บ้านและออฟฟิศใช้ 192.168.1.x เหมือนกัน: ทำอย่างไรต่อ

ตรวจสี่อย่างตามลำดับ ได้แก่ ชื่อแปลงเป็นที่อยู่ใด เครือข่ายภายในใช้คำนำหน้าอะไร เคอร์เนลเลือกเส้นทางใดสำหรับปลายทางนั้น และอะไรตอบที่ปลายทางไกล การเข้าสู่ระบบ VPN ไม่ใช่หนึ่งในนั้น เพราะสำเร็จไม่ว่าเครือข่ายใดจะชนะ ทำตามลำดับแล้วความทับซ้อนจะเห็นได้ตั้งแต่ขั้นที่สองไม่ใช่ขั้นที่สี่

การเข้าสู่ระบบสำเร็จบอกว่าอุโมงค์ทำงานอยู่ แต่ไม่ได้บอกว่าที่อยู่หนึ่งชี้ไปที่ใด

ที่อยู่หนึ่ง สองเครื่อง

โฮสต์เลือกเส้นทางจากตารางเส้นทางและกฎนโยบายโดยใช้ที่อยู่ปลายทาง ไม่มีอะไรบอกว่าคำขอไปยังฮอป 192.168.1.20 มีไว้สำหรับเซิร์ฟเวอร์ออฟฟิศไม่ใช่อุปกรณ์ในห้องข้าง ๆ เมื่อทั้งสองเครือข่ายอยู่ในช่วงส่วนตัวเดียวกัน เส้นทางที่เฉพาะเจาะจงที่สุดจะชนะ และทุกอย่างที่เหลือขึ้นกับว่าการเชื่อมต่อใหม่บังเอิญติดตั้งรายการใด ไม่มีอะไรในที่อยู่เองที่บอกความแตกต่างนี้

ip route get 192.168.1.20

การค้นหานั้นระบุอินเทอร์เฟซและฮอปถัดไปที่เคอร์เนลเลือก ซึ่งเป็นการตรวจครั้งที่สองในรายการ เปรียบเทียบคำนำหน้าฝั่งในและฝั่งไกลก่อนทำอย่างอื่น หาก LAN ภายในเป็น 192.168.1.0/24 และไซต์ไกลก็เป็น 192.168.1.0/24 แสดงว่าความทับซ้อนคือสิ่งที่พบ และไม่มีตัวเลือกใดของไคลเอนต์แก้ได้

เปลี่ยนเลขฝั่งที่คุณควบคุม

เราเตอร์ส่วนตัวมักเป็นฝั่งที่ย้ายง่ายกว่า เลือกช่วงที่ไม่ชนกับเครือข่ายไกลที่คุณใช้จริง และสังเกตว่า 10.x.x.x ก็ไม่ได้ว่างโดยอัตโนมัติ เพราะหลายไซต์ใช้ช่วงนี้ วางแผนการเปลี่ยนแปลง ทั้งสัญญาเช่า DHCP ที่อยู่ที่จองไว้ คิวพิมพ์ และทุกสิ่งที่ใช้ที่อยู่แบบกำหนดตายตัวล้วนต้องดูแล ทำการเปลี่ยนเลขในช่วงเวลาที่คุณกู้เราเตอร์ได้โดยไม่ต้องใช้ VPN

ตรวจรายการคำนำหน้าฝั่งไกลก่อน ไม่ใช่ทีหลัง การเลือกช่วงใหม่ที่ชนกับไซต์ออฟฟิศอื่นทำให้เกิดปัญหาเดิมด้วยแรงงานที่มากขึ้น

เมื่อทั้งสองฝั่งเปลี่ยนไม่ได้

หากเปลี่ยนเลขเครือข่ายใดไม่ได้เลย ทางเลือกที่เหลืออยู่บนเซิร์ฟเวอร์ เกตเวย์สามารถแปลเครือข่ายไกลเป็นซับเน็ตอื่นสำหรับไคลเอนต์ VPN โดยใช้ NAT ตามนโยบายหรือรูปแบบสองทิศทาง ทำให้ไคลเอนต์เห็นที่อยู่ที่ไม่ซ้ำ แต่นั่นคือการออกแบบเกตเวย์ ไม่ใช่สวิตช์ที่ไคลเอนต์เดสก์ท็อปทุกตัวมีให้ และมันเปลี่ยนที่อยู่ที่ผู้ใช้พิมพ์และชื่อที่ต้องตรงกัน เส้นทางที่คัดลอกจากฟอรัมไม่สามารถแยกปลายทางสองแห่งที่เหมือนกันได้

ช่วงที่อยู่ส่วนตัวยังคงเป็นส่วนตัว ปัญหาคือการใช้ซ้ำ ไม่ใช่ช่วงที่อยู่เอง

พิสูจน์ว่าเครื่องใดตอบ

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

หลังการเปลี่ยนแปลงใด ๆ ให้ทดสอบทรัพยากรออฟฟิศและอุปกรณ์ภายในพร้อมกัน หากอุปกรณ์ที่บ้านที่คุ้นเคยตอบในตำแหน่งที่เซิร์ฟเวอร์ออฟฟิศควรอยู่ หรือใบรับรอง TLS ระบุโฮสต์ผิด ให้หยุดและระบุปลายทางก่อนดำเนินการต่อ การได้คำตอบจากที่อยู่นั้นไม่ได้ยืนยันว่าเครื่องใดส่งมา การตรวจหัวข้อใบรับรองเป็นหนึ่งในสัญญาณที่เชื่อถือได้ไม่กี่อย่างที่ใช้ได้ในตอนนั้น

อย่าแทนที่อยู่ส่วนตัวของออฟฟิศด้วยที่อยู่สาธารณะตามอำเภอใจที่คุณไม่ได้ควบคุม การทำเช่นนั้นแลกความทับซ้อนกับปัญหาการกำหนดเส้นทางและความเป็นเจ้าของที่แย่กว่าและอธิบายยากกว่า

บันทึกคำนำหน้าฝั่งใน คำนำหน้าฝั่งไกล และการเปลี่ยนแปลงที่แก้ปัญหา ความทับซ้อนครั้งต่อไปจะดูต่างออกไปแต่จะตามรูปแบบเดิม