Rregullo një konflikt të adresës IP lokale pasi lidhesh me një VPN

Të gjitha këto raporte tingëllojnë njësoj dhe nënkuptojnë gjëra të ndryshme: laptopi ankohet për një konflikt adrese, por vetëm ndonjëherë, dhe kryesisht sa kohë VPN-i është aktiv. Tri defekte të ndryshme prodhojnë atë mesazh: një dublikat i vërtetë në lidhjen tënde, një mbivendosje ku rrjeti i largët përdor intervalin e LAN-it tënd dhe asgjë nuk dublikohet, dhe një tunel që i dha një adresë dy peer-ëve. Riparimi ndryshon në secilin rast, dhe ai i gabuar e zhvendos simptomën në vend që ta heqë. Prandaj vendos cilin rast ke përpara se të ndryshosh gjë.

Tri defekte që ndajnë një mesazh gabimi

Një dublikat do të thotë që dy makina në të njëjtin segment kërkojnë të dyja një adresë. Kernel-i e vëren sepse përgjigjja ndaj sondës së tij vjen nga një MAC tjetër, dhe çfarë ndodh më pas varet nga stack-u: Linux e regjistron, Windows çaktivizon ndërfaqen dhe shkruan një zë në regjistrin e sistemit, dhe një klient DHCP mund ta refuzojë ofertën.

Një mbivendosje nuk dublizon asnjë adresë. LAN-i yt është 192.168.1.0/24, rrjeti i zyrës është gjithashtu 192.168.1.0/24, dhe tani rruga drejt zyrës tregon adresa që janë gjithashtu printeri dhe NAS-i yt. Asgjë nuk është në konflikt në kuptimin ARP; paketa thjesht shkon te pajisja e gabuar në njërin nga dy rrjetet.

Një përplasje në pishinë është faji i vetë tunelit. Dy peer-ë u konfiguruan me ose iu caktua e njëjta adresë tuneli, kështu që serveri nuk mund t'i dallojë kur dërgon trafik kthimi. Njëri nga dy klientët sheh një handshake që funksionon dhe asnjë të dhënë, që lexohet si problem rrugëtimi dhe nuk është.

Testi 1: a është dublikati në segmentin tënd?

Fillimisht rendit atë që makina jote ka vërtet, jo atë që kujton se ke konfiguruar. Adresa e një përshtatësi VPN është private për tunelin dhe nuk është e njëjta adresë që shohin faqet e internetit, kështu që një dalje publike e përbashkët nuk është konflikt.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Në Windows i njëjti informacion vjen nga ipconfig /all dhe Get-NetIPAddress, me cache-in e fqinjëve në arp -a. Nëse adresa e kontestuar është në përshtatësin fizik dhe ankesa shfaqet pa VPN-in duke punuar, VPN-i është vetëm vëzhgues dhe duhet të ndalosh së diagnostikuari atë.

Për të provuar një dublikat në vend që të hamendësosh, skano adresën nga një pajisje që nuk e zotëron. arping -D e dërgon sondën me një adresë burimi zero, kështu që një përgjigje nga një MAC e papritur provon se një host tjetër tashmë përgjigjet për atë adresë.

sudo arping -D -I eth0 -c 3 192.168.1.50

Pastaj gjej pronarin përmes administratorit të rrjetit në vend që të zgjedhësh vetë një adresë tjetër. Caktimet statike që jetojnë vetëm në shënimet e dikujt, printerët me adresë fikse dhe rezervimet në serverin DHCP janë fajtorët e zakonshëm, dhe një pajisje e fikur vazhdon ta zotërojë leasing-un e saj.

Testi 2: a mbivendosen të dy rrjetet?

Krahaso prefiksin që të jep tuneli me prefikset në ndërfaqet e tua. Nëse intervali i largët është i barabartë me LAN-in tënd ose e përmban atë, defekti është mbivendosje, dhe shenja zbuluese është që një host i arritshëm pa VPN errësohet, ose që printeri yt përgjigjet në një adresë zyre.

ip route get 192.168.1.10
ip -br addr show

Kërkimi i rrugës të tregon cilën ndërfaqe do të përdorte kernel-i, dhe ajo përgjigje është e gjithë diagnoza. Nëse thotë tunelin për një adresë që i përket printerit tënd lokal, ke një mbivendosje dhe asnjë rinovim leasing-u nuk e ndryshon.

