Doma in v pisarni oba uporabljata 192.168.1.x: kaj zdaj?

Pojdite skozi štiri preverjanja: na kateri naslov se razreši ime, katero predpono uporablja lokalno omrežje, katero pot jedro izbere za ta cilj in kaj odgovori na oddaljenem koncu. Prijava v VPN ni ena od njih, ker se zaključi ne glede na to, katero omrežje zmaga. Preverjanja opravite po vrsti in prekrivanje postane vidno že v drugem koraku, ne v četrtem.

Uspešna prijava pove, da je tunel vzpostavljen; ne pove ničesar o tem, kam kaže določen naslov.

En naslov, dva stroja

Gostitelj izbere pot iz svoje usmerjevalne tabele in pravil politike glede na ciljni naslov. Nič mu ne pove, da je zahteva do skoka 192.168.1.20 namenjena pisarniškemu strežniku in ne napravi v sosednji sobi. Ko sta obe omrežji v istem zasebnem obsegu, zmaga najbolj specifična pot, vse ostalo pa je odvisno od tega, kateri vnos je ob ponovni povezavi slučajno namestil. Nič v samem naslovu ne nosi te razlike.

ip route get 192.168.1.20

To iskanje poimenuje vmesnik in naslednji skok, ki ju je izbralo jedro, kar je drugo preverjanje na seznamu. Primerjajte lokalno in oddaljeno predpono, preden storite karkoli drugega. Če je lokalni LAN 192.168.1.0/24 in je oddaljeno mesto tudi 192.168.1.0/24, je prekrivanje ugotovitev in nobena možnost odjemalca tega ne popravi.

Prenumerirajte stran, ki jo nadzorujete

Osebni usmerjevalnik je običajno lažja stran za premik. Izberite obseg, ki ne trči z oddaljenimi omrežji, ki jih dejansko uporabljate, in upoštevajte, da tudi 10.x.x.x ni samodejno prost, ker ga uporablja veliko mest. Načrtujte spremembo: zakupi DHCP, rezervirani naslovi, tiskalne čakalne vrste in vse s trdo zapisanim naslovom potrebujejo pozornost. Prenumeriranje opravite v oknu, ko lahko usmerjevalnik obnovite brez VPN.

Seznam oddaljenih predpon preverite najprej, ne pozneje. Izbira novega obsega, ki trči z drugim pisarniškim mestom, ustvari isto težavo z več vloženega dela.

Ko se nobena stran ne more spremeniti

Če nobenega omrežja ni mogoče prenumerirati, preostale možnosti živijo na strežniku. Prehod lahko prevede oddaljeno omrežje v drugo podomrežje za odjemalce VPN z NAT na podlagi pravilnika ali dvosmerno različico, tako da odjemalec vidi edinstven naslov. To je zasnova prehoda in ne stikalo, ki ga ponuja vsak namizni odjemalec, in spreminja, kateri naslov uporabniki vpisujejo in katera imena se morajo ujemati. Pot, kopirana s foruma, ne more razlikovati dveh enakih ciljev.

Zasebni obsegi naslovov ostanejo zasebni; težava je ponovna uporaba, ne sami obsegi.

Dokažite, kateri stroj je odgovoril

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Po vsaki spremembi preizkusite pisarniški vir in lokalne naprave skupaj. Če se na mestu, kjer bi moral biti pisarniški strežnik, odzove znana domača naprava, ali potrdilo TLS navaja napačnega gostitelja, se ustavite in pred nadaljevanjem ugotovite cilj. Odgovor s tega naslova ne dokazuje, kateri stroj ga je poslal. Preverjanje subjekta potrdila je eden redkih zanesljivih signalov, ki so na voljo v tistem trenutku.

Zasebnih naslovov pisarne ne zamenjajte s poljubnimi javnimi naslovi, ki jih ne nadzorujete. S tem prekrivanje zamenjate za težavo usmerjanja in lastništva, ki je slabša in težje razložljiva.

Zapišite lokalno predpono, oddaljeno predpono in spremembo, ki je to rešila. Naslednje prekrivanje bo videti drugače, a bo sledilo istemu vzorcu.