Дзеліцеся злучэннем Windows? Шлях VPN пад ім змяняецца

Агульны адаптар ператварае камп’ютар у маршрутызатар, і перададзены трафік ідзе іншым шляхам, чым праграмы хаста. Правярайце з кліента, а не з хаста.

Ноўтбук дзеліцца сваім Wi-Fi, хаст спакойна ходзіць праз тунель, а планшэт на гэтым агульным злучэнні не дасягае нічога. Хаст перастаў быць толькі кліентам у той момант, калі ўключылі агульны доступ: цяпер ён маршрутызатар, і перададзеныя пакеты сустракаюць іншы набор правілаў. Тое, што працуе на хасце, нічога не кажа пра прыладу за ім. Правядзіце праверкі з ніжняга кліента, і гэтае адрозненне перастане быць тэарэтычным.

Поспех хаста нічога не даказвае

Агульны доступ дае чатыры задачы адной машыне: прызначэнне адрасоў, перасылку, трансляцыю і фільтраванне. Кліент VPN, які абараняе лакальна створаны трафік, можа лічыць перададзены трафік па-за сваёй зонай адказнасці, або наўмысна блакаваць яго як уцечку. Ні адзін з паводзін не з’яўляецца памылкай, і ні адзін не напісаны на экране, дзе ўключылі агульны доступ. Толькі праверка з ніжняга боку скажа, які з іх у вас.

Многія кліенты перасылаюць трафік хаста і больш нічога, таму глядзіце раздзел пра агульны доступ у дакументацыі кліента, а не спадзейцеся, што тунель прамаршрутызуе за планшэт. Бачны сімптом — прылада, якая падключаецца, атрымлівае адрас і потым зрываецца на першым запыце. Кліент, які адмаўляецца перасылаць, на хасце выглядае цалкам здаровым.

Які адаптар агульны, які абслугоўвае кліентаў

Запішыце абодва адаптары, бо яны маюць розныя адрасы і розныя фільтры, і змена не на тым адаптары тлумачыць шмат заблытаных вынікаў. Хаст агульнага доступу звычайна займае фіксаваны адрас на ніжнім баку і запускае там невялікую службу DHCP і DNS. Windows трымае перасылку па асобным адаптары, а не глабальна, таму стан трэба чытаць інтэрфейс за інтэрфейсам.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Калі перасылка на агульным адаптары паказана як Адключаная, нішто ніжэй не будзе працаваць, што б ні рабіў тунель. Уключайце яе толькі на машыне, палітыка якой дазваляе ёй маршрутызаваць для іншых прылад.

Перасылка, трансляцыя і фільтраванне

Перададзены пакет павінен дайсці да тунеля, быць трансляваны ў нешта, што прымае далёкі бок, і вярнуцца праз тую ж трансляцыю. Любы з гэтых трох этапаў можа зламацца, і кожны злом дае той жа тайм-аўт браўзера. Захоп пакетаў, пошук маршруту і лог з далёкага боку каштуюць больш, чым чарговы агляд дыялога агульнага доступу. Менавіта тое, які этап зрываецца, кажа, чыя змена патрэбна.

Далёкаму боку можа спатрэбіцца таксама зваротны маршрут для агульнай падсеткі — дыяпазон, якога сервер VPN ніколі не бачыў. Там, дзе кліент транслюе, сервер бачыць толькі адрас тунеля, і зваротны маршрут не патрэбны. Там, дзе ён не транслюе, той, хто валодае шлюзам, павінен дадаць гэты маршрут наўмысна, і гэта запыт на змену, а не налада кліента.

Праверкі рабіце на кліенце, а не на хасце

Праводзьце кожную праверку на кліенце, які зрываецца, а не на хасце, які працуе. Трымайце адрас выхаду, адказ рэзалвера і тэст праграмы ў адной сесіі, бо вынікі, сабраныя з розніцай у гадзіну, нічога не кажуць пра тое, як усе тры спалучаюцца.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Параўнайце адрас выхаду з уласным адрасам хаста і адзначце, ці супадаюць яны. Іншы адказ азначае, што перададзены шлях абыходзіць тунель, а гэта пытанне палітыкі з уласнікам, а не хуткае выпраўленне. Супадальны адказ побач з праграмай, што зрываецца, пераносіць працу на развязанне імён або на палітыку на далёкім баку. Не спыняйцеся і на выніку IPv4: агульны доступ можа прайсці ўсе праверкі IPv4, пакуль IPv6 выходзіць праз іншы выхад, таму паўтарыце праверкі імён і выхаду з запісам AAAA і падрабязным тэстам злучэння.

На кіраванай машыне пацвердзіце, што агульны доступ увогуле дазволены, бо адкрыццё доступу іншай прыладзе — гэта адміністрацыйнае рашэнне, а не пераключальнік зручнасці. Пасля любой падтрыманай змены паўтарыце праверкі пры перападключэнні і яшчэ раз падчас збою. Чыстае перападключэнне хаста не аднаўляе перададзены маршрут, які кліент ніколі не падтрымліваў.

Падобныя артыкулы