Нов клиент на хотспот, заседнал на получаване на IP адрес, не е повреда във VPN

Телефон се присъединява към хотспота, стои на „Получаване на IP адрес“ и накрая се отказва. Естественият извод е, че VPN-ът на телефона пречи на DNS, затова хората започват да редактират резолвери и добавени правила. Това е грешен етап. Клиентът така и не е получил локален адрес, а без него няма шлюз, няма резолвер и нищо за препращане, така че никоя VPN настройка на телефона домакин не може да обясни повредата. Свързването, локалното задаване на адрес и препращането напред са три отделни етапа и само последният включва тунела.

Трите етапа и на кой от тях сте

Първо идва свързването: клиентът се присъединява към безжичната мрежа на хотспота. Грешна парола, несъответствие на WPA3 или проблем със съвместимостта на радиото се провалят тук и клиентът обикновено го казва. Второ идва задаването на адрес: за IPv4 клиентът иска лизинг и получава адрес плюс локални настройки на шлюза, докато IPv6 обикновено използва обявления от рутера вместо DHCP, както описва документацията на AOSP за тетеринг. Трето идва достъпът напред: телефонът домакин препраща разрешения трафик по избрания от него път нагоре, който може да е неговият тунел, а може и да не е.

Формулировката на клиента ви казва етапа. Заседнал на получаване на адрес е втори етап, преди който и да е пакет да тръгне към интернет. Свързан, с адрес, но нищо не се зарежда е трети етап, където значение имат маршрутизацията, имената и обхватът на тунела. Диагностициране на трети етап, докато клиентът е заседнал на втори, е начинът петминутен проблем с лизинг да стане следобед с редакции на DNS.

Митът: маршрутизиран VPN превръща локалния DHCP в отдалечена заявка

Маршрутизираният тунел мести IP пакети за дестинациите, които избере. DHCP discover е broadcast в собствения сегмент на хотспота и услугата за тетеринг на телефона отговаря локално, затова клиентът може да получи адрес, докато тунелът е активен. Само умишлено мостово или релейно решение изпраща тази размяна другаде и това е друга подредба с друга сигнатура на повреда.

Затова „VPN сървърът не отговаря на DHCP“ не е диагноза, а грешка в модела. Локалният посредник е на телефона. Ако спре да отговаря, причините са локални: услугата за тетеринг, лимитът на клиенти, пулът за лизинги или клиент, който така и не е завършил свързването както трябва. Никое от тези не живее от отдалечената страна на тунела.

Какво всъщност доказва работещ съществуващ клиент

Ако лаптоп, който вече е бил свързан, продължава да работи, а новият телефон не, хотспотът и пътят нагоре са като цяло живи. Това сравнение е полезно и не е доказателство кой компонент е виновен, защото работещият клиент може просто да държи лизинг отпреди промяната и тихо да го подновява.

Две локални ограничения си струва да проверите, докато сте там. Хотспотът обслужва краен пул за лизинги и конфигурируем лимит на клиенти, така че устройство, което се е свързало и е заспало, може да държи адрес, докато ново чака. А клиент, който помни статична конфигурация от друга мрежа, изобщо няма да поиска лизинг, което отвън изглежда идентично и се поправя при клиента, не на телефона.

Пазете сравнението локално и обратимо

На устройство, където политиката позволява, сравнете едно присъединяване на нов клиент с неактивен и след това активен тунел, като хотспотът и клиентът остават иначе непроменени. Запишете версиите на телефона и клиента, избрания профил и точния етап, който се е провалил. На управляван телефон поискайте одобреното сравнение, вместо да изключвате налагането, за да получите по-чист тест.

Последователна повреда на лизинга, зависима от тунела, е полезно доказателство за локална политика или взаимодействие между реализации. Тя не е лиценз да изчистите всяко правило за препращане и NAT на устройството. Тези правила защитават несвързан трафик и широко разрешаване на препращането не обяснява защо локална DHCP услуга е спряла да отговаря.

Не замазвайте липсващ лизинг с измислен статичен адрес. Умишлената статична конфигурация изисква истинската подмрежа, шлюза, плана за разпределение и проверка за сблъсъци. Промяната на DNS на клиента не дава нищо от това и оставя следващото устройство със същата повреда.

Какво лизингът не доказва

Получаването на адрес доказва допускане до локалната мрежа, не защита от тунела на телефона. Щом клиентът има лизинг, оценете пътя надолу отделно: наистина ли трафикът на клиента минава през телефона, разрешават ли се търсенията там, където очаквате, и съвпада ли външният адрес с изхода, който сте имали предвид? Това са въпроси от трети етап и заслужават собствен тест, вместо да се сгъват в присъединяването.

Минете етапите поред и повредата спира да се мести. Клиент, заседнал на получаване на адрес, е локален въпрос за тетеринг; клиент с адрес и без страници е въпрос за препращане или имена; клиент със страници и грешен изход е въпрос за обхват на тунела. Разделянето им е по-голямата част от отстраняването на неизправности.