VPN: conflitti di indirizzi
La tua VPN personale raggiunge ogni indirizzo privato nelle reti di impianto per cui sei autorizzato — l'intero 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 e 100.64.0.0/10. Le reti di impianto non devono evitare gli intervalli di indirizzi che Mirox utilizza internamente: la piattaforma tiene il proprio traffico separato dal tuo.
Solo i pochi indirizzi indicati di seguito sono riservati. La maggior parte degli impianti non ne è mai interessata.
Panoramica
| Indirizzo / intervallo | Interessa | Cosa non può essere raggiunto | Cosa fare |
|---|---|---|---|
10.112.0.1 | ogni impianto | questo singolo indirizzo | assegna un nuovo indirizzo al dispositivo, oppure apri la sua interfaccia web tramite il Proxy |
10.112.0.0/16 | ogni impianto, solo tu | l'unico indirizzo usato dal tuo profilo VPN | revoca il tuo profilo ed emettine uno nuovo; mantieni le reti di impianto al di fuori di questo intervallo |
la rete del tunnel della VPN diretta: 10.95.0.0/16 (WireGuard), 10.94.0.0/16 (OpenVPN), 10.92.0.0/24 (IPsec) | impianti la cui VPN diretta è ospitata da Mirox | l'indirizzo proprio del tunnel e gli indirizzi del tunnel dei peer connessi — se la rete di impianto contiene l'indirizzo proprio del tunnel, l'intera sottorete dell'impianto | mantieni la rete di impianto al di fuori della rete del tunnel, oppure contatta il supporto per spostare il tunnel |
172.16.10.0/24 | impianti collegati tramite un Servizio VPN di organizzazione | gli indirizzi che la VPN di organizzazione usa in questo intervallo — se la rete di impianto è più ampia di questo intervallo, l'intero intervallo | mantieni le reti di impianto al di fuori di 172.16.10.0/24 |
Gli indirizzi riservati nel dettaglio
10.112.0.1 — l'indirizzo proprio della VPN
Ogni profilo VPN si connette a 10.112.0.1 — è l'indirizzo proprio della VPN, il punto in cui la tua connessione arriva a Mirox. Un dispositivo dell'impianto che usa anch'esso 10.112.0.1 non può essere indirizzato tramite la VPN: la tua richiesta raggiunge la VPN stessa invece del dispositivo. Questo è previsto dal progetto e non può essere rimosso, perché la VPN ha bisogno di un indirizzo tutto suo.
Soluzione alternativa: assegna al dispositivo un indirizzo diverso, oppure apri la sua interfaccia web tramite il Proxy, che non utilizza la VPN.
10.112.0.0/16 — l'indirizzo del tuo profilo
Ogni profilo VPN riceve un indirizzo da 10.112.0.0/16, scelto a caso quando il profilo viene emesso. Il tuo computer considera quell'indirizzo come sé stesso, quindi se un dispositivo dell'impianto usa per caso esattamente lo stesso indirizzo, solo tu non puoi raggiungere quell'unico dispositivo. La piattaforma non può cambiarlo — la collisione avviene sul tuo dispositivo.
Soluzione alternativa: revoca il tuo profilo VPN ed emettine uno nuovo — un profilo appena emesso riceve un nuovo indirizzo scelto a caso. La rotazione non basta: sostituisce le chiavi ma mantiene l'indirizzo. Per evitare del tutto la situazione, mantieni le reti di impianto al di fuori di 10.112.0.0/16.
La rete del tunnel della VPN diretta
Quando il router di un impianto si connette a Mirox tramite una VPN diretta, il tunnel tra il router e Mirox funziona su una propria rete: 10.95.0.0/16 per WireGuard, 10.94.0.0/16 per OpenVPN e 10.92.0.0/24 per IPsec. Gli indirizzi all'interno di quel tunnel appartengono a Mirox e ai peer che si connettono, non all'impianto, quindi non possono essere raggiunti come dispositivi dell'impianto: l'indirizzo proprio del tunnel (10.95.0.1, 10.94.0.1 o 10.92.0.1) e l'indirizzo di ciascun peer connesso.
Un caso ha conseguenze maggiori. Mirox invia tutto il traffico verso l'impianto dall'indirizzo proprio del tunnel. Se la rete di impianto contiene quell'indirizzo, i dispositivi dell'impianto lo considerano un vicino sulla propria rete e gli rispondono direttamente invece che tramite il router — le risposte non arrivano mai, e l'intera sottorete dell'impianto che contiene l'indirizzo non può essere raggiunta.
Gli impianti la cui VPN diretta funziona nella direzione opposta — Mirox che si connette verso il router dell'impianto — non sono interessati: in quel caso è il router dell'impianto ad assegnare gli indirizzi del tunnel.
Soluzione alternativa: scegli reti di impianto al di fuori della rete del tunnel. Se una rete di impianto non può essere spostata, contatta il supporto per collocare il tunnel su una rete diversa.
172.16.10.0/24 — Servizi VPN di organizzazione
Gli impianti collegati tramite un Servizio VPN di organizzazione condividono una rete interna comune, 172.16.10.0/24. Gli indirizzi che la VPN di organizzazione usa in questo intervallo non possono essere raggiunti come dispositivi dell'impianto. Se la rete di impianto è più ampia di questo intervallo — per esempio 172.16.0.0/16 — l'intero 172.16.10.0/24 non può essere raggiunto.
Soluzione alternativa: mantieni le reti di impianto al di fuori di 172.16.10.0/24. Gli impianti che non sono collegati tramite un Servizio VPN di organizzazione non sono interessati — per loro questo intervallo funziona normalmente.
Altri motivi per cui un indirizzo non è raggiungibile
Queste situazioni non sono indirizzi riservati, ma causano lo stesso sintomo.
Due dei tuoi impianti usano la stessa sottorete
Il tuo tunnel può instradare una sottorete verso un solo impianto alla volta. Se due impianti che puoi raggiungere usano entrambi, per esempio, 192.168.1.0/24, la panoramica delle rotte contrassegna il conflitto e tu scegli quale impianto ha la precedenza — puoi cambiare in qualsiasi momento. Vedi Risolvi una subnet in conflitto.
La tua rete locale si sovrappone all'impianto
Se la rete a cui è collegato il tuo computer — ufficio, casa o hotspot mobile — usa lo stesso intervallo dell'impianto, il tuo computer invia quel traffico alla tua rete locale invece che nel tunnel. Questo avviene sul tuo dispositivo, quindi la piattaforma non può cambiarlo.
Soluzione alternativa: connettiti da una rete diversa, oppure chiedi al tuo reparto IT di usare un intervallo locale diverso.
La rete dell'impianto usa indirizzi pubblici
Solo il traffico diretto agli intervalli di indirizzi privati entra nel tunnel; tutto il resto rimane sulla tua normale connessione internet. Una rete di impianto numerata con indirizzi pubblici (non privati) non è quindi raggiungibile tramite la VPN.
Soluzione alternativa: apri l'interfaccia web del dispositivo tramite il Proxy, oppure fai assegnare alla rete dell'impianto nuovi indirizzi in un intervallo privato.