Acasă și la birou se folosește 192.168.1.x: ce facem acum?

Parcurgeți patru verificări: către ce adresă se rezolvă numele, ce prefix folosește rețeaua locală, ce rută alege nucleul pentru acea destinație și ce răspunde la capătul îndepărtat. Autentificarea VPN nu este una dintre ele, pentru că se finalizează indiferent de rețeaua care câștigă. Faceți verificările în ordine și suprapunerea devine vizibilă la al doilea pas, nu la al patrulea.

O autentificare reușită spune că tunelul este activ; nu spune nimic despre unde indică o anumită adresă.

O adresă, două mașini

Un host alege o cale din tabela sa de rutare și din regulile de politică, folosind adresa de destinație. Nimic nu-i spune că o cerere către saltul 192.168.1.20 este destinată serverului biroului și nu unui dispozitiv din camera alăturată. Când ambele rețele sunt în același interval privat, câștigă ruta cea mai specifică, iar tot restul depinde de ce intrare a instalat din întâmplare o reconectare. Nimic din adresa în sine nu poartă această distincție.

ip route get 192.168.1.20

Acea căutare numește interfața și următorul salt alese de nucleu, care este a doua verificare din listă. Comparați prefixele local și îndepărtat înainte de a face orice altceva. Dacă LAN-ul local este 192.168.1.0/24 și site-ul îndepărtat este și el 192.168.1.0/24, suprapunerea este constatarea, iar nicio opțiune a clientului nu o repară.

Renumerotați partea pe care o controlați

Un router personal este de obicei partea mai ușor de mutat. Alegeți un interval care nu se ciocnește cu rețelele îndepărtate pe care le folosiți efectiv și rețineți că nici 10.x.x.x nu este liber automat, deoarece multe site-uri îl folosesc. Planificați schimbarea: lease-urile DHCP, adresele rezervate, cozile de imprimare și orice cu adresă fixă au nevoie de atenție. Faceți renumerotarea într-o fereastră în care puteți recupera routerul fără VPN.

Verificați lista prefixelor îndepărtate mai întâi, nu după. Alegerea unui interval nou care se ciocnește cu alt site de birou produce aceeași problemă cu mai multă muncă investită.

Când niciuna dintre părți nu poate schimba

Dacă niciuna dintre rețele nu poate fi renumerotată, opțiunile rămase trăiesc pe server. O poartă poate traduce o rețea îndepărtată într-o altă subrețea pentru clienții VPN, folosind NAT bazat pe politică sau o variantă bidirecțională, astfel încât clientul să vadă o adresă unică. Acesta este un design de poartă și nu un comutator pe care îl oferă fiecare client desktop, iar el schimbă ce adresă tastează utilizatorii și ce nume trebuie să corespundă. O rută copiată de pe un forum nu poate distinge două destinații identice.

Intervalele de adrese private rămân private; problema este reutilizarea, nu intervalele în sine.

Dovediți ce mașină a răspuns

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

După orice modificare, testați împreună resursa biroului și dispozitivele locale. Dacă un dispozitiv de acasă cunoscut răspunde acolo unde ar trebui să fie serverul biroului, sau certificatul TLS numește gazda greșită, opriți-vă și identificați destinația înainte de a continua. Obținerea unui răspuns de la acea adresă nu stabilește ce mașină l-a trimis. Verificarea subiectului certificatului este unul dintre puținele semnale de încredere disponibile în acel moment.

Nu înlocuiți adresele private ale biroului cu adrese publice arbitrare pe care nu le controlați. Asta schimbă o suprapunere pe o problemă de rutare și proprietate care este mai rea și mai greu de explicat.

Notați prefixul local, prefixul îndepărtat și modificarea care a rezolvat-o. Următoarea suprapunere va arăta diferit, dar va urma același model.