Podsieci domowa i biurowa zderzają się przez VPN: trzy rozwiązania

Klient zgłasza połączenie, a tunel działa, ale serwer plików w biurze odpowiada z gdzieś w kuchni. Oba końce zwykle używają 192.168.1.0/24, bo z tym są dostarczane routery konsumenckie, i żadna trasa nie rozwiąże niejednoznaczności, która istnieje po obu stronach jednocześnie. Awaria może wyglądać jak zepsuty tunel albo zepsuty serwer, a nie jest ani jednym, ani drugim. Ustal, które zderzenie masz, zanim dotkniesz konfiguracji, bo rodzaje mają różne rozwiązania i tylko jedno z nich dotyczy routingu.

Trasa połączona bije wszystko, co wciśniesz

Host uznaje adres za lokalny, gdy obejmuje go trasa połączona. Na laptopie, którego interfejs to 192.168.1.20/24, adres 192.168.1.50 jest sąsiadem, więc pakiet wychodzi przez interfejs domowy i nigdy nie dociera do tunelu.

Wciśnięcie trasy dla prefiksu biura niczego nie zmienia, bo ten prefiks już istnieje jako sieć podłączona bezpośrednio. System operacyjny nadal odpowiada z wpisu połączonego, a ten jest sprawdzany, zanim tunel zostanie o cokolwiek zapytany. Kolejność możesz zobaczyć sam: ip route get 192.168.1.50 wskazuje interfejs domowy, a nie tunel. Drugi koniec odzwierciedla problem, bo router biura też uważa, że domowy zakres laptopa należy do niego.

Ciche zderzenia poza tym oczywistym

Nie każdy przypadek to decyzja routingu. Domowa dzierżawa DHCP może trafić dokładnie na adres, który ma serwer biura, i wtedy klient rozmawia sam ze sobą, a tunel nic nie przenosi.

Nazwy zderzają się tak samo. Dwie maszyny o tej samej nazwie komputera psują narzędzia oparte na nazwach, nawet gdy każdy pakiet jest poprawnie routowany, a wpis hosts wskazujący adres biura zawodzi, gdy maszyna lokalna już ma tę nazwę, bo lokalne rozwiązywanie wygrywa. Zmień nazwę maszyny lokalnej albo użyj pełnej nazwy kwalifikowanej zamiast edytować hosts.

Hiperwizory dodają trzeci przypadek. Adapter tylko dla hosta zwykle siedzi na 192.168.56.0/24, co może zderzyć się z zakresem firmowym, o którym nikt nie pamięta, że jest w użyciu.

Ponumeruj ponownie stronę, którą posiadasz

Ponumerowanie usuwa niejednoznaczność zamiast jej unikać, a w biurze domowym to właśnie strona, którą posiadasz. Wybierz coś, co nie pojawi się nigdzie indziej, i przed dotknięciem routera wypisz każde urządzenie ze statycznym adresem.

10.0.0.0/8 i 172.16.0.0/12 to zwykli kandydaci. Domyślne ustawienia firmwaru, 192.168.0.0/24 i 192.168.1.0/24, to dokładnie to, co należy zostawić.

Ponumerowanie biura rzadko wchodzi w grę, a ponumerowanie domu kosztuje wieczór ponownego podłączania drukarek i wtyczek. Wciąż jest to tańsze niż obejście powtarzane na każdym laptopie w firmie.

Opublikuj zakres, który nie może kolidować

Tam, gdzie zakres biura musi zostać, utrudnij zderzenie po stronie tunelu. Wycięcie puli klientów jako małego prefiksu zamiast pożyczania całego /24 daje trasę konkretną, a nie szeroką.

Jeśli brama potrafi tłumaczyć, opublikuj podsieć biura pod zakresem aliasów, aby cel klienta nie mógł znaleźć się w jego własnej sieci LAN. Projekt lokacja-lokacja może dać każdej lokacji własny alias, co pozwala odróżnić dwóch klientów o identycznej numeracji.

Tłumaczenie nie jest darmowe. Musi działać w obu kierunkach i obejmować adres źródłowy oraz cel, a aplikacje, które zapisują adresy we własnym ładunku, całkowicie je zignorują. Dlatego jest odpowiedzią, gdy ponumerowanie jest niemożliwe, a klientów jest niewielu.

Wybierz według tego, co możesz zmienić

Jeden lub dwa laptopy w domu: ponumeruj domową sieć LAN. Zarządzane biuro, które nie może ponumerować: tłumaczenie aliasów na bramie. Powtarzająca się numeracja w lokalizacjach klientów: aliasy dla każdej lokalizacji, zaplanowane raz. Gdy zawodzą tylko narzędzia oparte na nazwach, traktuj to jako zderzenie nazw, a nie usterkę routingu.

Cokolwiek wybierzesz, testuj na adresie, który istnieje tylko po drugiej stronie. Pingowanie własnego routera nic nie mówi o tym, która sieć odpowiedziała.