Subrețelele de acasă și de birou se ciocnesc prin VPN: trei soluții

Clientul dvs. raportează conectat și tunelul activ, dar serverul de fișiere al biroului răspunde de undeva din bucătărie. Ambele capete folosesc de obicei 192.168.1.0/24 pentru că asta livrează routerele de consum, iar nicio rută nu rezolvă o ambiguitate care există simultan pe ambele părți. Defecțiunea poate arăta ca un tunel stricat sau un server stricat, și nu este nici una, nici alta. Stabiliți ce ciocnire aveți înainte de a atinge o configurație, pentru că tipurile au soluții diferite și doar una dintre ele ține de rutare.

O rută conectată învinge orice împingeți

Un host numește o adresă locală ori de câte ori o rută conectată o acoperă. Pe un laptop a cărui interfață proprie este 192.168.1.20/24, adresa 192.168.1.50 este vecină, așa că pachetul pleacă prin interfața de acasă și nu ajunge niciodată la tunel.

Împingerea unei rute pentru prefixul biroului nu schimbă nimic, pentru că acel prefix există deja ca rețea conectată direct. Sistemul de operare continuă să răspundă din intrarea conectată, iar aceasta este consultată înainte ca tunelul să fie întrebat ceva. Puteți vedea ordinea singur: ip route get 192.168.1.50 numește interfața de acasă, nu tunelul. Capătul îndepărtat oglindește problema, pentru că și routerul biroului crede că intervalul de acasă al laptopului îi aparține.

Ciocniri tăcute dincolo de cea evidentă

Nu fiecare caz este o decizie de rutare. Un lease DHCP de acasă poate ateriza exact pe adresa pe care o deține serverul biroului, iar atunci clientul vorbește cu el însuși în timp ce tunelul nu transportă nimic.

Numele se ciocnesc la fel. Două mașini care împart un nume de computer strică instrumentele bazate pe nume chiar și când fiecare pachet este rutat corect, iar o intrare hosts care indică adresa biroului eșuează când mașina locală deține deja acel nume, pentru că rezolvarea locală câștigă. Redenumiți mașina locală sau folosiți numele complet calificat în loc să editați hosts.

Hipervizorii adaugă un al treilea caz. Un adaptor doar pentru host stă de obicei pe 192.168.56.0/24, care poate intra în ciocnire cu un interval corporativ de care nimeni nu-și amintește că este în uz.

Renumerotați partea pe care o dețineți

Renumerotarea elimină ambiguitatea în loc să o ocolească, iar într-un birou de acasă aceea este partea pe care o dețineți. Alegeți ceva ce nu va apărea nicăieri altundeva și listați fiecare dispozitiv cu adresă statică înainte de a atinge routerul.

10.0.0.0/8 și 172.16.0.0/12 sunt candidații obișnuiți. Valorile din fabrică ale firmware-ului, 192.168.0.0/24 și 192.168.1.0/24, sunt exact ceea ce trebuie lăsat.

Renumerotarea biroului este rareori posibilă, iar o renumerotare de acasă costă o seară de reconectare a imprimantelor și ștecărelor. Totuși este mai ieftină decât o soluție ocolitoare repetată pe fiecare laptop din companie.

Publicați un interval care nu poate intra în ciocnire

Acolo unde intervalul biroului trebuie să rămână, faceți partea tunelului mai greu de ciocnit. Decuparea pool-ului de clienți ca prefix mic în loc să împrumutați un /24 întreg oferă o rută specifică, nu una largă.

Dacă gateway-ul poate traduce, publicați subrețeaua biroului sub un interval alias, astfel încât destinația clientului să nu poată cădea în propriul LAN. Un design site-către-site poate da fiecărui site propriul alias, ceea ce menține distincția între doi clienți cu numerotare identică.

Traducerea nu este gratuită. Trebuie să ruleze în ambele direcții și să acopere adresa sursă și destinația, iar aplicațiile care scriu adrese în propriul payload o vor ignora complet. De aceea este răspunsul când renumerotarea este imposibilă și numărul de clienți este mic.

Alegeți în funcție de ce puteți schimba

Unul sau două laptopuri acasă: renumerotați LAN-ul de acasă. Un birou administrat care nu poate renumerota: traducere alias la gateway. Numerotare repetată între site-urile clienților: aliasuri pe site, planificate o dată. Când eșuează doar instrumentele bazate pe nume, tratați-o ca ciocnire de nume și nu ca defect de rutare.

Orice ați alege, testați împotriva unei adrese care există doar pe partea cealaltă. A face ping la propriul router nu spune nimic despre ce rețea a răspuns.