Kuća i ured oboje koriste 192.168.1.x: što sad?

Prođite kroz četiri provjere: na koju adresu se ime razrješava, koji prefiks koristi lokalna mreža, koju rutu kernel odabire za tu destinaciju i što odgovara na udaljenom kraju. Prijava na VPN nije jedna od njih jer se dovršava bez obzira na to koja mreža pobjeđuje. Obavite provjere redom i preklapanje postaje vidljivo na drugom koraku, a ne na četvrtom.

Uspješna prijava govori da je tunel podignut; ne govori ništa o tome kamo pokazuje određena adresa.

Jedna adresa, dvije mašine

Host odabire put iz svoje tablice usmjeravanja i pravila politike, koristeći odredišnu adresu. Ništa mu ne govori da je zahtjev prema skoku 192.168.1.20 namijenjen uredskom poslužitelju, a ne uređaju u susjednoj sobi. Kad su obje mreže u istom privatnom rasponu, pobjeđuje najspecifičnija ruta, a sve ostalo zavisi od toga koji je zapis ponovno povezivanje slučajno instaliralo. Ništa u samoj adresi ne nosi tu razliku.

ip route get 192.168.1.20

To pretraživanje imenuje sučelje i sljedeći skok koje je kernel odabrao, a to je druga provjera na popisu. Usporedite lokalni i udaljeni prefiks prije nego što učinite bilo što drugo. Ako je lokalni LAN 192.168.1.0/24 i udaljena lokacija također 192.168.1.0/24, preklapanje je nalaz i nijedna klijentska opcija ga ne popravlja.

Prenumerirajte stranu koju kontrolirate

Osobni usmjerivač obično je strana koju je lakše premjestiti. Odaberite raspon koji se ne sudara s udaljenim mrežama koje zaista koristite i imajte na umu da ni 10.x.x.x nije automatski slobodan jer ga mnoge lokacije koriste. Isplanirajte promjenu: DHCP zakupi, rezervirane adrese, redovi za ispis i sve s čvrsto upisanom adresom trebaju pažnju. Prenumerirajte u prozoru kada možete vratiti usmjerivač bez VPN-a.

Popis udaljenih prefiksa provjerite prvo, a ne poslije. Odabir novog raspona koji se sudara s drugom uredskom lokacijom stvara isti problem uz više uloženog rada.

Kad nijedna strana ne može da se promijeni

Ako se nijedna mreža ne može prenumerirati, preostale opcije žive na poslužitelju. Gateway može prevesti udaljenu mrežu u drugu podmrežu za VPN klijente, koristeći NAT zasnovan na politici ili dvosmjernu varijantu, tako da klijent vidi jedinstvenu adresu. To je dizajn gatewaya, a ne prekidač koji pruža svaki desktop klijent, i mijenja koju adresu korisnici upisuju i koja imena moraju da se poklope. Ruta kopirana s foruma ne može razlikovati dvije identične destinacije.

Privatni rasponi adresa ostaju privatni; problem je ponovna upotreba, a ne sami rasponi.

Dokažite koja je mašina odgovorila

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Nakon svake promjene testirajte uredski resurs i lokalne uređaje zajedno. Ako poznati kućni uređaj odgovara tamo gdje bi trebao biti uredski poslužitelj, ili TLS certifikat imenuje pogrešnog hosta, zaustavite se i identificirajte destinaciju prije nastavka. Dobijanje odgovora s te adrese ne dokazuje koja ga je mašina poslala. Provjera subjekta certifikata jedan je od rijetkih pouzdanih signala dostupnih u tom trenutku.

Ne zamjenjujte privatne adrese ureda proizvoljnim javnim adresama koje ne kontrolirate. Time mijenjate preklapanje za problem usmjeravanja i vlasništva koji je gori i teže ga je objasniti.

Zabilježite lokalni prefiks, udaljeni prefiks i promjenu koja ga je riješila. Sljedeće preklapanje izgledat će drugačije, ali slijedit će isti obrazac.