lokale machine die naam al bezit, omdat lokale resolutie wint. Hernoem de lokale machine of gebruik de volledig gekwalificeerde naam in plaats van hosts te bewerken.

Hypervisors voegen een derde geval toe. Een host-only-adapter zit meestal op 192.168.56.0/24, wat kan botsen met een bedrijfsbereik waarvan niemand zich herinnert dat het in gebruik is.

Hernummer de kant die u bezit

Hernummeren verwijdert de dubbelzinnigheid in plaats van haar te ontwijken, en in een thuiskantoor is dat de kant die u bezit. Kies iets dat nergens anders voorkomt, en list elk apparaat met een statisch adres op voordat u de router aanraakt.

10.0.0.0/8 en 172.16.0.0/12 zijn de gebruikelijke kandidaten. De firmware-standaardwaarden, 192.168.0.0/24 en 192.168.1.0/24, zijn precies wat u moet laten staan.

Het kantoor hernummeren is zelden aan de orde, en een thuishernummering kost een avond printers en stekkers opnieuw aansluiten. Het is nog steeds goedkoper dan een omweg die op elke laptop in het bedrijf wordt herhaald.

Publiceer een bereik dat niet kan botsen

Waar het kantoorbereik moet blijven, maakt u de tunnelkant moeilijker te botsen. De clientpool als klein prefix uitsnijden in plaats van een heel /24 te lenen geeft een specifieke route in plaats van een brede.

Als de gateway kan vertalen, publiceer het kantoor-subnet onder een aliasbereik, zodat de bestemming van de client niet binnen zijn eigen LAN kan vallen. Een site-naar-site-ontwerp kan elke site zijn eigen alias geven, wat twee klanten met identieke nummering onderscheidbaar houdt.

Vertaling is niet gratis. Ze moet in beide richtingen lopen en het bronadres en de bestemming dekken, en toepassingen die adressen in hun eigen payload schrijven, negeren haar volledig. Daarom is het het antwoord wanneer hernummeren onmogelijk is en het aantal clients klein is.

Kies op basis van wat u kunt veranderen

Een of twee laptops thuis: hernummer het thuis-LAN. Een beheerd kantoor dat niet kan hernummeren: aliasvertaling bij de gateway. Herhaalde nummering over klantsites: aliassen per site, één keer gepland. Wanneer alleen naamgebaseerde hulpmiddelen falen, behandelt u het als een naambotsing en niet als een routingfout.

Wat u ook kiest, test tegen een adres dat alleen aan de andere kant bestaat. Uw eigen router pingen zegt niets over welk netwerk heeft geantwoord.