فشل عام عند اختبار عنوان LAN بالأمر ping مع تشغيل عميل VPN
يقول Windows إنه لا يستطيع الوصول إلى أي محوّل إطلاقًا بينما يبدو جدول التوجيه سليمًا. حدّد ما إذا كان الحجب من التوجيه أم من التصفية أم من العميل.
مسار مضيف واحد، وعنوان واحد، ويفشل الأمر ping فورًا بـ General failure بدلًا من انتهاء مهلة الطلب. هذا التمييز هو التشخيص كله. انتهاء المهلة يعني أن الحزمة غادرت وأن شيئًا ما تجاهلها. أما الفشل العام فيعني أن Windows لم يستطع تسليم الحزمة إلى أي واجهة من الأصل.
لذلك عندما يبدو جدول التوجيه مثاليًا ويظل الخطأ فشلًا عامًا، فإن الحجب يحدث تحت قرار التوجيه، وعميل المزوّد هو ما يعمل هناك.
اقرأ الخطأ قبل جدول التوجيه
يعيد Windows هذا الخطأ عندما لا يجد واجهة يرسل عبرها، ولا يقول شيئًا عمّا كانت الوجهة ستفعله بالحزمة. قابلية الوصول، والجدران النارية في الطرف البعيد، وتوافر الخدمة كلها أسئلة لاحقة لم تصل إليها بعد.
التكوين الكلاسيكي لهذه الحالة هو مسار مضيف يوجّه عنوان LAN واحدًا إلى البوابة الفعلية كي يتجاوز النفق. يقبله route add، ويعرضه route print، ويظل الأمر ping فاشلًا، لأن برنامج التصفية قرر مسبقًا أن الحزمة غير مسموح لها بالخروج.
قبل أن تقبل هذا التفسير، تأكد من أن المسار يُختار فعلًا: افحص فهرس الواجهة والمقياس، وتأكد من أن الإدخال ليس قديمًا بعد إعادة الاتصال. المسار الذي يشير إلى واجهة لم تعد موجودة ينتج خطأ مشابهًا لسبب أقل إثارة للاهتمام بكثير.
ثلاث طبقات، ثلاث جهات مختلفة
الطبقة التي تفوز هي التي تعمل أخيرًا، وهذه الثلاث ليست بالترتيب الذي يفترضه معظم الناس.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
الطبقة الوسطى هي سبب أن المسار يمكن أن يكون صحيحًا وعديم الفائدة في الوقت نفسه. تثبّت عملاء المزوّدين برنامج تصفية وقواعد جدار ناري كي تُسقط الحركة خارج النفق، وهي الآلية نفسها التي تنفّذ مفتاح الإيقاف لديهم. ولا شيء في جدول التوجيه يشارك في ذلك القرار.
تفسّر الطبقة الثالثة تقريرًا غريبًا يتكرر بانتظام: الشبكة الفرعية المحلية غير قابلة للوصول حتى بعد فصل العميل. فالخدمة ما زالت تعمل والبرنامج ما زال مثبتًا، لذا فكونك غير متصل ليس مثل كونك غير مُصفٍّ. اخرج من العميل بدلًا من مجرد فصله قبل أن تستنتج أي شيء.
ما الذي تجربه، بالترتيب
ابدأ بإزالة الميزات التي يسهل إزالتها وييسر استعادتها. اكتشاف LAN، الذي يُسمى أحيانًا الاختفاء على الشبكة المحلية، يحجب الحركة إلى نطاقات العناوين الخاصة كي يبقى الجهاز مخفيًا عن جيرانه. تختفي الطابعات وخوادم الملفات المحلية والراوتر نفسه خلف ذلك المفتاح. ميزات حماية التهديدات التي تصفّي DNS تثبّت خطاطيفها الخاصة ويُبلَّغ عن أنها تعطّل قابلية الوصول المحلية بالطريقة نفسها تقريبًا.
أوقف الاثنين، واخرج من العميل تمامًا، ثم اختبر العنوان. هذا التسلسل يفصل بين ميزة تحجب الحركة ونفق يوجّهها بشكل خاطئ، ويستغرق دقيقتين بدلًا من ظهيرة كاملة من المسارات الثابتة.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4إذا استجاب العنوان بعد إيقاف الميزات، فلديك قرار سياسات لا عطل: اختر بين إبقاء الميزة متوقفة، أو إضافة استثناء، أو قبول أن يبقى الجهاز مخفيًا على الشبكة المحلية.
استخدم مسار الاستثناء الخاص بالعميل، بضيق
عندما يجب أن تبقى ميزة مفعّلة، فإن النفق المنقسم الخاص بالعميل هو المخرج المدعوم. أبقِ الاستثناء صغيرًا قدر ما يسمح المتطلب، وهو ما يعني عادة عنوان مضيف واحد لخادم واحد أو بادئة واحدة لمقطع واحد. القاعدة التي تغطي نطاقًا خاصًا كاملًا هي ثقب دائم لن يتذكر أحد أنه أضافه ولن يجرؤ أحد على إزالته.
ثم تحقق بالعنوان أولًا وبالاسم ثانيًا. إذا استجاب العنوان مع قفزة أولى على البوابة الفعلية، فالاستثناء يعمل. وإذا ظل الاسم فاشلًا، فقد انتقلت إلى DNS، لأن مُحلّل النفق لا يعرف النطاق المحلي ولن يعلّمه أي تغيير في التوجيه.
أبقِ المسار أو الاستثناء، وليس الاثنين، مع ملاحظة عن أيّهما يقوم بالعمل. الآليتان المتداخلتان تخفي إحداهما الأخرى، والشخص التالي الذي ينقّح هذا الجهاز سيزيل إحداهما ولن يرى أي تغيير.
عندما يكون العميل هو العقبة
بعض الإصدارات تصفّي الحركة بطرق لا يستطيع مسار ثابت ولا استثناء عميل هزمها. وعندما يكون ذلك هو الاستنتاج، فالخيارات الصادقة هي انتظار ميزة التجاوز أو الاتصال بعميل OpenVPN عادي باستخدام ملف تعريف المزوّد نفسه، وهو ما أوصى به رد دعم البائع في التقرير الأصلي.
افهم المقايضة قبل إجراء ذلك الاستبدال. الملف العادي يتصرف مثل أي نفق عادي: يثبّت مساراته ولا يعيد هيكلة بقية الحزمة، لذا يظل مسار المضيف الضيق يتصرف كما تتوقع. ما تخسره هو كل ما نفّذه العميل المُعلَّم حول النفق، بما في ذلك مفتاح الإيقاف وتصفية DNS، ويجب إعادة إنتاجه عمدًا أو قبول غيابه.
أيًّا كان اختيارك، دوّن أي طبقة كانت صاحبة الحجب. الحزمة التي لم تغادر الجهاز قط هي نتيجة تصفية، ولا تغيير في التوجيه يمكنه إصلاح تصفية.