VPN'e bağlandıktan sonra yerel IP adresi çakışmasını düzeltme

Bu raporların hepsi aynı kulağa geliyor ve farklı anlamlara geliyor: dizüstü bilgisayar bir adres çakışmasından şikayet ediyor, ama yalnızca bazen ve çoğunlukla VPN açıkken. Üç ayrı arıza bu mesajı üretir: kendi bağlantınızdaki gerçek bir kopya, uzak ağın LAN aralığınızı kullandığı ve hiçbir şeyin kopyalanmadığı bir çakışma ve bir adresi iki eşe veren bir tünel. Onarım her durumda farklıdır ve yanlış olan semptomu kaldırmak yerine taşır. Bu yüzden herhangi bir şeyi düzenlemeden önce hangi durumda olduğunuza karar verin.

Tek bir hata mesajını paylaşan üç arıza

Kopya, aynı segmentteki iki makinenin aynı adresi talep etmesi demektir. Çekirdek bunu fark eder çünkü kendi yoklamasına gelen yanıt başka bir MAC'ten gelir ve sonrasında ne olacağı yığına bağlıdır: Linux bunu günlüğe yazar, Windows arayüzü devre dışı bırakır ve sistem günlüğüne bir kayıt yazar, DHCP istemcisi ise teklifi reddedebilir.

Çakışma hiçbir adresi kopyalamaz. LAN'ınız 192.168.1.0/24, ofis ağı da 192.168.1.0/24 ve artık ofise giden rota aynı zamanda yazıcınız ve NAS'ınız olan adresleri gösteriyor. ARP anlamında hiçbir şey çakışmıyor; paket yalnızca iki ağdan birinde yanlış cihaza gidiyor.

Havuzdaki bir çarpışma tünelin kendi hatasıdır. İki eş aynı tünel adresiyle yapılandırıldı veya onlara bu adres atandı, bu yüzden sunucu dönüş trafiği gönderirken onları ayırt edemez. İki istemciden biri çalışan bir el sıkışma ve hiç veri görmez; bu yönlendirme sorunu gibi okunur ama değildir.

Test 1: kopya kendi segmentinizde mi?

Makinenizin gerçekte ne tuttuğunu listeleyerek başlayın, yapılandırdığınızı hatırladığınız şeyi değil. Bir VPN bağdaştırıcısının adresi tünele özeldir ve web sitelerinin gördüğü adresle aynı değildir, bu yüzden paylaşılan bir genel çıkış çakışma değildir.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Windows'ta aynı bilgiler ipconfig /all ve Get-NetIPAddress komutlarından gelir; komşu önbelleği ise arp -a içindedir. Tartışmalı adres fiziksel bağdaştırıcıdaysa ve şikayet VPN çalışmadan ortaya çıkıyorsa, VPN bir seyircidir ve onu sorun gidermeyi bırakmalısınız.

Tahmin etmek yerine bir kopyayı kanıtlamak için adresi ona sahip olmayan bir cihazdan yoklayın. arping -D yoklamayı sıfır kaynak adresiyle gönderir, bu yüzden beklenmedik bir MAC'ten gelen yanıt başka bir ana makinenin zaten o adres için yanıt verdiğini kanıtlar.

sudo arping -D -I eth0 -c 3 192.168.1.50

Sonra kendiniz başka bir adres seçmek yerine ağ yöneticisi aracılığıyla sahibini bulun. Yalnızca birinin notlarında yaşayan statik atamalar, sabit adresli yazıcılar ve DHCP sunucusundaki rezervasyonlar olağan suçlulardır ve kapatılmış bir cihaz kiraladığı adrese hâlâ sahiptir.

Test 2: iki ağ çakışıyor mu?

Tünelin size verdiği öneki kendi arayüzlerinizdeki öneklerle karşılaştırın. Uzak aralık LAN'ınıza eşitse veya onu içeriyorsa arıza çakışmadır ve ele veren işaret, VPN olmadan erişilebilen bir ana makinenin kararması ya da kendi yazıcınızın bir ofis adresinde yanıt vermesidir.

ip route get 192.168.1.10
ip -br addr show

Rota sorgusu, çekirdeğin hangi arayüzü kullanacağını söyler ve o yanıt tüm tanıdır. Yerel yazıcınıza ait bir adres için tünel diyorsa, bir çakışmanız var ve hiçbir kira yenileme bunu değiştirmez.

