Un conflitto di indirizzi IP si verifica quando due dispositivi presenti nella stessa rete utilizzano contemporaneamente lo stesso indirizzo IP. In una rete IPv4 ogni host deve poter essere identificato in maniera univoca all'interno della propria subnet; se due dispositivi rispondono utilizzando lo stesso indirizzo,la comunicazione può diventare instabile o interrompersi completamente.
Il problema può manifestarsi in modi differenti. Un computer può perdere improvvisamente la connettività,un server può risultare raggiungibile solo in determinati momenti,una stampante di rete può diventare intermittente oppure un dispositivo può continuare a funzionare mentre l'altro perde l'accesso alla rete. In alcuni casi il problema compare immediatamente,in altri emerge soltanto quando entrambi i dispositivi iniziano a comunicare contemporaneamente.
Per comprendere realmente il fenomeno è necessario considerare non soltanto l'indirizzo IP,ma anche subnet mask,DHCP,ARP,gateway,configurazione statica e topologia della rete.
Come funziona l'indirizzamento IP
In una rete IPv4 ogni dispositivo dispone generalmente di un indirizzo come:
192.168.1.25
L'indirizzo identifica l'host all'interno di una determinata rete logica. La subnet mask stabilisce invece quale parte dell'indirizzo identifica la rete e quale parte identifica il dispositivo.
Con una configurazione:
IP: 192.168.1.25 Subnet mask: 255.255.255.0
il dispositivo appartiene alla rete 192.168.1.0/24.
In questo scenario due computer configurati rispettivamente con 192.168.1.25 e 192.168.1.26 possono convivere normalmente. Se invece entrambi vengono configurati con 192.168.1.25,si crea un conflitto.
Il problema non riguarda quindi soltanto il numero utilizzato,ma il fatto che due host appartenenti allo stesso dominio di rete risultino associati allo stesso indirizzo.
Perché un conflitto IP provoca problemi
L'indirizzo IP opera a livello di rete,ma per comunicare realmente all'interno di una LAN il dispositivo deve conoscere anche il MAC address associato all'indirizzo IP di destinazione.
In IPv4 questo collegamento viene normalmente risolto attraverso il protocollo ARP,Address Resolution Protocol.
Quando un computer deve comunicare con 192.168.1.25,può inviare una richiesta ARP per ottenere il relativo indirizzo MAC.
Se due dispositivi utilizzano contemporaneamente 192.168.1.25,la rete può ricevere risposte ARP differenti.
Questo genera una situazione nella quale l'associazione tra IP e MAC può cambiare nel tempo e produrre comunicazioni intermittenti.
Il ruolo della tabella ARP
La tabella ARP rappresenta uno degli elementi più importanti per diagnosticare un conflitto.
Su Windows è possibile visualizzarla attraverso:
arp -a
Il comando mostra le associazioni tra indirizzi IP e indirizzi MAC che il sistema ha memorizzato.
Un esempio può essere:
Interface: 192.168.1.10 Internet Address Physical Address 192.168.1.1 aa-bb-cc-dd-ee-ff 192.168.1.25 11-22-33-44-55-66
Se l'associazione relativa a un determinato IP cambia in maniera anomala o più dispositivi sembrano rispondere allo stesso indirizzo,la tabella ARP può fornire un'importante indicazione.
Naturalmente il semplice comando arp -a non dimostra automaticamente l'esistenza di un conflitto. Deve essere utilizzato insieme ad altri test.
DHCP: una delle cause più frequenti
Il DHCP,Dynamic Host Configuration Protocol,permette di assegnare automaticamente indirizzi IP ai dispositivi della rete.
Un server DHCP mantiene generalmente un insieme di indirizzi disponibili,definito scope o pool,e assegna gli indirizzi ai client secondo un sistema basato sulle lease.
Un conflitto può verificarsi quando la configurazione DHCP non è correttamente progettata oppure quando nella stessa rete sono presenti più server DHCP non coordinati.
Un esempio tipico è la presenza accidentale di un secondo router collegato alla LAN con il proprio servizio DHCP attivo.
In questo caso alcuni client potrebbero ricevere configurazioni dal server DHCP corretto e altri dal dispositivo non autorizzato.
Due server DHCP nella stessa rete
La presenza di più server DHCP non è necessariamente sempre errata,ma richiede una progettazione precisa.
In una normale rete aziendale con un singolo segmento LAN,la presenza accidentale di due DHCP server può generare configurazioni incoerenti.
