Dom i biuro używają oba 192.168.1.x: co teraz?

Przejdź przez cztery kontrole: na jaki adres rozwiązuje się nazwa, jakiego prefiksu używa sieć lokalna, którą trasę jądro wybiera dla tego celu i co odpowiada na drugim końcu. Logowanie VPN nie jest jedną z nich, bo kończy się niezależnie od tego, która sieć wygra. Wykonaj kontrole po kolei, a nakładanie się stanie widoczne na drugim kroku, a nie na czwartym.

Udane logowanie mówi, że tunel jest podniesiony; nie mówi nic o tym, dokąd wskazuje konkretny adres.

Jeden adres, dwie maszyny

Host wybiera ścieżkę ze swojej tabeli routingu i reguł polityki, kierując się adresem docelowym. Nic nie mówi mu, że żądanie do skoku 192.168.1.20 jest przeznaczone dla serwera biurowego, a nie dla urządzenia w sąsiednim pokoju. Gdy obie sieci są w tym samym zakresie prywatnym, wygrywa najbardziej szczegółowa trasa, a wszystko inne zależy od tego, który wpis przypadkiem zainstalowało ponowne połączenie. Nic w samym adresie nie niesie tego rozróżnienia.

ip route get 192.168.1.20

To wyszukiwanie podaje interfejs i następny skok wybrane przez jądro, co jest drugą kontrolą na liście. Porównaj prefiks lokalny i zdalny, zanim zrobisz cokolwiek innego. Jeśli lokalna sieć LAN to 192.168.1.0/24, a zdalna lokalizacja też 192.168.1.0/24, nakładanie się jest ustaleniem i żadna opcja klienta tego nie naprawia.

Przenumeruj stronę, którą kontrolujesz

Osobisty router jest zwykle łatwiejszą stroną do przeniesienia. Wybierz zakres, który nie koliduje ze zdalnymi sieciami, których naprawdę używasz, i pamiętaj, że 10.x.x.x też nie jest automatycznie wolne, bo wiele lokalizacji go używa. Zaplanuj zmianę: dzierżawy DHCP, adresy zastrzeżone, kolejki wydruku i wszystko z adresem wpisanym na stałe wymagają uwagi. Przenumerowanie wykonaj w oknie, w którym możesz odzyskać router bez VPN.

Sprawdź listę zdalnych prefiksów najpierw, a nie potem. Wybór nowego zakresu, który koliduje z inną lokalizacją biurową, daje ten sam problem przy większym nakładzie pracy.

Gdy żadna strona nie może się zmienić

Jeśli żadnej sieci nie można przenumerować, pozostałe opcje są po stronie serwera. Brama może przetłumaczyć sieć zdalną na inną podsieć dla klientów VPN, używając NAT opartego na polityce lub wariantu dwukierunkowego, dzięki czemu klient widzi unikalny adres. To projekt bramy, a nie przełącznik, który oferuje każdy klient desktopowy, i zmienia to, jaki adres wpisują użytkownicy i jakie nazwy muszą się zgadzać. Trasa skopiowana z forum nie potrafi odróżnić dwóch identycznych celów.

Prywatne zakresy adresów pozostają prywatne; problemem jest ponowne użycie, a nie same zakresy.

Udowodnij, która maszyna odpowiedziała

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Po każdej zmianie przetestuj zasób biurowy i urządzenia lokalne razem. Jeśli znane urządzenie domowe odpowiada tam, gdzie powinien być serwer biurowy, albo certyfikat TLS wskazuje zły host, zatrzymaj się i zidentyfikuj cel przed kontynuowaniem. Otrzymanie odpowiedzi z tego adresu nie dowodzi, która maszyna ją wysłała. Sprawdzenie podmiotu certyfikatu to jeden z niewielu wiarygodnych sygnałów dostępnych w tym momencie.

Nie zastępuj prywatnych adresów biura dowolnymi publicznymi adresami, których nie kontrolujesz. To zamienia nakładanie się na problem routingu i własności, który jest gorszy i trudniejszy do wyjaśnienia.

Zapisz prefiks lokalny, prefiks zdalny i zmianę, która to rozwiązała. Następne nakładanie się będzie wyglądać inaczej, ale pójdzie tym samym wzorem.