VPN కి కనెక్ట్ అయిన తర్వాత స్థానిక IP చిరునామా ఘర్షణను పరిష్కరించండి

ఈ నివేదికలన్నీ ఒకేలా వినిపిస్తాయి, కానీ వేర్వేరు అర్థాలను ఇస్తాయి: ల్యాప్‌టాప్ చిరునామా ఘర్షణ గురించి ఫిర్యాదు చేస్తుంది, కానీ అప్పుడప్పుడు మాత్రమే, ఎక్కువగా VPN నడుస్తున్నప్పుడు. మూడు వేర్వేరు లోపాలు ఆ సందేశాన్ని ఉత్పత్తి చేస్తాయి: మీ స్వంత లింక్‌పై నిజమైన నకిలీ, రిమోట్ నెట్‌వర్క్ మీ LAN పరిధిని ఉపయోగించే మరియు ఏదీ నకిలీ కాని అతివ్యాప్తి, మరియు ఒక చిరునామాను ఇద్దరు పీర్‌లకు ఇచ్చిన టన్నెల్. మరమ్మతు ప్రతి సందర్భంలో భిన్నంగా ఉంటుంది, తప్పుది లక్షణాన్ని తొలగించడం బదులు స్థానభ్రంశం చేస్తుంది. కాబట్టి ఏదైనా మార్చే ముందు మీకు ఏ సందర్భం ఉందో నిర్ణయించుకోండి.

ఒకే లోప సందేశాన్ని పంచుకునే మూడు లోపాలు

నకిలీ అంటే ఒకే సెగ్మెంట్‌లోని రెండు మెషీన్లు ఒకే చిరునామాను క్లెయిమ్ చేయడం. కెర్నల్ దానిని గమనిస్తుంది ఎందుకంటే దాని స్వంత ప్రోబ్‌కు వచ్చే సమాధానం మరో MAC నుండి వస్తుంది, తర్వాత ఏమి జరుగుతుంది అనేది స్టాక్‌పై ఆధారపడి ఉంటుంది: Linux దానిని లాగ్ చేస్తుంది, Windows ఇంటర్‌ఫేస్‌ను నిలిపివేసి సిస్టమ్ లాగ్‌లో ఎంట్రీ రాస్తుంది, DHCP క్లయింట్ ఆఫర్‌ను తిరస్కరించవచ్చు.

అతివ్యాప్తి ఏ చిరునామానూ నకిలీ చేయదు. మీ LAN 192.168.1.0/24, ఆఫీస్ నెట్‌వర్క్ కూడా 192.168.1.0/24, ఇప్పుడు ఆఫీస్‌కు వెళ్లే మార్గం మీ ప్రింటర్ మరియు NAS కూడా అయిన చిరునామాలను చూపుతుంది. ARP అర్థంలో ఏదీ ఘర్షణలో లేదు; ప్యాకెట్ రెండు నెట్‌వర్క్‌లలో ఒకదానిలో తప్పు పరికరానికి వెళుతుంది.

పూల్‌లో తాకిడి టన్నెల్ స్వంత తప్పు. రెండు పీర్‌లు ఒకే టన్నెల్ చిరునామాతో కాన్ఫిగర్ చేయబడ్డాయి లేదా కేటాయించబడ్డాయి, కాబట్టి రిటర్న్ ట్రాఫిక్ పంపేటప్పుడు సర్వర్ వాటిని వేరు చేయలేదు. రెండు క్లయింట్‌లలో ఒకటి పనిచేసే హ్యాండ్‌షేక్ మరియు డేటా లేకపోవడం చూస్తుంది, ఇది రూటింగ్ సమస్యగా కనిపిస్తుంది కానీ కాదు.

పరీక్ష 1: నకిలీ మీ స్వంత సెగ్మెంట్‌లో ఉందా?

మీ మెషీన్ వాస్తవంగా ఏమి కలిగి ఉందో జాబితా చేయడంతో ప్రారంభించండి, మీరు కాన్ఫిగర్ చేసినట్లు గుర్తుండి ఉన్నది కాదు. VPN అడాప్టర్ చిరునామా టన్నెల్‌కు ప్రైవేట్, వెబ్‌సైట్‌లు చూసే చిరునామా అది కాదు, కాబట్టి పంచుకున్న పబ్లిక్ ఎగ్జిట్ ఘర్షణ కాదు.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Windows లో అదే సమాచారం ipconfig /all మరియు Get-NetIPAddress నుండి వస్తుంది, పొరుగు కాష్ arp -a లో ఉంది. వివాదాస్పద చిరునామా భౌతిక అడాప్టర్‌పై ఉండి, VPN నడవకుండానే ఫిర్యాదు కనిపిస్తే, VPN ఒక ప్రేక్షకుడు, దానిని పరిష్కరించడం ఆపండి.

