Domov a kancelária používajú oba 192.168.1.x: čo teraz?

Prejdite štyri kontroly: na ktorú adresu sa meno prekladá, ktorý prefix používa miestna sieť, ktorú trasu jadro zvolí pre tento cieľ a čo odpovedá na vzdialenom konci. Prihlásenie do VPN medzi ne nepatrí, pretože prebehne bez ohľadu na to, ktorá sieť vyhrá. Vykonajte kontroly v poradí a prekrytie sa ukáže už v druhom kroku, nie vo štvrtom.

Úspešné prihlásenie hovorí, že tunel je hore; nehovorí nič o tom, kam určitá adresa smeruje.

Jedna adresa, dva stroje

Hostiteľ volí cestu zo svojej smerovacej tabuľky a pravidiel politiky podľa cieľovej adresy. Nič mu nehovorí, že požiadavka na skok 192.168.1.20 je určená kancelárskemu serveru a nie zariadeniu v susednej miestnosti. Keď sú obe siete v rovnakom súkromnom rozsahu, vyhrá najkonkrétnejšia trasa a všetko ostatné závisí od toho, ktorý záznam náhodou nainštalovalo opätovné pripojenie. Nič v adrese samotnej toto rozlíšenie nenesie.

ip route get 192.168.1.20

Toto vyhľadanie pomenuje rozhranie a ďalší skok, ktoré zvolilo jadro, čo je druhá kontrola v zozname. Porovnajte miestny a vzdialený prefix, kým urobíte čokoľvek iné. Ak je miestna LAN 192.168.1.0/24 a vzdialené pracovisko tiež 192.168.1.0/24, prekrytie je nález a žiadna klientska voľba ho neopraví.

Prečíslujte stranu, ktorú ovládate

Osobný router je zvyčajne ľahšia strana na presun. Vyberte rozsah, ktorý nekoliduje so vzdialenými sieťami, ktoré skutočne používate, a všimnite si, že ani 10.x.x.x nie je automaticky voľné, pretože ho používa veľa pracovísk. Naplánujte zmenu: DHCP prenájmy, rezervované adresy, tlačové fronty a čokoľvek s pevne zadanou adresou potrebujú pozornosť. Prečíslovanie urobte v okne, keď môžete router obnoviť bez VPN.

Skontrolujte zoznam vzdialených prefixov najskôr, nie potom. Výber nového rozsahu, ktorý koliduje s iným kancelárskym pracoviskom, vytvorí rovnaký problém s viac vloženou prácou.

Keď sa ani jedna strana nemôže zmeniť

Ak sa nedá prečíslovať ani jedna sieť, zostávajúce možnosti žijú na serveri. Brána môže preložiť vzdialenú sieť do inej podsiety pre klientov VPN pomocou NAT založeného na politike alebo obojsmerného variantu, takže klient vidí jedinečnú adresu. To je návrh brány, nie prepínač, ktorý poskytuje každý desktopový klient, a mení, ktorú adresu používatelia zadávajú a ktoré mená musia zodpovedať. Trasa skopírovaná z fóra nedokáže rozlíšiť dva rovnaké ciele.

Súkromné rozsahy adries zostávajú súkromné; problémom je opätovné použitie, nie samotné rozsahy.

Dokážte, ktorý stroj odpovedal

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Po každej zmene otestujte kancelársky zdroj a miestne zariadenia spoločne. Ak tam, kde má byť kancelársky server, odpovedá známe domáce zariadenie, alebo certifikát TLS uvádza nesprávneho hostiteľa, zastavte sa a pred pokračovaním určte cieľ. Odpoveď z tejto adresy nedokazuje, ktorý stroj ju poslal. Kontrola subjektu certifikátu je jedným z mála spoľahlivých signálov dostupných v tej chvíli.

Nenahrádzajte kancelárske súkromné adresy svojvoľnými verejnými adresami, ktoré neovládate. Vymeníte tým prekrytie za problém smerovania a vlastníctva, ktorý je horší a ťažšie sa vysvetľuje.

Zapíšte miestny prefix, vzdialený prefix a zmenu, ktorá to vyriešila. Ďalšie prekrytie bude vyzerať inak, ale bude nasledovať rovnaký vzor.