Üç dürüst çıkış yolu var ve genellikle size yalnızca biri açıktır. Uzak taraf, çakışan alt ağ için trafiği maskeleyebilir, böylece istemciniz yalnızca sunucunun tünel adresini görür. Tünel, LAN'ınızla çarpışmayan daha dar bir uzak önek taşıyabilir. Ya da istemci, ilke kurallarıyla kaynak adrese göre yönlendirme yapabilir; bu işe yarar ama kırılgandır ve bir iş arkadaşına devretmesi zordur.

Ofis ağını yeniden numaralandırmak nadiren sizin kararınızdır. Çarpışmadan kaçınmak için kendi LAN'ınızı yeniden numaralandırmak, yazıcılar, kameralar ve statik ana makineler işin içine girdiğinde çoğu insanın beklediğinden daha büyük bir değişikliktir.

Test 3: tünel bir adresi iki kez mi verdi?

WireGuard'ın adres havuzu yoktur. Her eş, genel anahtarıyla ve AllowedIPs içindeki öneklerle tanımlanır, bu yüzden aynı tünel adresi iki eş girdisine yazıldığında veya aynı anahtar çifti iki makineye kurulduğunda bir kopya ortaya çıkar.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Trafik sayaçları burada yararlı sütundur: yakın tarihli bir el sıkışma gösteren ama aktarım göstermeyen bir eş ya yanlış adreslenmiştir ya da aynı öneki talep eden başka bir girdi tarafından gölgelenmiştir. Bir öneki tam olarak tek bir eşe koyun ve her cihaza kendi anahtar çiftini verin.

OpenVPN havuzu vardır ve yaygın çarpışma, sabit bir --ifconfig satırı içeren paylaşılan bir istemci profilinin ikinci bir makineye kopyalanmasıdır. O zaman iki istemci de aynı tünel adresini ister ve sunucu hangi oturumu önce işlerse onu kabul eder. --duplicate-cn ile havuzun tükenmesi, bir sertifikanın birkaç oturumu tek bir girdi için yarıştığında benzer bir sonuç üretir.

Bunun için istemci günlüğü yerine sunucu günlüğünü okuyun. Sunucu hangi oturumun hangi adresi talep ettiğini bilir ve oradaki yinelenen adresler, istemciye hiç ulaşmayan uyarılar olarak görünür.

Kaynakta onarın, sonra iki cihazı da yeniden denetleyin

Sıra önemlidir. Önce LAN'daki bir kopyayı düzeltin, çünkü bir adresi tutamayan bir istemci tüneli de tutamaz. Sonra VPN tarafındaki sağlamayı düzeltin, çünkü istemci tarafında bir havuz atamasına yapılan düzenleme bir sonraki bağlantıda geri alınır. Son olarak yinelenen kimliklerle ilgilenin: WireGuard'da ayrı anahtar çiftleri, OpenVPN'de ayrı sertifikalar veya en azından ayrı profiller.

İstemcide mekanik kısım kısadır. Bir DHCP kiralamasını bırakıp yenileyin veya rezervasyon için adresin sunucuda değiştirilmesini isteyin. Boş görünen rastgele bir adres yazmayın.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Sonra bir uçtan değil iki uçtan doğrulayın. Ağ geçidini, sonra gerçekten ihtiyaç duyduğunuz hizmeti doğrulayın, ardından yeniden bağlanın ve tekrarlayın. İki cihaz işin içindeyse her ikisini de denetleyin: bir adresi taşımak diğerini eskimiş komşu girdileriyle veya sonra yeniden ortaya çıkan eski bir kiralamayla bırakır.

Yolda yapılmaması gerekenler

Semptomu susturmayın. Yinelenen adres algılama, zaten kullanımda olan bir adresi almanızı engelleyen şeydir ve onu devre dışı bırakmak, görünür bir çakışmayı izlenmesi çok daha zor aralıklı paket kaybına dönüştürür. Aynısı beklenmedik bir ana makineden gelen sertifika uyarısını kabul etmek için de geçerlidir: bu hiç de adres sorunu değildir ve tıklayıp geçmek başka bir arızayı gizler.

Yönetilen bir ağın adreslemesini de kendi başınıza değiştirmeyin. Özgün ayarı kaydedin, adres merkezî olarak atandığında sahibine sorun ve değişikliği geri alınabilecek kadar küçük tutun. RFC 5227 adres çakışması algılama kuralları doğru bir yoklamanın neyi kanıtladığını açıklar; bir çakışmayı gerçek ilan etmeden önce bunu bilmekte yarar var.