ఊహించడం బదులు నకిలీని నిరూపించడానికి, దానిని కలిగి లేని పరికరం నుండి చిరునామాను ప్రోబ్ చేయండి. arping -D ప్రోబ్‌ను సున్నా మూల చిరునామాతో పంపుతుంది, కాబట్టి ఊహించని MAC నుండి వచ్చే సమాధానం మరో హోస్ట్ ఇప్పటికే ఆ చిరునామాకు సమాధానం ఇస్తోందని నిరూపిస్తుంది.

sudo arping -D -I eth0 -c 3 192.168.1.50

తర్వాత మీరే మరో చిరునామా ఎంచుకోవడం బదులు నెట్‌వర్క్ నిర్వాహకుడి ద్వారా యజమానిని కనుగొనండి. ఒకరి నోట్స్‌లో మాత్రమే ఉండే స్టాటిక్ కేటాయింపులు, స్థిర చిరునామా ఉన్న ప్రింటర్లు మరియు DHCP సర్వర్‌లోని రిజర్వేషన్లు సాధారణ నిందితులు, ఆఫ్ చేసిన పరికరం కూడా తన లీజ్‌ను కలిగి ఉంటుంది.

పరీక్ష 2: రెండు నెట్‌వర్క్‌లు అతివ్యాప్తి అవుతాయా?

టన్నెల్ ఇచ్చే ప్రిఫిక్స్‌ను మీ స్వంత ఇంటర్‌ఫేస్‌ల ప్రిఫిక్స్‌లతో పోల్చండి. రిమోట్ పరిధి మీ LAN కు సమానమైతే లేదా దానిని కలిగి ఉంటే, లోపం అతివ్యాప్తి, దానిని బయటపెట్టేది VPN లేకుండా చేరుకోగల హోస్ట్ చీకటిపడటం, లేదా మీ స్వంత ప్రింటర్ ఆఫీస్ చిరునామాపై సమాధానం ఇవ్వడం.

ip route get 192.168.1.10
ip -br addr show

రూట్ లుకప్ కెర్నల్ ఏ ఇంటర్‌ఫేస్‌ను ఉపయోగిస్తుందో చెబుతుంది, ఆ సమాధానమే మొత్తం నిర్ధారణ. మీ స్థానిక ప్రింటర్‌కు చెందిన చిరునామా కోసం అది టన్నెల్ చెబితే, మీకు అతివ్యాప్తి ఉంది, ఏ లీజ్ పునరుద్ధరణా దానిని మార్చదు.

మూడు నిజాయితీ మార్గాలు ఉన్నాయి, సాధారణంగా మీకు ఒకటి మాత్రమే అందుబాటులో ఉంటుంది. రిమోట్ వైపు అతివ్యాప్తి అయ్యే సబ్‌నెట్ కోసం ట్రాఫిక్‌ను మాస్కరేడ్ చేయవచ్చు, కాబట్టి మీ క్లయింట్ సర్వర్ టన్నెల్ చిరునామాను మాత్రమే చూస్తుంది. టన్నెల్ మీ LAN తో ఢీకొనని ఇరుకైన రిమోట్ ప్రిఫిక్స్‌ను మోసుకెళ్లవచ్చు. లేదా క్లయింట్ పాలసీ నియమాలతో మూల చిరునామా ప్రకారం రూట్ చేయవచ్చు, ఇది పనిచేస్తుంది కానీ సున్నితమైనది, సహోద్యోగికి అప్పగించడం కష్టం.

ఆఫీస్ నెట్‌వర్క్‌ను తిరిగి నంబర్ చేయడం అరుదుగా మీ నిర్ణయం. ఢీకొనడాన్ని తప్పించుకోవడానికి మీ స్వంత LAN ను తిరిగి నంబర్ చేయడం ప్రింటర్లు, కెమెరాలు మరియు స్థిర హోస్ట్‌లు చేరిన తర్వాత చాలామంది ఊహించిన దానికంటే పెద్ద మార్పు.

పరీక్ష 3: టన్నెల్ ఒక చిరునామాను రెండుసార్లు ఇచ్చిందా?

WireGuard కు చిరునామా పూల్ లేదు. ప్రతి పీర్ తన పబ్లిక్ కీ మరియు AllowedIPs లోని ప్రిఫిక్స్‌ల ద్వారా గుర్తించబడుతుంది, కాబట్టి అదే టన్నెల్ చిరునామా రెండు పీర్ ఎంట్రీలలో రాయబడినప్పుడు లేదా అదే కీ జోడీ రెండు మెషీన్లపై ఇన్‌స్టాల్ చేయబడినప్పుడు నకిలీ కనిపిస్తుంది.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

ట్రాఫిక్ కౌంటర్లు ఇక్కడ ఉపయోగకరమైన కాలమ్: ఇటీవలి హ్యాండ్‌షేక్ చూపుతూ బదిలీ లేని పీర్ గానీ తప్పు చిరునామాలో ఉంది, గానీ అదే ప్రిఫిక్స్ క్లెయిమ్ చేసే మరో ఎంట్రీ ద్వారా కప్పబడింది. ప్రిఫిక్స్‌ను సరిగ్గా ఒక పీర్‌పై పెట్టండి, ప్రతి పరికరానికి దాని స్వంత కీ జోడీ ఇవ్వండి.

