Thuis en kantoor gebruiken beide 192.168.1.x: wat nu?

Doorloop vier controles: naar welk adres de naam wordt omgezet, welk prefix het lokale netwerk gebruikt, welke route de kernel voor die bestemming kiest, en wat er aan de andere kant antwoordt. De VPN-aanmelding hoort er niet bij, want die slaagt ongeacht welk netwerk wint. Voer de controles in volgorde uit en de overlap wordt bij de tweede stap zichtbaar in plaats van de vierde.

Een geslaagde aanmelding zegt dat de tunnel staat; het zegt niets over waar een bepaald adres naartoe wijst.

Eén adres, twee machines

Een host kiest een pad uit zijn routingtabel en beleidsregels, op basis van het bestemmingsadres. Niets vertelt hem dat een verzoek naar de hop 192.168.1.20 voor de kantoorserver bedoeld is en niet voor een apparaat in de kamer ernaast. Als beide netwerken in dezelfde privébereik liggen, wint de meest specifieke route en al het overige hangt af van welke vermelding een herverbinding toevallig heeft geïnstalleerd. Niets in het adres zelf draagt dat onderscheid.

ip route get 192.168.1.20

Die opzoeking noemt de interface en de volgende hop die de kernel koos, en dat is de tweede controle op de lijst. Vergelijk het lokale en het externe prefix voordat u iets anders doet. Als de lokale LAN 192.168.1.0/24 is en de externe locatie ook 192.168.1.0/24, dan is de overlap de bevinding, en geen enkele clientoptie herstelt die.

Nummer de kant die u beheert opnieuw

Een persoonlijke router is meestal de gemakkelijkere kant om te verplaatsen. Kies een bereik dat niet botst met de externe netwerken die u daadwerkelijk gebruikt, en let op dat 10.x.x.x ook niet automatisch vrij is, omdat veel locaties het gebruiken. Plan de wijziging: DHCP-leases, gereserveerde adressen, printerwachtrijen en alles met een hardgecodeerd adres vragen aandacht. Doe de hernummering in een venster waarin u de router zonder de VPN kunt herstellen.

Controleer de lijst met externe prefixen eerst, niet achteraf. Een nieuw bereik kiezen dat botst met een andere kantoorlocatie levert hetzelfde probleem op met meer geïnvesteerd werk.

Wanneer geen van beide kanten kan veranderen

Als geen van beide netwerken opnieuw kan worden genummerd, leven de resterende opties op de server. Een gateway kan een extern netwerk naar een ander subnet vertalen voor VPN-clients, met beleidsgebaseerde NAT of een tweerichtingsvariant, zodat de client een uniek adres ziet. Dat is een gatewayontwerp en geen schakelaar die elke desktopclient biedt, en het verandert welk adres gebruikers typen en welke namen moeten overeenkomen. Een route die van een forum is gekopieerd kan twee identieke bestemmingen niet onderscheiden.

Private adresbereiken blijven privé; het probleem is hergebruik, niet de bereiken zelf.

Bewijs welke machine heeft geantwoord

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Test na elke wijziging de kantoorbron en de lokale apparaten samen. Als een bekend thuisapparaat antwoordt waar de kantoorserver zou moeten staan, of het TLS-certificaat noemt de verkeerde host, stop dan en bepaal de bestemming voordat u verdergaat. Een antwoord van dat adres krijgen bewijst niet welke machine het heeft verzonden. Het onderwerp van het certificaat controleren is een van de weinige betrouwbare signalen die op dat moment beschikbaar zijn.

Vervang de privéadressen van het kantoor niet door willekeurige openbare adressen die u niet beheert. Dat ruilt een overlap in voor een routing- en eigenaarsprobleem dat erger en moeilijker uit te leggen is.

Noteer het lokale prefix, het externe prefix en de wijziging die het heeft opgelost. De volgende overlap zal er anders uitzien maar hetzelfde patroon volgen.