تعذّر الوصول إلى الشبكة المحلية مع اتصال VPN؟ أربع خطوات للفحص

يرتفع النفق، وتظهر الشبكة الداخلية، وتتوقف الطابعة عن الاستجابة. لا شيء في الشبكة المحلية قد تعطّل؛ العميل غيّر المسار الذي يستخدمه للعناوين التي لم يعد يعتبرها محلية. نفّذ الفحوص الأربعة أدناه بالترتيب وتوقّف عند أول تعارض ملموس، لأن العَرَض نفسه له أربعة أسباب شائعة ولا يُصلح تعديل VPN إلا واحدًا منها.

أولًا، انظر إلى جدول التوجيه الذي ثبّته العميل

افتح جدول التوجيه في العميل أثناء اتصال VPN. على Linux استخدم ip route، وعلى Windows استخدم route print أو Get-NetRoute، وعلى macOS استخدم netstat -rn. أنت تبحث عن مسار افتراضي عبر النفق وعن مصير المسار الافتراضي الفيزيائي.

كثيرًا ما يضيف عميل النفق الكامل مسارين نصف افتراضيين هما 0.0.0.0/1 و 128.0.0.0/1، بدلًا من استبدال 0.0.0.0/0. يبقى المسار الافتراضي الأصلي ظاهرًا لكنه يخسر كل بحث، ولهذا قد يبدو الجدول سليمًا بينما تنتقل كل حركة المرور خارج الشبكة الفرعية. إن قدّم عميل VPN خيار النفق المنقسم وسمحت السياسة بذلك، فذاك أنظف إصلاح.

إن كان لا بد أن يبقى النفق هو المسار الافتراضي، فثبّت الشبكة الفرعية المحلية بدلًا من ذلك. على Linux يذكر المسار الواجهة الفيزيائية والبوابة؛ وعلى Windows أضف -p ليصبح دائمًا واقرأ رقم الواجهة من route print بدلًا من تخمينه:

sudo ip route add 192.168.1.0/24 via 192.168.1.1 dev wlan0
route add -p 192.168.1.0 MASK 255.255.255.0 192.168.1.1 METRIC 1 IF 12

المسار المثبّت لا يصمد إلا ما بقي العنوان الذي يذكره كما هو. الحاسوب المحمول الذي يعيد ترقيم مهايئ Wi-Fi في كل اتصال سيكسر القاعدة مرة أخرى، لذا تحقق من عنوان الواجهة قبل أن تقرر أن الإصلاح فشل.

ثانيًا، تأكّد أن العنوان كان محليًا من الأصل

إذا وقعت الوجهة داخل الشبكة الفرعية المتصلة، فإن المسار الافتراضي للنفق لا يُطبَّق أبدًا ولا يكون VPN هو السبب. الطابعة على 192.168.1.40 لدى عميل يملك 192.168.1.0/24 تستخدم المسار المتصل؛ وإن فشل ذلك العنوان فانظر إلى الجهاز أو المبدّل أو الجدار الناري على العميل بدلًا من VPN.

الحالة التي تخدع الناس هي عنوان عام لخادم محلي. من داخل الشبكة المحلية، يتطلب الوصول إلى عنوان WAN للراوتر والعودة منه NAT مثبت الشعر، وكثير من الراوترات لا تنفّذه ببساطة لتحويلات المنافذ. اختبر العنوان الخاص بجانب العنوان العام. إن نجح العنوان الخاص وفشل العام، فلم يكشف VPN إلا قيد NAT كان موجودًا أصلًا.

اسم المضيف يزيد الأمر سوءًا. إن صار الاسم المحلي يُحلّ الآن إلى العنوان العام، فسيواصل العميل محاولة المسار الذي لا يستطيع العودة. استخدم العنوان الخاص للاختبار، ثم أصلح الاسم بدلًا من إضافة تحويل منفذ آخر.

