Домашня та офісна підмережі конфліктують через VPN: три рішення

Клієнт повідомляє, що з'єднання є і тунель піднятий, але файловий сервер офісу відповідає звідкись із кухні. Зазвичай обидві сторони використовують 192.168.1.0/24, бо саме з цим постачаються споживчі маршрутизатори, і жоден маршрут не вирішує неоднозначність, яка існує одночасно з обох боків. Збій може виглядати як зламаний тунель або зламаний сервер, але це ні те ні інше. Визначте, який конфлікт у вас є, перш ніж чіпати конфігурацію, бо типи мають різні рішення і лише одне з них про маршрутизацію.

Підключений маршрут перемагає все, що ви додаєте

Хост вважає адресу локальною, коли її покриває підключений маршрут. На ноутбуці, чий інтерфейс — 192.168.1.20/24, адреса 192.168.1.50 є сусідом, тож пакет виходить через домашній інтерфейс і ніколи не досягає тунелю.

Додавання маршруту для офісного префікса нічого не змінює, бо цей префікс уже існує як безпосередньо підключена мережа. Операційна система продовжує відповідати з підключеного запису, і його перевіряють раніше, ніж про щось запитують тунель. Порядок можна побачити самому: ip route get 192.168.1.50 називає домашній інтерфейс, а не тунель. Протилежний бік віддзеркалює проблему, бо офісний маршрутизатор теж вважає, що домашній діапазон ноутбука належить йому.

Тихі конфлікти поза очевидним

Не кожен випадок — рішення про маршрутизацію. Домашня оренда DHCP може потрапити рівно на адресу, яку займає офісний сервер, і тоді клієнт розмовляє сам із собою, поки тунель нічого не передає.

Імена конфліктують так само. Дві машини з однаковим ім'ям комп'ютера ламають інструменти, засновані на іменах, навіть коли кожен пакет маршрутизується правильно, а запис hosts, що вказує на офісну адресу, не спрацьовує, якщо локальна машина вже володіє цим ім'ям, бо локальне розв'язання перемагає. Перейменуйте локальну машину або використовуйте повне доменне ім'я замість редагування hosts.

Гіпервізори додають третій випадок. Адаптер лише для хоста зазвичай сидить на 192.168.56.0/24, що може конфліктувати з корпоративним діапазоном, про який ніхто не пам'ятає, що він використовується.

Перенумеруйте свій бік

Перенумерація усуває неоднозначність, а не обходить її, і в домашньому офісі це саме ваш бік. Виберіть щось, що не з'явиться більше ніде, і перед тим як чіпати маршрутизатор, перелічіть усі пристрої зі статичними адресами.

10.0.0.0/8 і 172.16.0.0/12 — звичайні кандидати. Заводські налаштування прошивки, 192.168.0.0/24 і 192.168.1.0/24, — це саме те, що треба залишити.

Перенумерація офісу рідко можлива, а домашня перенумерація коштує вечора на перепідключення принтерів і розеток. Усе ж це дешевше, ніж обхідний шлях, який повторюють на кожному ноутбуці компанії.

Опублікуйте діапазон, який не може конфліктувати

Там, де офісний діапазон має залишитися, зробіть бік тунелю важчим для конфлікту. Виділення клієнтського пулу як невеликого префікса замість позичання цілої /24 дає конкретний маршрут, а не широкий.

Якщо шлюз уміє транслювати, опублікуйте офісну підмережу під псевдонімним діапазоном, щоб призначення клієнта не могло потрапити в його власну LAN. Схема «сайт-сайт» може дати кожному сайту свій псевдонім, і це дозволяє розрізняти двох клієнтів з однаковою нумерацією.

Трансляція не безкоштовна. Вона має працювати в обидва боки і покривати адресу джерела та призначення, а застосунки, які записують адреси у власні корисні дані, повністю її проігнорують. Тому це відповідь, коли перенумерація неможлива, а клієнтів мало.

Виберіть за тим, що можете змінити

Один-два ноутбуки вдома: перенумеруйте домашню LAN. Керований офіс, який не може перенумерувати: трансляція псевдонімів на шлюзі. Повторювана нумерація на сайтах клієнтів: псевдоніми для кожного сайту, сплановані один раз. Коли відмовляють лише інструменти на основі імен, вважайте це конфліктом імен, а не збоєм маршрутизації.

Що б ви не вибрали, перевіряйте на адресі, яка існує лише на іншому боці. Пінг власного маршрутизатора нічого не каже про те, яка мережа відповіла.