Un computer potrebbe ricevere:
IP: 192.168.1.100 Gateway: 192.168.1.1 DNS: 192.168.1.1
mentre un altro potrebbe ricevere:
IP: 192.168.1.100 Gateway: 192.168.1.254 DNS: 192.168.1.254
La situazione può diventare ancora più complessa se entrambi i server gestiscono pool sovrapposti.
Per questo motivo,quando si verifica un conflitto IP improvviso dopo l'installazione di un nuovo router,access point o firewall,è importante verificare immediatamente se il nuovo apparato sta distribuendo indirizzi tramite DHCP.
Configurazione IP statica
Un'altra causa molto comune è l'assegnazione manuale di indirizzi IP.
Supponiamo che il DHCP gestisca:
192.168.1.10 - 192.168.1.200
e che un amministratore configuri manualmente un server con:
192.168.1.50
senza escludere quell'indirizzo dal pool DHCP.
Il server utilizza quindi un indirizzo che il DHCP considera disponibile.
Prima o poi un altro dispositivo potrebbe ricevere 192.168.1.50,creando un conflitto.
Questo è uno dei motivi per cui le reti aziendali devono documentare con precisione gli indirizzi statici e definire correttamente le esclusioni DHCP.
Come individuare l'indirizzo IP del proprio PC
Su Windows il comando:
ipconfig
permette di visualizzare la configurazione IPv4 del dispositivo.
Per ottenere informazioni più dettagliate si può utilizzare:
ipconfig /all
Il comando mostra,tra le altre informazioni,l'indirizzo IPv4,la subnet mask,il gateway,il server DHCP e gli indirizzi DNS.
Questi dati sono fondamentali per capire se il computer utilizza DHCP oppure una configurazione manuale.
Verificare se l'IP è statico o assegnato dal DHCP
Con ipconfig /all è possibile verificare anche la voce relativa al DHCP.
Se l'assegnazione è gestita automaticamente,il dispositivo dovrebbe risultare configurato per ottenere l'indirizzo tramite DHCP.
Se invece l'indirizzo è stato impostato manualmente,la configurazione deve essere verificata direttamente nelle impostazioni della scheda di rete.
In un'infrastruttura aziendale è consigliabile evitare una gestione casuale degli indirizzi statici. Server,stampanti,apparati di rete e altri dispositivi che richiedono un indirizzo stabile dovrebbero essere gestiti attraverso una strategia coerente.
Reservation DHCP
Una soluzione particolarmente efficace consiste nell'utilizzare le DHCP reservation.
In questo caso il server DHCP associa uno specifico indirizzo IP al MAC address di un determinato dispositivo.
Per esempio:
MAC: 00:11:22:33:44:55 IP: 192.168.1.50
Il dispositivo continua a utilizzare DHCP,ma il server gli assegna sempre lo stesso indirizzo.
Questo approccio riduce il rischio di conflitti rispetto alla gestione manuale degli indirizzi sui singoli client.
È particolarmente utile per stampanti,server,telecamere IP,access point e altri dispositivi che devono essere raggiungibili sempre allo stesso indirizzo.
Scope DHCP e intervalli IP
Uno degli aspetti più importanti nella configurazione di una rete è la corretta definizione dello scope DHCP.
Se una rete utilizza:
192.168.10.0/24
è possibile riservare una parte degli indirizzi ai dispositivi statici e utilizzare il resto per i client DHCP.
Per esempio,gli indirizzi:
192.168.10.1 - 192.168.10.49
potrebbero essere dedicati all'infrastruttura,mentre il DHCP potrebbe utilizzare:
192.168.10.50 - 192.168.10.200
L'importante è che gli indirizzi configurati manualmente non vengano successivamente assegnati dal DHCP.
Conflitti IP causati da apparati di rete
Router,firewall,access point,switch Layer 3 e altri apparati possono introdurre problemi se configurati in modo errato.
Un caso frequente consiste nell'installazione di un secondo router che utilizza lo stesso indirizzo IP del gateway principale.
Per esempio,se entrambi i dispositivi utilizzano:
192.168.1.1
la rete può diventare imprevedibile.
Il problema non è limitato al DHCP. Anche l'indirizzo dell'interfaccia LAN del dispositivo può entrare in conflitto con quello di un altro apparato.
Conflitti IP e VLAN
Nelle reti aziendali più strutturate è necessario considerare anche le VLAN.
Due dispositivi possono utilizzare lo stesso indirizzo IP senza necessariamente creare un conflitto se appartengono a reti IP differenti e correttamente isolate.
