Sub-redes de casa e do escritório colidem pela VPN: três soluções

Seu cliente relata conectado e o túnel ativo, mas o servidor de arquivos do escritório responde de algum lugar na cozinha. Normalmente as duas pontas usam 192.168.1.0/24 porque é o que os roteadores domésticos trazem, e nenhuma rota resolve uma ambiguidade que existe dos dois lados ao mesmo tempo. A falha pode parecer um túnel quebrado ou um servidor quebrado, e não é nenhum dos dois. Identifique qual colisão você tem antes de tocar em qualquer configuração, porque os tipos têm correções diferentes e só uma delas é sobre roteamento.

Uma rota conectada vence qualquer coisa que você empurre

Um host chama um endereço de local sempre que uma rota conectada o cobre. Num portátil cuja própria interface é 192.168.1.20/24, o endereço 192.168.1.50 é um vizinho, então o pacote sai pela interface de casa e nunca chega ao túnel.

Empurrar uma rota para o prefixo do escritório não muda nada, porque esse prefixo já existe como rede diretamente conectada. O sistema operacional continua respondendo pela entrada conectada, e ela é consultada antes de o túnel ser perguntado sobre qualquer coisa. Você pode ver a ordem sozinho: ip route get 192.168.1.50 nomeia a interface de casa, não o túnel. A outra ponta espelha o problema, porque o roteador do escritório também acredita que a faixa de casa do portátil pertence a ele.

Colisões silenciosas além da óbvia

Nem todo caso é uma decisão de roteamento. Um contrato DHCP doméstico pode cair exatamente no endereço que o servidor do escritório tem, e então o cliente fala consigo mesmo enquanto o túnel não carrega nada.

Os nomes colidem do mesmo jeito. Duas máquinas que compartilham um nome de computador quebram ferramentas baseadas em nome mesmo quando cada pacote é roteado corretamente, e uma entrada hosts apontando para o endereço do escritório falha quando a máquina local já possui esse nome, porque a resolução local vence. Renomeie a máquina local ou use o nome totalmente qualificado em vez de editar hosts.

Os hipervisores acrescentam um terceiro caso. Um adaptador somente host costuma ficar em 192.168.56.0/24, o que pode colidir com uma faixa corporativa que ninguém lembra estar em uso.

Renumere o lado que você possui

Renumerar remove a ambiguidade em vez de evitá-la, e num escritório em casa esse é o lado que você possui. Escolha algo que não apareça em nenhum outro lugar e liste cada dispositivo com endereço estático antes de tocar no roteador.

10.0.0.0/8 e 172.16.0.0/12 são os candidatos habituais. Os padrões de fábrica do firmware, 192.168.0.0/24 e 192.168.1.0/24, são exatamente o que se deve deixar.

Renumerar o escritório raramente está em pauta, e uma renumeração doméstica custa uma noite reconectando impressoras e tomadas. Ainda assim é mais barato que um contorno repetido em cada portátil da empresa.

Publique uma faixa que não possa colidir

Onde a faixa do escritório precisa ficar, torne o lado do túnel mais difícil de colidir. Recortar o pool de clientes como um prefixo pequeno em vez de tomar emprestada uma /24 inteira dá uma rota específica em vez de ampla.

Se o gateway puder traduzir, publique a sub-rede do escritório sob uma faixa alias, para que o destino do cliente não possa cair dentro da própria LAN. Um projeto site a site pode dar a cada site seu próprio alias, o que mantém distinguíveis dois clientes com numeração idêntica.

A tradução não é gratuita. Ela precisa rodar nos dois sentidos e cobrir o endereço de origem e o destino, e aplicações que escrevem endereços no próprio payload vão ignorá-la completamente. Por isso ela é a resposta quando renumerar é impossível e o número de clientes é pequeno.

Escolha conforme o que você pode mudar

Um ou dois portáteis em casa: renumere a LAN de casa. Um escritório gerenciado que não pode renumerar: tradução de alias no gateway. Numeração repetida entre sites de clientes: alias por site, planejados uma vez. Quando só as ferramentas baseadas em nome falham, trate como colisão de nome e não como falha de roteamento.

Escolha o que escolher, teste contra um endereço que só exista do outro lado. Fazer ping no seu próprio roteador não diz nada sobre qual rede respondeu.