Ka tre rrugëdalje të ndershme, dhe zakonisht vetëm njëra është në dispozicionin tënd. Ana e largët mund të maskojë trafikun për nënrrjetin që mbivendoset, kështu që klienti yt sheh vetëm adresën e tunelit të serverit. Tuneli mund të mbajë një prefiks të largët më të ngushtë që nuk përplaset me LAN-in tënd. Ose klienti mund të rrugëtojë sipas adresës burimore me rregulla politike, që funksionon por është i brishtë dhe i vështirë për t'ia kaluar një kolegu.

Rinumërimi i rrjetit të zyrës rrallë është në dorën tënde. Rinumërimi i LAN-it tënd për të shmangur përplasjen është një ndryshim më i madh nga sa presin shumica kur përfshihen printerë, kamera dhe host-e statike.

Testi 3: a e dha tuneli një adresë dy herë?

WireGuard nuk ka pishinë adresash. Çdo peer identifikohet nga çelësi i tij publik dhe nga prefikset në AllowedIPs, kështu që një dublikat shfaqet kur e njëjta adresë tuneli shkruhet në dy zëra peer ose i njëjti çift çelësash instalohet në dy makina.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Numëruesit e trafikut janë kolona e dobishme këtu: një peer që tregon një handshake të fundit por asnjë transferim ose është i adresuar gabimisht ose po mbulohet nga një zë tjetër që kërkon të njëjtin prefiks. Vendos një prefiks në saktësisht një peer dhe jepi secilës pajisje çiftin e vet të çelësave.

OpenVPN ka një pishinë, dhe përplasja e zakonshme është një profil klienti i përbashkët me një rresht --ifconfig fiks të kopjuar në një makinë të dytë. Të dy klientët kërkojnë pastaj të njëjtën adresë tuneli, dhe serveri pranon atë sesion që përpunon i pari. Shterimi i pishinës me --duplicate-cn prodhon një rezultat të ngjashëm kur disa sesione të një certifikate konkurrojnë për një zë.

Lexo regjistrin e serverit në vend të regjistrit të klientit për këtë. Serveri e di cili sesion kërkoi cilën adresë, dhe adresat e përsëritura aty janë të dukshme si paralajmërime që nuk arrijnë kurrë te klienti.

Riparo në burim dhe pastaj rikontrollo të dyja pajisjet

Rendi ka rëndësi. Rregullo fillimisht një dublikat në LAN, sepse një klient që nuk mund të mbajë një adresë nuk mund të mbajë as një tunel. Pastaj rregullo furnizimin në anën e VPN-it, sepse një ndryshim në klient i një caktimi nga pishina zhbëhet në lidhjen tjetër. Së fundi, merre me identitetet e dublikuara: çifte çelësash të veçantë në WireGuard, certifikata të veçanta ose të paktën profile të veçanta në OpenVPN.

Në klient pjesa mekanike është e shkurtër. Lësho dhe rinovo një leasing DHCP, ose kërko që adresa të ndryshohet në server për një rezervim. Mos shkruaj një adresë të rastësishme që duket e lirë.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Pastaj verifiko nga të dy skajet, jo nga njëri. Konfirmo gateway-in, pastaj shërbimin që të duhet vërtet, dhe pastaj rilidhu dhe përsërit. Nëse ishin përfshirë dy pajisje, kontrollo të dyja: zhvendosja e një adrese e lë tjetrën me zëra fqinjësh të vjetruar ose një leasing të vjetër që rishfaqet më vonë.

Çfarë nuk duhet të bësh gjatë rrugës

Mos e hesht simptomën. Zbulimi i adresave të dublikuara është ai që të ndalon të marrësh një adresë që është tashmë në përdorim, dhe çaktivizimi i tij e kthen një konflikt të dukshëm në humbje intermittente paketash që është shumë më e vështirë për t'u gjurmuar. E njëjta gjë vlen për pranimin e një paralajmërimi certifikate nga një host i papritur: ai nuk është fare problem adrese, dhe klikimi përmes tij fsheh një defekt tjetër.

As mos e ndrysho vetë adresimin e një rrjeti të menaxhuar. Regjistro cilësimin origjinal, pyet pronarin kur adresa caktohet në mënyrë qendrore, dhe mbaje ndryshimin aq të vogël sa të mund të kthehet. Rregullat e zbulimit të konflikteve të adresave RFC 5227 shpjegojnë çfarë provon një sondë e saktë, gjë që ia vlen ta dish përpara se ta quash të vërtetë një konflikt.