Споделяте Windows връзка? Пътят на VPN се променя под нея

Споделен адаптер превръща компютъра в рутер и препратеният трафик поема различен път от приложенията на хоста. Тествайте от клиента, не от хоста.

Лаптоп споделя своя Wi-Fi, хостът сърфира през тунела без оплаквания, а таблетът на това споделяне не достига до нищо. Хостът престана да бъде само клиент в момента, в който споделянето беше включено: сега той е рутер и препратените пакети срещат различен набор от правила. Каквото работи на хоста, не казва нищо за устройството зад него. Изпълнете проверките от клиента надолу по веригата и разликата престава да бъде теоретична.

Успехът на хоста не доказва нищо

Споделянето на връзка възлага четири задачи на една машина: задаване на адреси, препращане, транслация и филтриране. VPN клиент, който защитава локално генерирания трафик, може да смята препратения трафик за извън обхвата си, или умишлено да го блокира като изтичане. Нито едно от двете поведения не е дефект и нито едно не е записано на екрана, където е включено споделянето. Само тестът от клиента показва кое от двете имате.

Много клиенти препращат само трафика на хоста, затова проверете раздела за споделяне в документацията на клиента, вместо да разчитате, че тунелът ще маршрутизира за таблета. Видимият симптом е устройство, което се свързва, получава адрес и след това се проваля при първата заявка. Клиент, който отказва да препраща, все още изглежда напълно здрав на хоста.

Кой адаптер е споделен и кой обслужва клиентите

Запишете и двата адаптера, защото те носят различни адреси и различни филтри, а промяна на грешния обяснява много объркващи резултати. Хостът на споделянето обикновено заема фиксиран адрес от страната надолу и там пуска малка DHCP и DNS услуга. Windows пази препращането за всеки адаптер, а не глобално, затова състоянието трябва да се чете интерфейс по интерфейс.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Ако препращането на споделения адаптер е показано като Изключено, нищо надолу няма да работи, каквото и да прави тунелът. Включете го само на машина, чиято политика позволява тя да маршрутизира за други устройства.

Препращане, транслация и филтриране

Препратеният пакет трябва да стигне до тунела, да бъде преведен в нещо, което далечната страна приема, и да се върне през същата транслация. Всеки от тези три етапа може да се счупи и всяко счупване дава същото изчакване в браузъра. Прихващане на пакети, справка в маршрутната таблица и лог от далечната страна струват повече от пореден преглед на диалога за споделяне. Кой етап се проваля показва чия промяна е нужна.

Далечната страна може да има нужда и от обратен маршрут за споделената подмрежа — диапазон, който VPN сървърът никога не е виждал. Където клиентът превежда, сървърът вижда само адреса на тунела и обратен маршрут не е нужен. Където не превежда, този, който притежава шлюза, трябва съзнателно да добави този маршрут и това е заявка за промяна, а не настройка на клиента.

Правете проверките на клиента, не на хоста

Правете всяка проверка на клиента, който се проваля, а не на хоста, който работи. Дръжте изходния адрес, отговора на резолвера и теста на приложението в една сесия, защото резултати, събрани с час разлика, не казват нищо за това как трите се съчетават.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Сравнете изходния адрес със собствения на хоста и отбележете дали двата съвпадат. Различен отговор означава, че препратеният път заобикаля тунела, а това е въпрос на политика с отговорник, не бърза поправка. Съвпадащ отговор до провалящо се приложение премества работата към разрешаване на имена или към политиката на далечната страна. Не спирайте и на резултата за IPv4: споделянето може да мине всяка проверка за IPv4, докато IPv6 излиза през друг изход, затова повторете проверките за имена и изход със записа AAAA и подробния тест на връзката.

На управлявана машина потвърдете, че споделянето изобщо е разрешено, защото откриването на достъп до друго устройство е административно решение, а не превключвател за удобство. След всяка поддържана промяна повторете проверките при повторно свързване и отново по време на прекъсване. Чистото повторно свързване на хоста не възстановява препратен маршрут, който клиентът никога не е поддържал.

Подобни статии