Per esempio:
VLAN 10 ? 192.168.10.0/24 VLAN 20 ? 192.168.20.0/24
Un host 192.168.10.50 e un host 192.168.20.50 non rappresentano un conflitto perché appartengono a subnet differenti.
Il problema nasce quando lo stesso indirizzo viene utilizzato da due dispositivi all'interno dello stesso dominio IP.
Questo è uno dei motivi per cui la diagnosi deve considerare contemporaneamente indirizzamento IP,VLAN e topologia Layer 2.
Conflitto IP e ARP spoofing
Non tutti i cambiamenti nelle associazioni ARP sono necessariamente dovuti a un errore amministrativo.
Un comportamento anomalo può essere provocato anche da un problema di sicurezza come l'ARP spoofing.
In questo caso un dispositivo malevolo può inviare risposte ARP manipolate per associare il proprio MAC address all'indirizzo IP di un altro host,compreso il gateway.
Il traffico può quindi essere intercettato o modificato.
Se un conflitto IP compare improvvisamente senza una modifica apparente della configurazione,è quindi importante considerare anche l'eventualità di un comportamento anomalo sulla rete.
Windows segnala un conflitto di indirizzi IP
Windows può mostrare una notifica quando rileva una situazione anomala relativa all'indirizzo IP.
Il messaggio può indicare che un altro computer sulla rete sta utilizzando lo stesso indirizzo IP.
Questa segnalazione non dovrebbe essere semplicemente ignorata.
È consigliabile verificare:
ipconfig /all arp -a
e successivamente controllare la configurazione DHCP.
Se il problema interessa più dispositivi,è necessario analizzare il server DHCP e gli apparati di rete.
Rinnovare l'indirizzo DHCP
Quando si sospetta un problema legato alla lease DHCP,è possibile forzare il rinnovo dell'indirizzo.
Su Windows:
ipconfig /release ipconfig /renew
Il primo comando rilascia la configurazione DHCP corrente,mentre il secondo richiede una nuova configurazione.
Questa procedura può risolvere alcuni problemi temporanei,ma non corregge una configurazione DHCP errata.
Se il server continua ad assegnare un indirizzo già utilizzato da un altro dispositivo,il problema deve essere risolto alla fonte.
Svuotare la cache DNS non risolve un conflitto IP
È importante distinguere il problema IP da quello DNS.
Il comando:
ipconfig /flushdns
svuota la cache DNS del computer.
Può essere utile quando un nome DNS viene risolto verso un indirizzo errato o obsoleto,ma non risolve normalmente un vero conflitto di indirizzi IP.
La distinzione tra DNS e IP è fondamentale durante il troubleshooting.
Un dispositivo può infatti avere una configurazione IP perfettamente corretta e contemporaneamente avere un problema di risoluzione DNS.
Come individuare quale dispositivo utilizza lo stesso IP
Questa è spesso la parte più complessa della diagnosi.
Se si conosce l'indirizzo in conflitto,per esempio:
192.168.1.50
è possibile osservare la relativa associazione ARP.
Su una rete aziendale gestita,il MAC address può essere successivamente cercato nella configurazione dello switch.
Gli switch managed possono mostrare su quale porta è stato rilevato un determinato MAC address.
Questo permette di passare progressivamente da:
IP ? MAC ? porta switch ? dispositivo
e identificare fisicamente l'host responsabile.
Questa tecnica è molto più affidabile rispetto alla semplice ricerca manuale sui computer della rete.
MAC address e tabella CAM dello switch
Gli switch Ethernet mantengono una tabella che associa indirizzi MAC alle porte fisiche.
Questa tabella viene spesso indicata come MAC address table o CAM table.
Se l'indirizzo IP in conflitto è associato al MAC 00:11:22:33:44:55,l'amministratore può cercare quel MAC sullo switch.
Una volta identificata la porta è possibile determinare quale dispositivo o segmento di rete sta generando il traffico.
In reti con più switch bisogna eventualmente seguire il MAC attraverso i collegamenti trunk fino a raggiungere l'apparato a cui è effettivamente collegato il dispositivo.
Conflitti IP nelle reti con macchine virtuali
Gli ambienti virtualizzati possono introdurre ulteriori possibilità di errore.
Una macchina virtuale clonata senza modificare correttamente la configurazione di rete può mantenere lo stesso indirizzo IP della macchina originale.
Lo stesso problema può verificarsi durante la creazione di template o immagini di sistema configurate con parametri statici.
In ambienti VMware,Hyper-V o altre piattaforme di virtualizzazione è quindi importante progettare correttamente la configurazione di rete delle VM.
