Абагульванне VPN у Windows з правадной кансоллю: шлюз на камп'ютары ці на роўтары

Кансолі, якія не могуць запусціць кліент VPN, часам могуць пазычыць тунель камп'ютара з Windows, і такая схема часцей не спраўджваецца, чым спраўджваецца, з прычын, не звязаных з VPN. Камп'ютар павінен стаць шлюзам: асобны ніжні інтэрфейс, адрасацыя для кансолі, трансляцыя і кліент, гатовы перасылаць пакеты іншай прылады. Тунель, які працуе для ўласных праграм камп'ютара, не даказвае нічога з гэтага.

Параўнанне, якое варта зрабіць, — паміж такой схемай і роўтарам, які валодае тунелем для ўсёй сеткі. Яны адрозніваюцца ў абслугоўванні, у паводзінах пры збоях і ў тым, колькі палітыкі вы бачыце адначасова.

Што павінен рабіць шлюз на камп'ютары

Шлюзу патрэбны інтэрфейс, накіраваны да кансолі, дыяпазон адрасоў для гэтага сегмента і правіла трансляцыі, якое перапісвае трафік кансолі ў тунель. Таксама трэба, каб кліент перасылаў пакеты, якія ён не стварыў, а гэта іншая налада, чым прыём уласнага трафіку. Развязанне імёнаў павінна ісці тым жа шляхам, інакш кансоль вызначае гульнявую службу праз адзін маршрут, а затым падключаецца праз іншы. Кожны з гэтых пунктаў — асобны крок налады са сваім рэжымам збою.

console -> dedicated ethernet -> windows sharing / nat
        -> selected tunnel interface -> internet

Windows Internet Connection Sharing прапануе менавіта такую форму: адно злучэнне прызначаецца публічным, а другое — прыватным. Гэтае прызначэнне важнейшае, чым чакаюць людзі, бо інтэрфейс, які дасягае хатняга роўтара, не абавязкова той, што нясе тунель.

Параўнанні, якія вырашаюць справу

Тры адрозненні аддзяляюць шлюз на камп'ютары ад шлюза на роўтары, і менавіта яны выяўляюцца праз месяцы. Табліца ставіць іх побач.

Прывязка да сеанса — першае адрозненне і тое, што застае людзей знянацку. Камп'ютар, які засынае, выходзіць з сістэмы або ўсталёўвае абнаўленне, перастае быць шлюзам, і кансоль губляе шлях без змены любой налады. Бачнасць палітыкі — другое, бо правілы кліента і пласт абагульвання жывуць у двух месцах, і ні адно не апісвае другое. Паслуга адрасоў — трэцяе, і яна тлумачыць кансоль, якая трымае адрас, але ўсё роўна нічога не дасягае.

Нішто з гэтага не робіць схему на камп'ютары няправільнай. Яна робіць яе часовым рашэннем, што прымальна, калі патрабаванне часовае.

Перасылаемы трафік — іншая катэгорыя

Кліент для працоўнага стала можа апрацоўваць пакеты, перасланыя для іншай прылады, інакш, чым свае. Спіс уключэння па праграмах ахоплівае працэсы на камп'ютары і нічога не кажа пра трафік кансолі, а засцерагальнік, які ахоўвае лакальныя праграмы, можа зусім не ахоўваць перасылаемы шлях. Пацвердзіце дакументаваныя паводзіны кліента для перасылаемага трафіку, а не рабіце выснову з паспяховай загрузкі старонкі на камп'ютары. Калі гэтыя паводзіны незразумелыя, уся схема трымаецца на здагадцы.

Адрасацыя кансолі павінна паходзіць са схемы абагульвання, а не з капіравання тунельнага адраса камп'ютара на яе. Капіраванне стварае дубляваны адрас, няправільны шлюз і рэзальвер, які паказвае на нешта, недасяжнае для кансолі. Няхай ніжняя служба выдае канфігурацыю, а затым праверце, што кансоль фактычна атрымала.

Правярайце трафік кансолі, а не камп'ютара

Адзіны значны тэст назірае шлях кансолі. На камп'ютары каманды ніжэй паказваюць размяшчэнне інтэрфейсаў, табліцу суседзяў праз ніжняе злучэнне і тое, ці адказвае кансоль на службовым порце. Запусціце іх, калі гульнявы сеанс фактычна падключаны.

Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4Address
Get-NetAdapter | Select-Object Name, Status, LinkSpeed
arp -a | findstr 192.168.137.
Test-NetConnection 192.168.137.10 -Port 3074

Інтэрфейс без адраса на ніжнім баку азначае, што абагульванне так і не пачалося, — гэта іншая праблема, чым кансоль, якая не можа падключыцца. Запіс для кансолі ў табліцы суседзяў даказвае, што злучэнне і адрасацыя жывыя. Няўдалы тэст порта пасля гэтага паказвае на перасылку або на апрацоўку кліентам перасылаемага трафіку, а не на кабель. Параўнайце адрас выхаду кансолі з адрасам камп'ютара, перш чым рабіць выснову, што тунель — гэта шлях, які выкарыстоўваецца.

Трымайце схему дакументаванай з яе імёнамі інтэрфейсаў і дыяпазонамі адрасоў. Калі яна зломіцца пасля наступнага абнаўлення, гэтая старонка зэканоміць гадзіну на новае адкрыццё.