VPN падключаны, але IP-адрас не змяніўся: чаму

Вы падключаецеся, кліент кажа, што злучэнне ёсць, а тэст адраса ўсё яшчэ паказвае той жа лік, што быў раней. З індыкатарам усё добра; нешта паміж профілем і праграмай пакінула гэты запыт па-за тунэлем. Вызначце, на якую з трох рэчаў вы глядзіце, перш чым чапаць любыя налады: тэст, які ніколі не мераў публічны адрас, тунэль, які ахоплівае толькі частку трафіку, або другі шлях, які перамагае ў рашэнні маршрутызацыі. Для кожнай ёсць адна праверка, якая займае менш за хвіліну.

Пераканайцеся, што менавіта змераў тэст

Адрас у дыялогу Wi-Fi або Ethernet — гэта адрас інтэрфейса ў вашым уласным сегменце, а не адрас, які бачыць сайт, таму ён можа заставацца нязменным, пакуль тунэль працуе бездакорна. Месцазнаходжанне зноў асобны сігнал: захаваны рэгіён уліковага запісу ці дазволенае чытанне геалакацыі не зрушваюцца, калі вы змяняеце выхад, і ўваход, які ўжо пазнае вас, таксама.

Выкарыстайце водгук публічнага адраса і пытайце кожнае сямейства асобна, бо вынік тэсту з падвойным стэкам хавае цікавы выпадак:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

Запусціце абодва да і пасля падключэння. Калі адказ IPv4 змяніўся на адрас выхаду, а адказ IPv6 не, у вас не зламаны тунэль; у вас адно сямейства ідзе па-за ім. Калі абодва адказы застаюцца тымі ж, запыт наогул не дасягнуў тунэля, і ўсё астатняе тут дзейнічае.

Профіль можа ахопліваць толькі частку трафіку

Профіль раздвоенага тунэля — звычайны адказ, і гэта не дэфект. OpenVPN пускае ўсё праз тунэль толькі калі redirect-gateway ёсць у перададзеных опцыях; без яго кліент атрымлівае некалькі канкрэтных маршрутаў, а ваш маршрут па змаўчанні застаецца на фізічным канале. У Windows той жа перамыкач выглядае як «Use default gateway on remote network» ва ўласцівасцях IPv4 адаптара, і яго зняцце — свядомы выбар, які перажывае кожнае перападключэнне.

Ахоп па праграмах — другі ўзровень. Налада VPN для кожнай праграмы ў Android вызначае, якія праграмы ўключаны, таму ключ VPN у радку стану не даказвае, што браўзер унутры яго. Пашырэнне браўзера, якое праксіруе ўласны трафік, стварае люстраны адбітак: браўзер паказвае адрас выхаду, а паштовы кліент ці гульня на той жа машыне ўсё яшчэ паказвае ваш. Параўнайце той жа запыт у дзвюх праграмах. Калі адзін змяніўся, а другі не, вы глядзіце на ахоп, а не на тунэль, што збавіў.

Адно сямейства адрасоў можа ўсё яшчэ ісці напрамкі

Большасць профіляў VPN напісаны для IPv4, і шмат якія такімі засталіся. У сетцы з падвойным стэкам тунэль бярэ 10.8.0.x для IPv4, а фізічны канал захоўвае глабальны адрас IPv6 і маршрут па змаўчанні, таму сайт з падтрымкай IPv6 дасягаецца напрамкі, і адрас, які ён паведамляе, — гэта адрас вашага правайдэра. Гэта ўцечка пры працоўным тунэлі IPv4, і яна нябачная для тэсту, які размаўляе толькі на IPv4.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Чытайце інтэрфейс у кожным адказе. Калі пошук IPv6 называе вашу прыладу Ethernet або Wi-Fi, а пошук IPv4 называе тунэль, палітыка для гэтага сямейства адсутнічае, а не зламаная. Выключэнне IPv6 на ўсёй прыладзе прыбірае сімптом і хавае рашэнне; лепш выправіць ахоп профілю або адключыць сямейства менавіта на гэтым злучэнні, і запісаць, які з двух варыянтаў вы выбралі.

Другі шлях можа перамагчы ў пошуку

Канкурэнтны проксі, другі кліент VPN, віртуальны адаптар ад кантэйнера або прылады аддаленага працоўнага стала, ці дадатковы маршрут для дакладнага прэфікса, які вы тэстуеце, — усё гэта можа атрымаць перавагу. Канкрэтны маршрут заўсёды перамагае маршрут па змаўчанні, таму пакінуты /24 для сайта, які вы мераеце, што паказвае на ваш шлюз LAN, працягвае адпраўляць гэты трафік па-за тунэлем, якім бы здаровым тунэль ні быў.

Зрабіце інвентарызацыю, перш чым нешта змяняць, камандамі толькі для чытання:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

Шукайце больш за адзін маршрут па змаўчанні з праўдападобнай метрыкай і канкрэтны маршрут, які пакрывае прызначэнне. У браўзеры таксама праверце, ці валодае злучэннем пашырэнне проксі або сістэмная налада проксі; пашырэнне можа назваць свой уласны вышэйшы сервер і пакінуць выхад аперацыйнай сістэмы некранутым, што дае іншы адрас у браўзеры, чым у тэрмінале на той жа машыне.

Перамерайце новым запытам

Перападключыцеся, потым паўтарыце вымярэнне з той жа праграмы, якой тэставалі першы раз, бо кэшаваная старонка або паўторна выкарыстанае злучэнне паведамляе стары стан. Назірайце за журналам кліента або выглядам падзей падчас падключэння: памылка прымянення маршрутаў пасля аўтэнтыфікацыі — мацнейшы доказ за любы індыкатар, і звычайна яна называе маршрут або адаптар, які здарыўся.

Трымайце два вынікі асобна. Калі адрас змяніўся, але адзін сайт усё яшчэ адмаўляе вам, тунэль працуе, а сайт адхіляе адрас цэнтра апрацоўкі даных; гэта іншая праблема з іншым адказам. Калі адрас ніколі не змяняецца, прайдзіце чатыры пытанні па чарзе: які адрас надрукаваў тэст, якое гэта было сямейства, якая праграма зрабіла запыт і які маршрут гэты запыт прайшоў. Дакументацыя Microsoft пра рашэнні маршрутызацыі VPN тлумачыць, як кліент Windows выбірае паміж тунэлем і фізічным адаптарам, калі ў абодвух ёсць маршрут.