OpenVPN కు పూల్ ఉంది, సాధారణ తాకిడి స్థిర --ifconfig లైన్ ఉన్న పంచుకున్న క్లయింట్ ప్రొఫైల్ రెండో మెషీన్‌కు కాపీ చేయడం. అప్పుడు రెండు క్లయింట్లు ఒకే టన్నెల్ చిరునామాను అడుగుతాయి, సర్వర్ మొదట ప్రాసెస్ చేసే సెషన్‌ను అంగీకరిస్తుంది. --duplicate-cn తో పూల్ ఖాళీ అవడం ఒక సర్టిఫికెట్ యొక్క అనేక సెషన్లు ఒక ఎంట్రీ కోసం పోటీపడినప్పుడు అలాంటి ఫలితమే ఇస్తుంది.

దీనికి క్లయింట్ లాగ్ కాదు, సర్వర్ లాగ్ చదవండి. ఏ సెషన్ ఏ చిరునామాను క్లెయిమ్ చేసిందో సర్వర్‌కు తెలుసు, అక్కడ పునరావృత చిరునామాలు క్లయింట్‌ను ఎప్పటికీ చేరని హెచ్చరికలుగా కనిపిస్తాయి.

మూలంలోనే సరిచేసి, తర్వాత రెండు పరికరాలను తనిఖీ చేయండి

క్రమం ముఖ్యం. మొదట LAN నకిలీని సరిచేయండి, ఎందుకంటే చిరునామాను నిలుపుకోలేని క్లయింట్ టన్నెల్‌ను కూడా నిలుపుకోలేదు. తర్వాత VPN వైపు ప్రొవిజనింగ్‌ను సరిచేయండి, ఎందుకంటే క్లయింట్‌లో పూల్ కేటాయింపుకు చేసే మార్పు తదుపరి కనెక్షన్‌లో రద్దు అవుతుంది. చివరగా నకిలీ గుర్తింపులను పరిష్కరించండి: WireGuard లో వేర్వేరు కీ జోడీలు, OpenVPN లో వేర్వేరు సర్టిఫికెట్లు లేదా కనీసం వేర్వేరు ప్రొఫైల్స్.

క్లయింట్‌లో యాంత్రిక భాగం చిన్నది. DHCP లీజ్‌ను విడుదల చేసి పునరుద్ధరించండి, లేదా రిజర్వేషన్ కోసం సర్వర్‌లో చిరునామాను మార్చమని అడగండి. ఖాళీగా కనిపించే యాదృచ్ఛిక చిరునామాను టైప్ చేయవద్దు.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

తర్వాత ఒక చివర నుండి కాదు, రెండు చివరల నుండి ధృవీకరించండి. గేట్‌వేను, తర్వాత మీకు నిజంగా అవసరమైన సేవను నిర్ధారించండి, ఆపై మళ్లీ కనెక్ట్ అయి పునరావృతం చేయండి. రెండు పరికరాలు ఉన్నాయంత్రితే రెండింటినీ తనిఖీ చేయండి: ఒక చిరునామాను కదిలించడం మరొకదాన్ని పాత పొరుగు ఎంట్రీలు లేదా తర్వాత మళ్లీ కనిపించే పాత లీజ్‌తో వదిలిస్తుంది.

దారిలో చేయకూడనివి

లక్షణాన్ని నిశ్శబ్దం చేయవద్దు. నకిలీ చిరునామా గుర్తింపు ఇప్పటికే ఉపయోగంలో ఉన్న చిరునామాను తీసుకోకుండా మిమ్మల్ని ఆపేది, దానిని నిలిపివేయడం కనిపించే ఘర్షణను గుర్తించడం చాలా కష్టమైన అడపాదడపా ప్యాకెట్ నష్టంగా మారుస్తుంది. ఊహించని హోస్ట్ నుండి వచ్చే సర్టిఫికెట్ హెచ్చరికను అంగీకరించడానికి కూడా ఇదే వర్తిస్తుంది: అది చిరునామా సమస్యే కాదు, దాన్ని దాటి క్లిక్ చేయడం మరో లోపాన్ని దాస్తుంది.

నిర్వహించబడే నెట్‌వర్క్ చిరునామాలను కూడా మీరే మార్చవద్దు. అసలు సెట్టింగ్‌ను నమోదు చేయండి, చిరునామా కేంద్రీయంగా కేటాయించబడినప్పుడు యజమానిని అడగండి, మార్పును తిప్పికొట్టగలిగేంత చిన్నగా ఉంచండి. RFC 5227 చిరునామా ఘర్షణ గుర్తింపు నియమాలు సరైన ప్రోబ్ ఏమి నిరూపిస్తుందో వివరిస్తాయి, ఘర్షణను నిజమైనదని చెప్పే ముందు ఇది తెలుసుకోవడం విలువైనది.