Algemene fout wanneer 'n LAN-adres gepings word met die VPN-kliënt aan
Windows sê hy kan glad nie 'n adapter bereik nie, terwyl die roetetabel korrek lyk. Besluit of die blokkade roetering, filtering of die kliënt is.
Een host-roete, een adres, en die ping misluk dadelik met General failure in plaas daarvan dat die versoek uitty. Daardie onderskeid is die hele diagnose. 'n Uittyding beteken die pakkie het vertrek en iets het dit geïgnoreer. Algemene fout beteken Windows kon die pakkie van meet af aan nie aan enige koppelvlak oorhandig nie.
Wanneer die roetetabel dus perfek lyk en die fout is steeds Algemene fout, gebeur die blokkering onder die roeteringsbesluit, en die verskaffer se kliënt is die ding wat daar werk.
Lees die fout voor die roetetabel
Windows gee daardie fout wanneer hy nie 'n koppelvlak kan vind om op te stuur nie, en dit sê niks oor wat die bestemming met die pakkie sou gedoen het nie. Bereikbaarheid, firewalls aan die ander kant en diensbeskikbaarheid is almal vrae stroomaf wat jy nog nie bereik het nie.
Die klassieke konfigurasie vir hierdie geval is 'n host-roete wat 'n enkele LAN-adres na die fisiese poort wys sodat dit die tonnel omseil. route add aanvaar dit, route print wys dit, en die ping misluk steeds, want die filterdrywer het reeds besluit die pakkie mag nie uit nie.
Voordat jy daardie verklaring aanvaar, bevestig dat die roete werklik gekies word: kyk na die koppelvlak-indeks en die maatstaf, en maak seker die inskrywing is nie verouderd ná 'n herverbinding nie. 'n Roete wat na 'n koppelvlak wys wat nie meer bestaan nie, lewer 'n soortgelyke fout om 'n baie minder interessante rede.
Drie lae, drie verskillende eienaars
Die laag wat wen, is die een wat laaste loop, en hierdie drie is nie in die orde wat die meeste mense aanneem nie.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
Die middelste laag is die rede waarom 'n roete gelyktydig korrek en nutteloos kan wees. Verskafferkliënte installeer 'n filter en firewall-reëls sodat verkeer buite die tonnel laat val word, wat dieselfde meganisme is wat hul doodskakelaar implementeer. Niks in die roetetabel neem aan daardie besluit deel nie.
Die derde laag verduidelik 'n vreemde verslag wat gereeld opduik: die plaaslike subnet is onbereikbaar selfs nadat die kliënt ontkoppel is. Die diens loop nog en die filter is nog geïnstalleer, so nie gekoppel nie is nie dieselfde as nie filter nie. Verlaat die kliënt eerder as om net te ontkoppel voordat jy enige gevolgtrekking maak.
Wat om te probeer, in volgorde
Begin deur die funksies te verwyder wat goedkoop is om te verwyder en maklik om te herstel. LAN-ontdekking, soms onsigbaarheid op die LAN genoem, blokkeer verkeer na private adresreekse sodat die masjien vir sy bure verborge bly. Drukers, plaaslike lêerbedieners en die roeteerder self verdwyn almal agter daardie skakelaar. Dreigingsbeskermingsfunksies wat DNS filter, installeer hul eie hake en daar word gerapporteer dat hulle plaaslike bereikbaarheid op min of meer dieselfde manier breek.
Skakel albei af, verlaat die kliënt heeltemal en toets dan die adres. Daardie volgorde skei 'n funksie wat verkeer blokkeer van 'n tonnel wat dit verkeerd roeteer, en dit neem twee minute eerder as 'n middag se statiese roetes.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4As die adres antwoord sodra die funksies af is, het jy 'n beleidsbesluit eerder as 'n fout: kies tussen die funksie af laat, 'n uitsondering byvoeg, of aanvaar dat die masjien onsigbaar op die plaaslike netwerk bly.
Gebruik die kliënt se uitsonderingspad, noukeurig
Wanneer 'n funksie aan moet bly, is die kliënt se eie gesplete tonneling die ondersteunde uitweg. Hou die uitsondering so klein as wat die vereiste toelaat, wat gewoonlik een host-adres vir een bediener of een voorvoegsel vir 'n enkele segment beteken. 'n Reël wat 'n hele private reeks dek, is 'n permanente gat wat niemand sal onthou hulle het dit bygevoeg nie en niemand sal waag om dit te verwyder nie.
Verifieer dan eerste per adres en tweede per naam. As die adres antwoord met 'n eerste hop op die fisiese poort, werk die uitsondering. As die naam steeds misluk, het jy na DNS beweeg, want die tonnel se oplosser ken nie die plaaslike sone nie en geen roeteringsverandering sal dit leer nie.
Hou die roete of die uitsondering, nie albei nie, plus 'n nota oor watter een die werk doen. Twee oorvleuelende meganismes verberg mekaar, en die volgende persoon wat hierdie masjien ontfout, sal een daarvan verwyder en geen verandering sien nie.
Wanneer die kliënt die hindernis is
Sommige boue filter verkeer op maniere wat nóg 'n statiese roete nóg 'n kliënt-uitsondering kan verslaan. Wanneer dit die bevinding is, is die eerlike opsies om te wag vir die omseilfunksie of om met 'n gewone OpenVPN-kliënt te koppel met die verskaffer se eie profiel, wat is wat die verkoper se ondersteuningsantwoord in die oorspronklike verslag aanbeveel het.
Verstaan die ruil voordat jy daardie vervanging maak. 'n Gewone profiel gedra hom soos enige gewone tonnel: dit installeer sy roetes en herstruktureer nie die res van die stapel nie, so 'n nou host-roete gedra hom steeds soos jy verwag. Wat jy verloor, is alles wat die handelsmerk-kliënt rondom die tonnel geïmplementeer het, insluitend die doodskakelaar en DNS-filtering, en dit moet doelbewus herskep word of as afwesig aanvaar word.
Wat jy ook al kies, teken aan watter laag die blokkade besit het. 'n Pakkie wat nooit die masjien verlaat het nie, is 'n filterresultaat, en geen roeteringsverandering kan 'n filter herstel nie.