Žiadna trasa neopraví fond VPN, ktorý sa prekrýva s vašou LAN

Keď fond tunela a domáca LAN zdieľajú 192.168.1.0/24, vyhráva miestna podsiete. Prečíslujte stranu, ktorú ovládate, alebo preložte vzdialený rozsah.

Aplikácia tvrdí, že tunel je zdravý, a napriek tomu polovica cieľov, ktoré potrebujete, nikdy neodpovie. Reflex je pridať trasu alebo znížiť metriku, a práve ten reflex je mýtus, ktorý treba zabiť ako prvý. Keď si vlastná LAN klienta a fond tunela nárokujú rovnaký prefix, smerovacia tabuľka drží dve nezlučiteľné fakty, a nevyrieši ich ani predvolená trasa, ani metrika. Oprava je rozhodnutie o adresovaní, a žiadne editovanie trás ju nenahradí.

Prečo ďalšia trasa nemôže rozdeliť jeden prefix

Trasa nedokáže oddeliť dve nároky na jeden prefix, preto je rozumné prestať hľadať správny riadok trasy. Zásobník neumiestni totožný prefix pred pripojenú trasu a konkrétnejší záznam adresu zachytí, ale miestneho hostiteľa, ktorý ju vlastní, urobí nedostupným. To, čo vyzerá ako problém smerovania, je kolízia adresovania, a obe opravy menia adresy, nie trasy. Otestujte toto tvrdenie na svojom stroji, než ho prijmete.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Opýtajte sa systému na jednu adresu a všimnite si, ktoré rozhranie uvedie. Linux, macOS aj Windows odpovedajú vyhľadaním iba na čítanie, ktoré hlási zvolené rozhranie a ďalší skok bez toho, aby čokoľvek odoslalo. Keď odpoveď ukazuje na fyzický adaptér, kým je tunel hore, jadro považuje adresu za on-link, a nie za niečo, čo by tunel mohol niesť.

Položte prefix pridelený poskytovateľom vedľa toho, ktorý obsluhuje domáci router, a porovnajte ich ako reťazce. Presná zhoda je jasný prípad a širší fond poskytovateľa obsahujúci domácu podsiete zlyháva rovnako, len sa ľahšie prehliadne. Dva prefixy, ktoré len vyzerajú podobne, nie sú kolízia, tak si oba zapíšte, než čokoľvek zmeníte.

Prečítajte si fond, ktorý klient skutočne dostal

Čítajte, čo klient dostal, nie marketingovú stránku poskytovateľa. Zvýšte podrobnosť protokolu klienta OpenVPN a trasy tlačené serverom sa v ňom objavia, čím odhalia prefixy tunela; inde sa fond ukáže v podrobnostiach pripojenia alebo na samotnom adaptéri. Požiadajte poskytovateľa o úplný zoznam súkromných rozsahov, ktoré používa, pretože jedna /24 dnes môže byť zajtra dve. Vyhýbať sa bežným blokom RFC 1918 nie je to isté ako vyhýbať sa prideleniu, ktoré ste skutočne dostali.

Fond sa môže aj zmenšiť alebo presunúť medzi regiónmi, takže zoznam potrebuje dátum a vlastníka. Každú odpoveď poskytovateľa staršiu ako vaša posledná zmena plánu berte ako domnienku, nie fakt. Predtým, než sa zaviažete k rozsahu, opýtajte sa znova, a odpoveď odložte k sieťovým poznámkam, aby ďalší človek zdedil dôkaz.

Prečíslovanie je oprava, ktorú môžete urobiť

Ak server VPN nie je váš na zmenu, presun domácej LAN je jediná dostupná oprava, a to je obvyklá situácia u komerčného poskytovateľa. Vyberte rozsah mimo fondu poskytovateľa a mimo rozsahov, ktoré by ste mohli neskôr potrebovať, a overte ho proti každému inému miestu, kam sa dostanete tunelom. Očakávajte krátky výpadok a dlhší chvost zabudnutých zariadení: zariadenie, ktoré stále drží starú adresu, vyzerá funkčné, kým nepotrebuje bránu.

  1. Najprv inventúra: vlastná adresa routera, rozsah DHCP, rezervácie, presmerovania portov a každé zariadenie, ktorého adresa bola zadaná ručne.
  2. Potom zmeňte prefix LAN routera a rozsah DHCP spolu v rámci servisného okna a obnovte káblové lízy skôr než bezdrôtové.
  3. Ďalej opravte statické adresy: tlačiarne, sieťové úložisko, čokoľvek s pevne zadanou bránou.
  4. Nakoniec znova pripojte klienta VPN a potvrďte, že adresa tunela už nekoliduje s LAN.

Prechádzajte adresy v tomto poradí, nie všetky naraz, a starý rozsah chvíľu nechajte zdokumentovaný, aby bolo zastarané zariadenie rozpoznateľné, a nie záhadné. Zariadenie, ktoré nikdy neobnoví líz, sa ozve tým, že sa nedostane na bránu, čo je oveľa lepšia stopa než volanie podpore. Ak router vydáva lízy na dlhšie ako deň, skráťte ich na čas okna.

Čo alias dokáže a čo nie

Keď je server váš, preklad adries na klientovi môže odhaliť vzdialený prefix vo voľnom miestnom rozsahu, takže ten istý hostiteľ odpovedá na druhej adrese. Komunitný OpenVPN to robí s client-nat, a tá direktíva je špecifická pre toho klienta, chýba v komerčných a mobilných klientoch, s ktorými sa zvyčajne porovnáva. Usporiadanie potrebuje trasu zodpovedajúcu prekladu, voľný rozsah pre alias a server ochotný odpovedať na nepreloženú adresu klienta. Nič z toho nepomôže, keď klient patrí spravovanému poskytovateľovi, ktorého nemôžete konfigurovať.

Keď zmena vstúpi do platnosti, dostanete sa na miestneho a vzdialeného hostiteľa najprv podľa adresy a potom podľa mena, pričom si poznačte trasu, ktorú systém zakaždým zvolí. Meno sa ešte môže preložiť do starého rozsahu, takže adresy a mená si zaslúžia nezávislé kontroly. Reštartujte jedného klienta a jedno zariadenie na strane servera, ak niektoré z nich zostalo zapnuté počas celej zmeny, pretože cachované položky susedov žijú dlhšie ako úprava.

Zapíšte prefixy, na ktorých ste sa ustálili, tam, kam ľudia skutočne pozerajú: do sieťových poznámok, do poľa komentára routera, na uvítaciu stránku. Niekto znova zvolí 192.168.1.0/24 a kolízia sa vráti s ním.

Súvisiace články