Domáce a kancelárske podsiete sa zrážajú cez VPN: tri riešenia

Klient hlási, že je pripojený a tunel je hore, ale súborový server v kancelárii odpovedá odniekiaľ z kuchyne. Oba konce zvyčajne používajú 192.168.1.0/24, pretože s tým prichádzajú domáce routery, a žiadna trasa nerieši nejednoznačnosť, ktorá existuje na oboch stranách súčasne. Porucha môže vyzerať ako rozbitý tunel alebo rozbitý server, ale nie je ani jedno. Zistite, akú zrážku máte, skôr než sa dotknete konfigurácie, pretože druhy majú rôzne riešenia a len jedno z nich je o smerovaní.

Pripojená trasa porazí všetko, čo odošlete

Hostiteľ považuje adresu za miestnu, kedykoľvek ju pokrýva pripojená trasa. Na notebooku, ktorého rozhranie je 192.168.1.20/24, je adresa 192.168.1.50 susedom, takže paket odchádza cez domáce rozhranie a nikdy nedorazí do tunela.

Odoslanie trasy pre kancelársky prefix nič nemení, pretože tento prefix už existuje ako priamo pripojená sieť. Operačný systém naďalej odpovedá z pripojeného záznamu a ten sa prezerá skôr, než sa tunela na čokoľvek spýtame. Poradie si môžete pozrieť sami: ip route get 192.168.1.50 menuje domáce rozhranie, nie tunel. Protistrana problém zrkadlí, pretože kancelársky router tiež verí, že mu patrí domáci rozsah notebooku.

Tiché zrážky za tou zjavnou

Nie každý prípad je rozhodnutie o smerovaní. Domáca DHCP-leasing môže padnúť presne na adresu, ktorú má kancelársky server, a potom klient hovorí sám so sebou, zatiaľ čo tunel nič neprenáša.

Mená kolidujú rovnako. Dva stroje so spoločným názvom počítača pokazia nástroje založené na menách, aj keď je každý paket správne smerovaný, a záznam hosts ukazujúci na kancelársku adresu zlyhá, keď miestny stroj to meno už vlastní, pretože miestne rozlíšenie vyhráva. Premenujte miestny stroj alebo použite plne kvalifikovaný názov namiesto úpravy hosts.

Hypervizory pridávajú tretí prípad. Adaptér iba pre hostiteľa zvyčajne sedí na 192.168.56.0/24, čo môže kolidovať s firemným rozsahom, o ktorom si nikto nepamätá, že sa používa.

Prečíslujte stranu, ktorú vlastníte

Prečíslovanie odstraňuje nejednoznačnosť namiesto toho, aby sa jej vyhýbalo, a v domácej kancelárii je to strana, ktorú vlastníte. Vyberte niečo, čo sa inde neobjaví, a pred zásahom do routera vypíšte každé zariadenie so statickou adresou.

10.0.0.0/8 a 172.16.0.0/12 sú obvyklí kandidáti. Továrne nastavenia firmvéru, 192.168.0.0/24 a 192.168.1.0/24, sú presne to, čo treba nechať.

Prečíslovanie kancelárie je málokedy na programe a domáce prečíslovanie stojí večer opätovného pripájania tlačiarní a zásuviek. Stále je lacnejšie ako obchvat opakovaný na každom notebooku v spoločnosti.

Zverejnite rozsah, ktorý nemôže kolidovať

Tam, kde kancelársky rozsah musí zostať, urobte stranu tunela ťažšie kolíznou. Vydelenie klientského poolu ako malého prefixu namiesto požičania celého /24 dáva konkrétnu trasu, nie širokú.

Ak brána vie prekladať, zverejnite kancelársku podsieť pod aliasovým rozsahom, aby cieľ klienta nemohol padnúť do jeho vlastnej LAN. Dizajn lokalita-lokalita môže dať každej lokalite vlastný alias, čo udržiava dvoch zákazníkov s identickým číslovaním rozlíšiteľných.

Preklad nie je zadarmo. Musí bežať oboma smermi a pokrývať zdrojovú adresu aj cieľ, a aplikácie, ktoré si adresy zapisujú do vlastného obsahu, ho úplne ignorujú. Preto je odpoveďou, keď je prečíslovanie nemožné a klientov je málo.

Vyberte podľa toho, čo môžete zmeniť

Jeden alebo dva notebooky doma: prečíslujte domácu LAN. Spravovaná kancelária, ktorá nemôže prečíslovať: aliasový preklad na bráne. Opakované číslovanie medzi zákazníckymi lokalitami: aliasy pre jednotlivé lokality, naplánované raz. Keď zlyhávajú len nástroje založené na menách, berte to ako kolíziu mien, nie ako chybu smerovania.

Čokoľvek vyberiete, testujte proti adrese, ktorá existuje len na opačnej strane. Ping na vlastný router nič nehovorí o tom, ktorá sieť odpovedala.