Không tuyến nào sửa được một pool VPN chồng lấn với LAN của bạn

Ứng dụng tuyên bố tunnel khỏe mạnh, vậy mà một nửa đích đến bạn cần không bao giờ trả lời. Phản xạ đầu tiên là thêm một tuyến hoặc hạ một metric, và chính phản xạ đó là huyền thoại cần giết trước tiên. Khi LAN của chính máy khách và pool của tunnel cùng đòi một tiền tố, bảng định tuyến giữ hai sự thật không tương thích, và cả tuyến mặc định lẫn metric đều không giải quyết được. Cách sửa là một quyết định về địa chỉ hóa, và không việc sửa tuyến nào thay thế được nó.

Vì sao một tuyến thêm không thể tách một tiền tố

Một tuyến không thể tách hai yêu sách trên cùng một tiền tố, vì thế bước đi khôn ngoan là ngừng tìm dòng tuyến đúng. Ngăn xếp sẽ không đặt một tiền tố giống hệt trước tuyến đã kết nối, và một mục cụ thể hơn có bắt được địa chỉ, nhưng làm máy chủ nội bộ sở hữu nó không thể đến được. Điều trông như vấn đề định tuyến là một va chạm địa chỉ, và cả hai cách sửa đều đổi địa chỉ chứ không đổi tuyến. Hãy kiểm tra tuyên bố đó trên máy của bạn trước khi chấp nhận.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Hỏi hệ thống về một địa chỉ duy nhất và để ý xem nó nêu giao diện nào. Linux, macOS và Windows đều trả lời bằng một tra cứu chỉ đọc, cho biết giao diện được chọn và bước nhảy kế tiếp mà không truyền gì đi. Khi câu trả lời trỏ vào bộ điều hợp vật lý trong lúc tunnel đang hoạt động, nhân hệ điều hành coi địa chỉ đó là nằm trên liên kết chứ không phải thứ tunnel có thể mang.

Đặt tiền tố mà nhà cung cấp cấp bên cạnh tiền tố mà router trong nhà phục vụ và so sánh chúng như chuỗi. Khớp chính xác là trường hợp rõ ràng, và một pool rộng hơn của nhà cung cấp có chứa mạng con trong nhà cũng hỏng y như vậy, chỉ là dễ bị bỏ sót hơn. Hai tiền tố chỉ trông giống nhau không phải va chạm, nên hãy ghi cả hai trước khi thay đổi bất cứ điều gì.

Đọc pool mà máy khách thực sự nhận được

Đọc những gì máy khách nhận được, không phải trang tiếp thị của nhà cung cấp. Tăng mức chi tiết của nhật ký một máy khách OpenVPN và các tuyến do máy chủ đẩy sẽ hiện ra trong đó, để lộ các tiền tố của tunnel; ở nơi khác pool xuất hiện trong chi tiết kết nối hoặc ngay trên bộ điều hợp. Yêu cầu nhà cung cấp cung cấp danh sách đầy đủ các dải riêng mà họ dùng, vì một /24 hôm nay có thể thành hai vào ngày mai. Tránh các khối RFC 1918 thông dụng không giống với tránh việc phân bổ mà bạn thực sự được cấp.

Pool cũng có thể thu nhỏ hoặc chuyển giữa các khu vực, nên danh sách cần một ngày và một người phụ trách. Coi mọi câu trả lời của nhà cung cấp cũ hơn lần đổi kế hoạch gần nhất của bạn là phỏng đoán, không phải sự thật. Hỏi lại trước khi cam kết một dải, và giữ câu trả lời cùng ghi chú mạng để người kế tiếp thừa hưởng bằng chứng.

Đánh số lại là cách sửa bạn có thể làm

Nếu máy chủ VPN không phải của bạn để đổi, di chuyển LAN trong nhà là cách sửa duy nhất có được, và đó là tình huống thường gặp với một nhà cung cấp thương mại. Chọn một dải nằm ngoài pool của nhà cung cấp và ngoài các dải bạn có thể cần sau này, rồi kiểm tra nó với mọi trang khác mà bạn đến được qua tunnel. Hãy chờ một gián đoạn ngắn và một cái đuôi dài gồm những thiết bị bị quên: thiết bị còn giữ địa chỉ cũ trông như vẫn chạy cho tới khi nó cần đến cổng.

1. Trước tiên là kiểm kê: địa chỉ của chính router, phạm vi DHCP, các đặt trước, chuyển tiếp cổng và mọi thiết bị có địa chỉ được gõ tay.
2. Sau đó đổi tiền tố LAN của router và phạm vi DHCP cùng lúc trong một cửa sổ bảo trì, và gia hạn các hợp đồng thuê có dây trước những cái không dây.
3. Tiếp theo sửa các địa chỉ tĩnh: máy in, lưu trữ mạng, mọi thứ có cổng được mã hóa cứng.
4. Cuối cùng, kết nối lại máy khách VPN và xác nhận địa chỉ tunnel không còn va chạm với LAN.

Đi qua các địa chỉ theo thứ tự đó chứ không phải tất cả cùng lúc, và giữ dải cũ được ghi lại một thời gian để một thiết bị lỗi thời có thể nhận ra chứ không phải bí ẩn. Một thiết bị không bao giờ gia hạn tự báo hiệu bằng việc không đến được cổng, đó là manh mối tốt hơn nhiều so với một cuộc gọi hỗ trợ. Nếu router cấp hợp đồng thuê dài hơn một ngày, hãy rút ngắn chúng trong thời gian của cửa sổ.

Một alias có thể làm gì và không thể làm gì

Khi máy chủ là của bạn, việc dịch địa chỉ trên máy khách có thể phơi ra tiền tố từ xa bên trong một dải nội bộ còn trống, để cùng một máy chủ trả lời ở địa chỉ thứ hai. OpenVPN cộng đồng làm điều này bằng client-nat, và chỉ thị đó chỉ dành riêng cho máy khách ấy, không có trong các máy khách thương mại và di động mà người ta thường so sánh. Cách bố trí cần một tuyến khớp với bản dịch, một dải trống cho alias và một máy chủ sẵn sàng trả lời địa chỉ chưa được dịch của máy khách. Không điều nào trong số đó giúp được khi máy khách thuộc một nhà cung cấp được quản lý mà bạn không thể cấu hình.

Khi thay đổi có hiệu lực, hãy đến một máy chủ nội bộ và một máy chủ từ xa trước bằng địa chỉ rồi bằng tên, ghi lại tuyến mà hệ thống chọn mỗi lần. Một cái tên vẫn có thể phân giải vào dải cũ, nên địa chỉ và tên đáng được kiểm tra riêng. Khởi động lại một máy khách và một thiết bị phía máy chủ nếu một trong hai vẫn bật suốt quá trình thay đổi, vì các mục láng giềng được lưu trong bộ nhớ đệm sống lâu hơn lần sửa.

Viết các tiền tố bạn đã chốt ở nơi người ta thực sự nhìn: ghi chú mạng, trường bình luận của chính router, trang giới thiệu. Ai đó sẽ lại chọn 192.168.1.0/24, và va chạm sẽ trở lại cùng với họ.