VPN klienti aktiv ikən LAN ünvanına ping zamanı General failure

Bir host marşrutu, bir ünvan və ping sorğunun vaxtının bitməsi əvəzinə dərhal General failure ilə uğursuz olur. Bu fərq bütün diaqnozdur. Vaxtın bitməsi paketin çıxdığını və nəyinsə onu nəzərə almadığını bildirir. General failure isə Windows-un paketi ilk növbədə heç bir interfeysə verə bilmədiyini bildirir.

Yəni marşrut cədvəli mükəmməl görünürsə və xəta yenə General failure-dirsə, blok marşrut qərarının altında baş verir və provayderin klienti orada işləyən şeydir.

Səhvi marşrut cədvəlindən əvvəl oxuyun

Windows bu xətanı göndərmək üçün interfeys tapa bilmədikdə qaytarır və mənzilin paketlə nə edəcəyi barədə heç nə demir. Əlçatanlıq, uzaq tərəfdəki firewall-lar və xidmətin mövcudluğu hələ çatmadığınız sonrakı suallardır.

Bu hal üçün klassik konfiqurasiya tək bir LAN ünvanını fiziki gateway-ə yönəldən host marşrutudur ki, tuneli keçsin. route add onu qəbul edir, route print onu göstərir, ping isə yenə uğursuz olur, çünki filtr sürücüsü artıq paketin çölə buraxılmamasına qərar verib.

Bu izahatı qəbul etməzdən əvvəl marşrutun həqiqətən seçildiyini təsdiqləyin: interfeys indeksini və metrikanı yoxlayın, yenidən qoşulmadan sonra qeydin köhnəlmədiyinə əmin olun. Artıq mövcud olmayan interfeysə yönələn marşrut daha az maraqlı səbəbdən oxşar xəta verir.

Üç qat, üç fərqli sahib

Qalib gələn qat sonuncu işləyən qatdır və bu üçlük insanların çoxunun güman etdiyi sırada deyil.

Orta qat marşrutun eyni zamanda həm düzgün, həm də faydasız ola bilməsinin səbəbidir. Provayder klientləri tuneldən kənar trafiki atmaq üçün filtr və firewall qaydaları quraşdırır; bu, onların kill switch-ini həyata keçirən eyni mexanizmdir. Marşrut cədvəlində heç nə bu qərarda iştirak etmir.

Üçüncü qat müntəzəm gələn qəribə bir hesabatı izah edir: klient ayrıldıqdan sonra belə yerli subnet əlçatmazdır. Xidmət hələ də işləyir və filtr hələ də quraşdırılıb, yəni qoşulmamaq filtrləməməklə eyni deyil. Nəyisə nəticə çıxarmazdan əvvəl klientdən sadəcə ayrılmaq yerinə onu tamamilə bağlayın.

Nə sınamaq lazımdır, ardıcıllıqla

Çıxarmaq ucuz və bərpa etmək asan olan funksiyaları silməklə başlayın. LAN kəşfi, bəzən LAN-da görünməzlik adlanır, özəl ünvan diapazonlarına trafiki bloklayır ki, maşın qonşularından gizli qalsın. Printerlər, yerli fayl serverləri və routerin özü də o açarın arxasında yox olur. DNS-i filtrləyən təhdid qorunması funksiyaları öz qarmaqlarını quraşdırır və yerli əlçatanlığı təxminən eyni şəkildə pozduğu bildirilir.

Hər ikisini söndürün, klientdən tam çıxın, sonra ünvanı sınayın. Bu ardıcıllıq trafiki bloklayan funksiyanı onu səhv yönləndirən tuneldən ayırır və statik marşrutlarla bir günorta yerinə iki dəqiqə çəkir.

ping 192.168.1.50
tracert -d 192.168.1.50
route print -4

Funksiyalar söndürüldükdən sonra ünvan cavab verirsə, nasazlıq yox, siyasət qərarınız var: funksiyanı söndürülmüş saxlamaq, istisna əlavə etmək və ya maşının yerli şəbəkədə görünməz qalmasını qəbul etmək arasında seçin.

Klientin istisna yolunu dar şəkildə istifadə edin

Funksiya aktiv qalmalı olduqda, klientin öz split tunnelling-i dəstəklənən çıxış yoludur. İstisnanı tələbin icazə verdiyi qədər kiçik saxlayın, bu adətən bir server üçün bir host ünvanı və ya bir seqment üçün bir prefiks deməkdir. Bütün özəl diapazonu əhatə edən qayda kiminsə əlavə etdiyini xatırlamayacağı və heç kimin silməyə cürət etməyəcəyi daimi bir deşikdir.

Sonra əvvəlcə ünvanla, ikinci olaraq adla yoxlayın. Ünvan fiziki gateway-də ilk hop ilə cavab verirsə, istisna işləyir. Ad hələ də uğursuz olursa, siz DNS-ə keçmisiniz, çünki tunelin resolver-i yerli zonanı bilmir və heç bir marşrut dəyişikliyi ona bunu öyrətməyəcək.

Marşrutu və ya istisnanı saxlayın, ikisini yox, hansının işi gördüyü barədə qeyd ilə birlikdə. Üst-üstə düşən iki mexanizm bir-birini gizlədir və bu maşını növbəti dəfə sazlayan şəxs onlardan birini siləcək və heç bir dəyişiklik görməyəcək.

Klient maneə olduqda

Bəzi buraxılışlar trafiki elə filtrləyir ki, nə statik marşrut, nə də klient istisnası onları məğlub edə bilmir. Bu tapıntı olduqda, dürüst seçimlər bypass funksiyasını gözləmək və ya provayderin öz profili ilə adi OpenVPN klienti ilə qoşulmaqdır ki, orijinal hesabatdakı vendor dəstək cavabı da bunu tövsiyə edirdi.

Bu dəyişdirməni etməzdən əvvəl mübadiləni anlayın. Adi profil istənilən adi tunel kimi davranır: marşrutlarını quraşdırır və yığının qalan hissəsini yenidən qurmur, ona görə də dar host marşrutu yenə gözlədiyiniz kimi davranır. İtirdiyiniz şey brendli klientin tunel ətrafında həyata keçirdiyi hər şeydir, o cümlədən kill switch və DNS filtrləməsi, və bunlar qəsdən bərpa edilməli və ya yoxluğu qəbul edilməlidir.

Nə seçsəniz də, bloka hansı qatın sahib olduğunu qeyd edin. Maşından heç vaxt çıxmayan paket filtr nəticəsidir və heç bir marşrut dəyişikliyi filtri düzəldə bilməz.