Споделяне на Windows VPN с кабелна конзола: шлюз на компютъра или на рутера

Конзоли, които не могат да стартират VPN клиента, понякога могат да заемат тунела на Windows компютър и тази схема се проваля по-често, отколкото успява, по причини, несвързани с VPN. Компютърът трябва да стане шлюз: отделен низходящ интерфейс, адресиране за конзолата, транслация и клиент, готов да препраща пакети на друго устройство. Тунел, който работи за собствените приложения на компютъра, не доказва нищо от това.

Сравнението, което си заслужава, е между тази схема и рутер, който притежава тунела за цялата мрежа. Те се различават по поддръжка, по поведение при отказ и по това колко от политиката виждате наведнъж.

Какво трябва да прави шлюзът на компютъра

Шлюзът се нуждае от интерфейс, обърнат към конзолата, диапазон от адреси за този сегмент и правило за транслация, което пренаписва трафика на конзолата към тунела. Нужно е също клиентът да препраща пакети, които не е създал, а това е различна настройка от приемането на собствения му трафик. Разрешаването на имена трябва да минава по същия път, иначе конзолата разрешава игрална услуга през един маршрут и след това се свързва през друг. Всяка от тези стъпки е отделна конфигурация със собствен режим на отказ.

console -> dedicated ethernet -> windows sharing / nat
        -> selected tunnel interface -> internet

Windows Internet Connection Sharing предлага точно тази форма, като една връзка се определя като публична, а друга като частна. Това определяне е по-важно, отколкото хората очакват, защото интерфейсът, който стига до домашния рутер, не е автоматично този, който носи тунела.

Сравнения, които решават въпроса

Три разлики отделят шлюза на компютъра от шлюза на рутера и именно те се появяват месеци по-късно. Таблицата ги поставя една до друга.

Обвързването със сесията е първата разлика и тази, която изненадва хората. Компютър, който заспива, излиза от профила или инсталира актуализация, престава да бъде шлюз и конзолата губи пътя си, без да се променя каквато и да е конфигурация. Видимостта на политиката е втората, защото правилата на клиента и слоят за споделяне живеят на две места и нито едно не описва другото. Услугата за адреси е третата и тя обяснява конзола, която държи адрес, но все пак не достига до нищо.

Нищо от това не прави схемата с компютър грешна. То я прави временен дизайн, което е приемливо, когато изискването е временно.

Препреданият трафик е отделна категория

Клиент за настолен компютър може да третира пакетите, препредадени за друго устройство, различно от своите. Списъкът за включване по приложения покрива процесите на компютъра и не казва нищо за трафика на конзолата, докато ключът за спиране, който пази локалните приложения, може изобщо да не пази препредания път. Потвърдете документираното поведение на клиента за препредан трафик, вместо да го извеждате от успешно зареждане на страница на компютъра. Когато това поведение е неясно, цялата схема почива на предположение.

Адресирането на конзолата трябва да идва от схемата за споделяне, никога от копиране на тунелния адрес на компютъра върху нея. Копирането създава дублиран адрес, грешен шлюз и резолвер, сочещ към нещо, недостъпно за конзолата. Оставете низходящата услуга да раздаде конфигурацията и след това проверете какво действително е получила конзолата.

Проверявайте трафика на конзолата, не този на компютъра

Единственият смислен тест наблюдава пътя на конзолата. На компютъра командите по-долу показват разположението на интерфейсите, таблицата на съседите през низходящата връзка и дали конзолата отговаря на служебен порт. Изпълнете ги, докато игрална сесия е действително свързана.

Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4Address
Get-NetAdapter | Select-Object Name, Status, LinkSpeed
arp -a | findstr 192.168.137.
Test-NetConnection 192.168.137.10 -Port 3074

Интерфейс без адрес от низходящата страна означава, че споделянето така и не е започнало, което е различен проблем от конзола, която не може да се свърже. Запис за конзолата в таблицата на съседите доказва, че връзката и адресирането са живи. Провален тест на порт след това сочи към препращането или към третирането на препредания трафик от клиента, а не към кабела. Сравнете изходния адрес на конзолата с този на компютъра, преди да заключите, че тунелът е използваният път.

Дръжте схемата документирана с имената на интерфейсите и диапазоните от адреси. Когато се счупи след следващата актуализация, тази страница спестява час преоткриване.