General failure pri pinganju LAN adrese s uključenim VPN klijentom

Jedna ruta do hosta, jedna adresa, i ping odmah pada s General failure umjesto da zahtjev istekne. Ta razlika je cijela dijagnoza. Istek znači da je paket otišao i da ga je nešto ignoriralo. General failure znači da Windows uopće nije mogao predati paket nijednom sučelju.

Zato, kada tablica usmjeravanja izgleda savršeno a greška je i dalje General failure, blokada se događa ispod odluke o usmjeravanju, a klijent davatelja je ono što tamo radi.

Pročitajte grešku prije tablice usmjeravanja

Windows vraća tu grešku kada ne može pronaći sučelje na koje bi poslao, i ne govori ništa o tome što bi odredište učinilo s paketom. Dostupnost, vatrozidi na udaljenoj strani i raspoloživost usluge sve su nizvodna pitanja do kojih još niste stigli.

Klasična konfiguracija za ovaj slučaj je ruta do hosta koja jednu LAN adresu usmjerava na fizički gateway kako bi zaobišla tunel. route add je prihvaća, route print je prikazuje, a ping i dalje pada, jer je upravljački program filtra već odlučio da paket ne smije van.

Prije nego prihvatite to objašnjenje, potvrdite da se ruta doista odabire: provjerite indeks sučelja i metriku, i uvjerite se da zapis nije zastario nakon ponovnog povezivanja. Ruta koja pokazuje na sučelje koje više ne postoji daje sličnu grešku iz mnogo manje zanimljivog razloga.

Tri sloja, tri različita vlasnika

Pobjeđuje onaj sloj koji radi posljednji, a ova tri nisu u redoslijedu koji većina ljudi pretpostavlja.

Srednji sloj je razlog zašto ruta može biti istodobno ispravna i beskorisna. Klijenti davatelja instaliraju filtar i pravila vatrozida kako bi promet izvan tunela bio odbačen, a to je isti mehanizam koji provodi njihov kill switch. Ništa u tablici usmjeravanja ne sudjeluje u toj odluci.

Treći sloj objašnjava neobično izvješće koje redovito stiže: lokalna podmreža nije dostupna čak i nakon odspajanja klijenta. Usluga još radi i filtar je još instaliran, pa nije povezan nije isto što i ne filtrira. Izađite iz klijenta umjesto da ga samo odspojite prije nego donesete bilo kakav zaključak.

Što isprobati, po redu

Počnite uklanjanjem značajki koje je jeftino ukloniti i lako vratiti. Otkrivanje na LAN-u, koje se ponekad naziva nevidljivost na LAN-u, blokira promet prema rasponima privatnih adresa kako bi stroj ostao skriven od susjeda. Pisači, lokalni poslužitelji datoteka i sam usmjerivač nestaju iza tog prekidača. Značajke zaštite od prijetnji koje filtriraju DNS instaliraju svoje kuke i navodi se da kvare lokalnu dostupnost na gotovo isti način.

Isključite oboje, potpuno izađite iz klijenta, a zatim testirajte adresu. Taj slijed odvaja značajku koja blokira promet od tunela koji ga usmjerava pogrešno, i traje dvije minute umjesto poslijepodneva statičkih ruta.

ping 192.168.1.50
tracert -d 192.168.1.50
route print -4

Ako adresa odgovori nakon što su značajke isključene, imate odluku o politici, a ne kvar: odaberite hoćete li značajku ostaviti isključenom, dodati iznimku ili prihvatiti da stroj ostane nevidljiv na lokalnoj mreži.

Koristite klijentov put iznimke, usko

Kada značajka mora ostati uključena, podržani izlaz je klijentovo vlastito podijeljeno tuneliranje. Držite iznimku što manjom koliko zahtjev dopušta, što obično znači jedna adresa hosta za jedan poslužitelj ili jedan prefiks za jedan segment. Pravilo koje pokriva cijeli privatni raspon trajna je rupa koju nitko neće zapamtiti da je dodao i koju se nitko neće usuditi ukloniti.

Zatim provjerite prvo po adresi, a potom po imenu. Ako adresa odgovori s prvim skokom na fizičkom gatewayu, iznimka radi. Ako ime i dalje ne uspijeva, prešli ste na DNS, jer resolver tunela ne poznaje lokalnu zonu i nikakva promjena usmjeravanja to ga neće naučiti.

Zadržite rutu ili iznimku, ne oboje, uz napomenu o tome koja obavlja posao. Dva mehanizma koji se preklapaju skrivaju jedan drugoga, a sljedeća osoba koja bude otklanjala pogreške na ovom stroju uklonit će jedan od njih i neće vidjeti promjenu.

Kada je klijent prepreka

Neke verzije filtriraju promet na način koji ni statička ruta ni klijentska iznimka ne mogu pobijediti. Kada je to nalaz, iskrene su mogućnosti čekati značajku zaobilaženja ili se povezati običnim klijentom OpenVPN koristeći vlastiti profil davatelja, što je preporučio i odgovor korisničke podrške proizvođača u izvornom izvješću.

Shvatite zamjenu prije nego izvršite tu promjenu. Obični profil ponaša se kao svaki obični tunel: instalira svoje rute i ne restrukturira ostatak složaja, pa se uska ruta do hosta i dalje ponaša kako očekujete. Ono što gubite je sve što je brandirani klijent implementirao oko tunela, uključujući kill switch i DNS filtriranje, a to se mora namjerno reproducirati ili prihvatiti kao odsutno.

Što god odabrali, zabilježite koji je sloj posjedovao blokadu. Paket koji nikada nije napustio stroj rezultat je filtra, i nikakva promjena usmjeravanja ne može popraviti filtar.