Deel jy ’n Windows-verbinding? Die VPN-pad verander daaronder

’n Skootrekenaar deel sy Wi-Fi, die gasheer blaai sonder klag deur die tonnel, en die tablet op daardie deel bereik niks. Die gasheer het opgehou om net ’n kliënt te wees op die oomblik toe deling geaktiveer is: dit is nou ’n router, en deurgegee pakkette volg ’n ander stel reëls. Wat op die gasheer werk, sê niks oor die toestel agter dit nie. Voer die toetse vanaf die stroomaf-kliënt uit, dan hou die onderskeid op om teoreties te wees.

Die gasheer se sukses bewys niks

Verbindingsdeling gee vier take aan een masjien: adrestoewysing, deurstuur, vertaling en filtering. ’n VPN-kliënt wat plaaslik gegenereerde verkeer beskerm, kan deurgegee verkeer as buite die bestek beskou, of dit doelbewus as ’n lek blokkeer. Nie een van dié gedrag is ’n fout nie, en nie een is neergepen op die skerm waar deling aangeskakel is nie. Net die toets aan die stroomaf-kant sê vir jou watter een jy het.

Baie kliënte stuur gasheerverkeer deur en niks anders nie, so kyk na die deling-afdeling in die kliënt se dokumentasie eerder as om te vertrou dat die tonnel vir die tablet sal roeteer. Die sigbare simptoom is ’n toestel wat assosieer, ’n adres kry en dan by die eerste versoek misluk. ’n Kliënt wat weier om deur te stuur, lyk steeds heeltemal gesond op die gasheer.

Watter adapter word gedeel, watter bedien die kliënte

Teken albei adapters aan, want hulle dra verskillende adresse en verskillende filters, en ’n verandering op die verkeerde een verklaar baie verwarrende resultate. Die deel-gasheer eis gewoonlik ’n vaste adres aan die stroomaf-kant en bedryf ’n klein DHCP- en DNS-diens daar. Windows hou deurstuur per adapter eerder as globaal, so die toestand moet koppelvlak vir koppelvlak gelees word.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

As deurstuur as Gestopte op die gedeelde adapter gelees word, sal niks stroomaf werk ongeag wat die tonnel doen. Aktiveer dit net op ’n masjien wie se beleid dit toelaat om vir ander toestelle te roeteer.

Deurstuur, vertaling en filtering

’n Deurgegee pakket moet die tonnel bereik, vertaal word in iets wat die verre kant aanvaar, en deur dieselfde vertaling terugkom. Enige van daardie drie stadiums kan breek, en elke breuk lewer dieselfde blaaier-tydsverloop. ’n Pakketopname, ’n roetesoek en ’n log van die verre kant is meer werd as nog ’n oorsig van die deling-dialoog. Watter stadium faal, is wat jou sê wie se verandering nodig is.

Die verre kant het dalk ook ’n terugroete vir die gedeelde subnet nodig, ’n reeks wat die VPN-bediener nog nooit gesien het nie. Waar die kliënt vertaal, sien die bediener net die tonnel-adres en geen terugroete word vereis nie. Waar dit nie vertaal nie, moet iemand wat die gateway besit daardie roete doelbewus byvoeg, en dit is ’n veranderingsversoek eerder as ’n kliënt-instelling.

Voer die toetse op die kliënt uit, nie die gasheer nie

Voer elke toets uit op die kliënt wat faal, nie op die gasheer wat werk nie. Hou die uitgangsadres, die oplosser se antwoord en die toepassingstoets in dieselfde sessie, want resultate wat ’n uur uitmekaar ingesamel is, sê niks oor hoe die drie saamwerk nie.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Vergelyk die uitgangsadres met die gasheer se eie en let op of die twee ooreenstem. ’n Ander antwoord beteken die deurgegee pad omseil die tonnel, wat ’n beleidskwessie met ’n eienaar is eerder as ’n vinnige oplossing. ’n Ooreenstemmende antwoord langs ’n falende toepassing skuif die werk na naamresolusie of na beleid aan die verre kant. Moet ook nie by die IPv4-resultaat stop nie: ’n deel kan elke IPv4-toets slaag terwyl IPv6 deur ’n ander uitgang weg is, so herhaal die naam- en uitgangstoetse met die AAAA-rekord en die gedetailleerde verbindingstoets.

Op ’n bestuurde masjien, bevestig dat deling hoegenaamd toegelaat word, want om toegang aan ’n ander toestel bloot te stel is ’n administratiewe besluit en nie ’n gerieflikheidskakelaar nie. Herhaal die toetse na enige ondersteunde verandering by herverbinding en weer tydens ’n onderbreking. Die gasheer wat skoon herverbind, herstel nie ’n deurgegee roete wat die kliënt nooit ondersteun het nie.