Nhà và văn phòng đều dùng 192.168.1.x: giờ phải làm sao?

Thực hiện bốn bước kiểm tra: tên phân giải thành địa chỉ nào, mạng cục bộ dùng tiền tố nào, nhân chọn tuyến nào cho đích đó, và điều gì trả lời ở đầu xa. Đăng nhập VPN không nằm trong số đó, vì nó hoàn tất bất kể mạng nào thắng. Làm theo thứ tự và sự chồng lấn sẽ lộ ra ở bước thứ hai chứ không phải bước thứ tư.

Đăng nhập thành công chỉ nói đường hầm đã lên; nó không nói địa chỉ cụ thể trỏ về đâu.

Một địa chỉ, hai máy

Máy chủ chọn một đường từ bảng định tuyến và các quy tắc chính sách, dựa trên địa chỉ đích. Không có gì nói với nó rằng yêu cầu tới bước nhảy 192.168.1.20 dành cho máy chủ văn phòng chứ không phải thiết bị ở phòng bên cạnh. Khi cả hai mạng nằm trong cùng dải riêng, tuyến cụ thể nhất sẽ thắng và mọi thứ còn lại phụ thuộc vào việc lần kết nối lại tình cờ cài mục nào. Bản thân địa chỉ không mang sự khác biệt đó.

ip route get 192.168.1.20

Tra cứu đó nêu tên giao diện và bước nhảy tiếp theo mà nhân đã chọn, đây là bước kiểm tra thứ hai trong danh sách. So sánh tiền tố cục bộ và từ xa trước khi làm bất cứ điều gì khác. Nếu LAN cục bộ là 192.168.1.0/24 và site từ xa cũng là 192.168.1.0/24, sự chồng lấn chính là phát hiện, và không tùy chọn máy khách nào sửa được.

Đánh số lại phía bạn kiểm soát

Bộ định tuyến cá nhân thường là phía dễ di chuyển hơn. Chọn một dải không xung đột với các mạng từ xa bạn thực sự dùng, và lưu ý rằng 10.x.x.x cũng không tự động trống, vì nhiều site dùng dải này. Lập kế hoạch thay đổi: hợp đồng thuê DHCP, địa chỉ dành riêng, hàng đợi máy in và mọi thứ có địa chỉ gán cứng đều cần chú ý. Thực hiện đánh số lại trong khoảng thời gian bạn có thể khôi phục bộ định tuyến mà không cần VPN.

Kiểm tra danh sách tiền tố từ xa trước, không phải sau. Chọn một dải mới xung đột với site văn phòng khác tạo ra đúng vấn đề đó với nhiều công sức hơn.

Khi cả hai phía đều không thể thay đổi

Nếu không mạng nào có thể đánh số lại, các lựa chọn còn lại nằm trên máy chủ. Cổng có thể chuyển đổi mạng từ xa sang một mạng con khác cho máy khách VPN, dùng NAT dựa trên chính sách hoặc biến thể hai chiều, để máy khách thấy một địa chỉ duy nhất. Đó là thiết kế cổng chứ không phải công tắc mà mọi máy khách máy tính để bàn cung cấp, và nó thay đổi địa chỉ người dùng gõ và những tên phải khớp. Một tuyến sao chép từ diễn đàn không thể phân biệt hai đích giống nhau.

Các dải địa chỉ riêng vẫn là riêng; vấn đề là dùng lại, không phải bản thân các dải.

Chứng minh máy nào đã trả lời

openssl s_client -connect 192.168.1.20:443 -servername office.example 2>/dev/null | openssl x509 -noout -subject

Sau mọi thay đổi, kiểm tra tài nguyên văn phòng và các thiết bị cục bộ cùng lúc. Nếu một thiết bị trong nhà quen thuộc trả lời ở nơi đáng lẽ là máy chủ văn phòng, hoặc chứng chỉ TLS ghi sai máy chủ, hãy dừng lại và xác định đích trước khi tiếp tục. Nhận được câu trả lời từ địa chỉ đó không chứng minh máy nào đã gửi. Kiểm tra chủ thể chứng chỉ là một trong số ít tín hiệu đáng tin cậy có sẵn tại thời điểm đó.

Đừng thay địa chỉ riêng của văn phòng bằng địa chỉ công cộng tùy tiện mà bạn không kiểm soát. Việc đó đổi sự chồng lấn lấy một vấn đề định tuyến và sở hữu tệ hơn và khó giải thích hơn.

Ghi lại tiền tố cục bộ, tiền tố từ xa và thay đổi đã giải quyết. Sự chồng lấn tiếp theo sẽ trông khác nhưng theo cùng một mẫu.