Hem- och kontorsnät krockar över VPN: tre lösningar

Din klient rapporterar ansluten och tunneln uppe, men kontorets filserver svarar från någonstans i köket. Båda ändarna använder oftast 192.168.1.0/24 eftersom konsumentroutrar levereras så, och ingen rutt löser en tvetydighet som finns på båda sidor samtidigt. Felet kan se ut som en trasig tunnel eller en trasig server, och det är inget av dem. Ta reda på vilken kollision du har innan du rör en konfiguration, eftersom typerna har olika lösningar och bara en av dem handlar om routing.

En ansluten rutt slår allt du skjuter in

En värd kallar en adress lokal när en ansluten rutt täcker den. På en bärbar dator vars eget gränssnitt är 192.168.1.20/24 är adressen 192.168.1.50 en granne, så paketet lämnar via hemgränssnittet och når aldrig tunneln.

Att skjuta in en rutt för kontorsprefixet ändrar ingenting, eftersom prefixet redan finns som ett direkt anslutet nätverk. Operativsystemet fortsätter svara från den anslutna posten, och den konsulteras innan tunneln tillfrågas om något. Du kan se ordningen själv: ip route get 192.168.1.50 namnger hemgränssnittet, inte tunneln. Den andra änden speglar problemet, eftersom kontorsroutern också tror att den bärbara datorns hemområde tillhör den.

Tysta kollisioner bortom den uppenbara

Inte varje fall är ett routingbeslut. En hem-DHCP-lease kan hamna exakt på adressen som kontorsservern har, och då talar klienten med sig själv medan tunneln inte bär något.

Namn krockar på samma sätt. Två maskiner som delar ett datornamn bryter namnbaserade verktyg även när varje paket routas korrekt, och en hosts-post som pekar på kontorsadressen misslyckas när den lokala maskinen redan äger namnet, eftersom lokal upplösning vinner. Byt namn på den lokala maskinen eller använd det fullt kvalificerade namnet i stället för att redigera hosts.

Hypervisorer lägger till ett tredje fall. En endast-värd-adapter sitter oftast på 192.168.56.0/24, vilket kan krocka med ett företagsområde som ingen minns är i bruk.

Numrera om den sida du äger

Omnumrering tar bort tvetydigheten i stället för att undvika den, och på ett hemkontor är det den sida du äger. Välj något som inte dyker upp någon annanstans, och lista varje enhet med en statisk adress innan du rör routern.

10.0.0.0/8 och 172.16.0.0/12 är de vanliga kandidaterna. Firmwarens standardvärden, 192.168.0.0/24 och 192.168.1.0/24, är precis vad man bör lämna.

Att numrera om kontoret är sällan möjligt, och en hemomnumrering kostar en kväll med att koppla in skrivare och kontakter igen. Det är fortfarande billigare än en kringgående lösning som upprepas på varje bärbar dator i företaget.

Publicera ett område som inte kan krocka

Där kontorsområdet måste stanna, gör tunnelsidan svårare att krocka med. Att skära ut klientpoolen som ett litet prefix i stället för att låna ett helt /24 ger en specifik rutt i stället för en bred.

Om gatewayen kan översätta, publicera kontorsundernätet under ett aliasområde, så att klientens mål inte kan hamna inom dess eget LAN. En site-till-site-design kan ge varje plats sitt eget alias, vilket håller två kunder med identisk numrering åtskiljbara.

Översättning är inte gratis. Den måste köras i båda riktningarna och täcka källadressen och målet, och program som skriver adresser i sin egen nyttolast ignorerar den helt. Det gör den till svaret när omnumrering är omöjlig och antalet klienter är litet.

Välj efter vad du kan ändra

En eller två bärbara datorer hemma: numrera om hemnätet. Ett hanterat kontor som inte kan numrera om: aliasöversättning vid gatewayen. Upprepad numrering över kundsajter: alias per plats, planerade en gång. När bara namnbaserade verktyg misslyckas, behandla det som en namnkollision och inte som ett routingfel.

Vad du än väljer, testa mot en adress som bara finns på andra sidan. Att pinga din egen router säger ingenting om vilket nätverk som svarade.