Ниједна рута не поправља VPN базен који се преклапа са вашим LAN-ом

Када базен тунела и кућни LAN деле 192.168.1.0/24, локална подмрежа побеђује. Пренумеришите страну коју контролишете или преведите удаљени опсег.

Апликација тврди да је тунел здрав, а ипак половина одредишта која су вам потребна никада не одговара. Рефлекс је додати руту или снизити метрику, и управо тај рефлекс је мит који прво треба убити. Када сопствени LAN клијента и базен тунела траже исти префикс, табела рутирања држи две неспојиве чињенице, и ни подразумевана рута ни метрика их не решавају. Поправка је одлука о адресирању, и никакво уређивање рута је не замењује.

Зашто додатна рута не може да подели један префикс

Рута не може да раздвоји два захтева на једном префиксу, зато је разуман корак престати тражити праву линију руте. Стек неће поставити идентичан префикс испред повезане руте, а специфичнији унос ухвати адресу, али локалног хоста који је поседује чини недоступним. Оно што изгледа као проблем рутирања јесте судар адресирања, и обе поправке мењају адресе, а не руте. Проверите ову тврдњу на свом рачунару пре него што је прихватите.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Питајте систем о једној адреси и приметите који интерфејс именује. Linux, macOS и Windows одговарају претрагом само за читање која саопштава изабрани интерфејс и следећи скок без слања било чега. Када одговор показује на физички адаптер док је тунел подигнут, језгро адресу третира као ону на вези, а не као нешто што би тунел могао да носи.

Ставите префикс који је доделио провајдер поред оног који служи кућни рутер и упоредите их као низове. Тачно поклапање је јасан случај, а шири базен провајдера који садржи кућну подмрежу подбацује исто, само га је лакше превидети. Два префикса која само изгледају слично нису судар, зато запишите оба пре него што нешто промените.

Прочитајте базен који је клијент заиста добио

Читајте оно што је клијент примио, а не маркетинг страницу провајдера. Повећајте детаљност дневника OpenVPN клијента и руте које сервер гура појавиће се у њему, откривајући префиксе тунела; другде се базен види у детаљима везе или на самом адаптеру. Замолите провајдера за пун списак приватних опсега које користи, јер једна /24 данас може бити две сутра. Избегавање уобичајених RFC 1918 блокова није исто што и избегавање доделе која вам је заиста дата.

Базен може и да се смањи или пресели међу регионима, зато је списку потребан датум и власник. Сваки одговор провајдера старији од ваше последње промене плана третирајте као претпоставку, а не као чињеницу. Питајте поново пре него што се обавежете на опсег, и чувајте одговор уз мрежне белешке да следећи човек наследи доказ.

Пренумерисање је поправка коју можете да изведете

Ако VPN сервер није ваш да га мењате, премештање кућног LAN-а је једина доступна поправка, и то је уобичајена ситуација са комерцијалним провајдером. Изаберите опсег изван базена провајдера и изван опсега који ће вам можда требати касније, и проверите га према сваком другом месту до ког стижете кроз тунел. Очекујте кратак прекид и дужи реп заборављених уређаја: уређај који још држи стару адресу изгледа да ради док му не затреба мрежни пролаз.

  1. Прво попис: сопствена адреса рутера, DHCP опсег, резервације, прослеђивања портова и сваки уређај чија је адреса унета ручно.
  2. Затим промените LAN префикс рутера и DHCP опсег заједно унутар сервисног прозора, и обновите жичане закупе пре бежичних.
  3. Потом исправите статичке адресе: штампаче, мрежно складиште, све са чврсто уписаним пролазом.
  4. На крају, поново повежите OpenVPN клијента и потврдите да се адреса тунела више не судара са LAN-ом.

Прођите кроз адресе тим редом, а не све одједном, и оставите стари опсег неко време документован да застарели уређај буде препознатљив, а не загонетан. Уређај који никада не обнавља закуп оглашава се тиме што не стиже до пролаза, што је далеко бољи траг од позива подршци. Ако рутер издаје закупе дуже од дана, скратите их за време трајања прозора.

Шта може и шта не може псеудоним

Када је сервер ваш, превођење адреса на клијенту може да открије удаљени префикс унутар слободног локалног опсега, тако да исти хост одговара на другој адреси. Заједнички OpenVPN то чини са client-nat, и та директива је специфична за тог клијента, недостаје у комерцијалним и мобилним клијентима са којима се обично пореди. Поставка захтева руту која одговара преводу, слободан опсег за псеудоним и сервер спреман да одговори на непреведену адресу клијента. Ништа од тога не помаже када клијент припада управљивом провајдеру који не можете да конфигуришете.

Када промена ступи на снагу, стигните до локалног и удаљеног хоста прво по адреси, а затим по имену, бележећи руту коју систем бира сваки пут. Име се још може решити у стари опсег, зато адресе и имена заслужују независне провере. Рестартујте једног клијента и један уређај на страни сервера ако је неко од њих остао укључен током промене, јер кеширани уноси суседа живе дуже од измене.

Запишите префиксе на којима сте се задржали тамо где људи заиста гледају: у мрежним белешкама, у пољу за коментар рутера, на страници за упознавање. Неко ће поново изабрати 192.168.1.0/24, и судар ће се вратити са њим.

Повезани чланци