ثالثًا، اعرف من يجيب على الأسماء الآن

مُحلِّل الشركة يعرف الشبكة الداخلية ولا يعرف عادة شيئًا عن اسم مضيف NAS أو اسم Bonjour للطابعة أو الاسم المستعار المحلي للراوتر. عندما يدفع VPN خوادم DNS الخاصة به، تتوقف تلك الأسماء عن الحلّ رغم أن عناوينها ما زالت قابلة للوصول. استعلم عن الاسم مباشرة وقارن الإجابة بالعنوان الذي تعرف أن الجهاز يحمله.

على Linux، يوضح resolvectl query nas.local أي مُحلِّل أجاب. على Windows، يسمّي nslookup nas.local الخادم، ويوضح ipconfig /all ترتيب المُحلِّلات. إن صار اللاحقة المحلية يتولاها مُحلِّل الشركة، فإمّا أن تعيد توجيه تلك اللاحقة إلى المُحلِّل المحلي أو تستخدم عنوان IP للجهاز.

الاكتشاف طبقة مستقلة. mDNS والبث لا يعبران نفقًا موجَّهًا، لذا قد يكون الجهاز قابلًا للوصول بعنوانه بينما يبقى اسمه غير مرئي. عاكس أو إدخال DNS محلي يحل ذلك؛ أما المسار فلا.

رابعًا، تحقّق مما إذا كان الجهاز الآخر على VPN أيضًا

عندما يشغّل الجهاز الذي تريد الوصول إليه عميل VPN أيضًا، فقد تصل جلستك بينما يغادر ردّه عبر النفق الآخر. ينتج عن ذلك اتصال يؤسَّس ثم يتوقف، أو محاولة RDP وSSH تنتهي بمهلة دون أي خطأ من جهتك. افحص جدول التوجيه لدى المضيف الآخر ومساره الافتراضي قبل أن تلوم عميلك.

افحص أيضًا العنوان الذي تستمع عليه الخدمة. المستمع المرتبط بعنوان النفق فقط يقبل الاتصالات من VPN ويرفضها من الشبكة المحلية، حتى مع توجيه مثالي. هذا إعداد خدمة لا مسار شبكة، وهو شائع في واجهات الإدارة التي أُغلقت على عنوان VPN.

احتفظ بمسار إدارة لا يعتمد على النفق: مسار ثابت يسمّي شبكتك المصدر، أو واجهة أخرى موصولة بالشبكة المحلية، أو وحدة تحكم تتجاوز النفق بالكامل. تصميم ذلك المسار بعد انقطاع الجلسة أصعب بكثير من إضافته قبل الاتصال التالي.

طبّق الإصلاح الذي يطابق الفحص الذي فشل

إن أظهر جدول التوجيه استحواذًا بنصف افتراضي، فاختر النفق المنقسم إن سمحت السياسة ومسارًا محليًا مثبّتًا إن لم تسمح. وإن تبيّن أن العنوان عام، فحوّل الاختبار والاسم إلى العنوان الخاص. وإن انتقل المُحلِّل من جهة إلى أخرى، فحدّد نطاق اللاحقة المحلية أو استخدم العنوان. وإن كان المضيف الآخر خلف نفق، فأصلح مسار عودته أو ربط المستمع.

غيّر شيئًا واحدًا، ثم أعد الفحص نفسه. المسار المضاف لشبكة فرعية خاطئة، واللاحقة التي بها خطأ مطبعي، والمسار المثبّت على واجهة تعيد الترقيم، كلها تبدو كالعطل الأصلي. التكرار هو ما يفصل الإصلاح عن المصادفة.

دوّن المسار والعنوان والمُحلِّل الذي نجح أثناء اتصال VPN. إعادة الاتصال التالية ستغيّر واحدًا منها على الأقل، والملاحظة تحوّل الانقطاع التالي إلى مقارنة قصيرة بدل تحقيق جديد.