Il problema può essere particolarmente difficile da individuare perché la macchina responsabile potrebbe non essere fisicamente presente sulla rete locale.
Conflitti IP nei container
Anche la virtualizzazione basata su container utilizza reti virtuali e subnet dedicate.
Docker,per esempio,può creare bridge network e assegnare indirizzi IP ai container.
Normalmente questi indirizzi sono isolati rispetto alla LAN aziendale,ma una configurazione errata di networking può generare sovrapposizioni di subnet o problemi di routing.
Quando un'applicazione utilizza contemporaneamente rete aziendale,VPN e reti containerizzate,la pianificazione delle subnet diventa particolarmente importante.
Conflitti IP e VPN
Le VPN possono creare problemi quando la rete remota utilizza la stessa subnet della rete locale.
Supponiamo che l'ufficio utilizzi:
192.168.1.0/24
e che anche la rete remota raggiunta tramite VPN utilizzi:
192.168.1.0/24
Il problema non è necessariamente un conflitto IP diretto tra due dispositivi,ma una sovrapposizione delle subnet che può rendere ambiguo il routing.
Il computer potrebbe non sapere se 192.168.1.50 deve essere raggiunto attraverso la LAN locale oppure attraverso il tunnel VPN.
Per questo motivo le reti aziendali dovrebbero utilizzare piani di indirizzamento non sovrapposti.
Come prevenire i conflitti IP
La prevenzione è molto più semplice della diagnosi effettuata dopo che il problema si è manifestato.
Una rete aziendale dovrebbe avere un IP address management,anche se di dimensioni ridotte.
Gli indirizzi utilizzati da server,stampanti,router,firewall,access point e altri apparati dovrebbero essere documentati.
Gli intervalli DHCP devono essere definiti chiaramente e gli indirizzi statici devono essere esclusi dal relativo pool.
Quando possibile,l'utilizzo di DHCP reservation permette di mantenere centralizzata la gestione degli indirizzi evitando configurazioni manuali distribuite su numerosi dispositivi.
IPAM: gestione professionale degli indirizzi
In infrastrutture più grandi può essere utilizzato un sistema IPAM,IP Address Management.
Un IPAM permette di mantenere una rappresentazione centralizzata delle subnet,degli indirizzi utilizzati,delle reservation e delle informazioni associate ai dispositivi.
Questo riduce il rischio che un amministratore assegni accidentalmente un indirizzo già utilizzato.
La gestione degli indirizzi diventa particolarmente importante quando l'infrastruttura comprende più VLAN,server fisici,macchine virtuali,apparati di sicurezza,Wi-Fi aziendale e sedi collegate tramite VPN.
La procedura corretta di troubleshooting
Quando si presenta un conflitto IP,la diagnosi dovrebbe procedere dal client verso l'infrastruttura.
Prima di tutto è necessario verificare la configurazione locale attraverso:
ipconfig /all
Successivamente è utile analizzare la tabella ARP:
arp -a
Se l'indirizzo viene assegnato tramite DHCP,è necessario controllare lease,pool,reservation ed eventuali server DHCP aggiuntivi.
Se il dispositivo è collegato a uno switch managed,il MAC address può essere utilizzato per individuare la porta fisica.
Infine bisogna verificare la configurazione degli apparati di rete e l'eventuale presenza di dispositivi virtuali,VPN o reti sovrapposte.
Conclusione
Il conflitto di indirizzi IP non è semplicemente un errore che richiede di cambiare l'indirizzo del computer. In una rete aziendale può essere il sintomo di una configurazione DHCP non corretta,di indirizzi statici sovrapposti,di un secondo server DHCP,di un apparato di rete configurato erroneamente o di una pianificazione IP non adeguata.
La diagnostica deve partire dalla configurazione del client e proseguire attraverso DHCP,ARP,MAC address,VLAN,switch e routing,fino a individuare il dispositivo che sta utilizzando l'indirizzo duplicato. In una rete gestita correttamente,l'associazione tra IP,MAC address e porta dello switch permette spesso di risalire con precisione all'origine del problema.
La prevenzione passa invece dalla corretta progettazione del piano di indirizzamento,dalla separazione tra indirizzi statici e pool DHCP,dall'utilizzo delle DHCP reservation e,dove necessario,da un sistema IPAM.
Gestire correttamente gli indirizzi IP significa quindi non soltanto evitare errori di configurazione,ma costruire una rete prevedibile,tracciabile e più semplice da diagnosticare,riducendo sensibilmente i tempi necessari per risolvere problemi di connettività.
