Dijelite Windows vezu? VPN putanja se mijenja ispod nje

Laptop dijeli svoj Wi-Fi, host pregleda kroz tunel bez pritužbi, a tablet na tom dijeljenju ne doseže ništa. Host je prestao biti samo klijent onog trenutka kada je dijeljenje uključeno: sada je ruter, a proslijeđeni paketi susreću drugačiji skup pravila. Šta god radi na hostu, ne govori ništa o uređaju iza njega. Pokrenite provjere s klijenta nizvodno i razlika prestaje biti teorijska.

Uspjeh hosta ništa ne dokazuje

Dijeljenje veze daje četiri posla jednom računaru: dodjelu adresa, prosljeđivanje, prevođenje i filtriranje. VPN klijent koji štiti lokalno generisani saobraćaj može proslijeđeni saobraćaj smatrati izvan svog obuhvata, ili ga namjerno blokirati kao curenje. Nijedno ponašanje nije greška, i nijedno nije zapisano na ekranu na kojem je dijeljenje uključeno. Samo test nizvodno kaže koje od njih imate.

Mnogi klijenti prosljeđuju samo saobraćaj hosta, pa provjerite odjeljak o dijeljenju u dokumentaciji klijenta umjesto da vjerujete da će tunel usmjeravati za tablet. Vidljivi simptom je uređaj koji se poveže, dobije adresu i zatim padne na prvom zahtjevu. Klijent koji odbija prosljeđivanje i dalje izgleda potpuno zdravo na hostu.

Koji adapter se dijeli, koji opslužuje klijente

Zabilježite oba adaptera, jer nose različite adrese i različite filtere, a promjena na pogrešnom objašnjava mnogo zbunjujućih rezultata. Host dijeljenja obično zauzima fiksnu adresu na nizvodnoj strani i tamo pokreće mali DHCP i DNS servis. Windows čuva prosljeđivanje po adapteru, a ne globalno, pa se stanje mora čitati interfejs po interfejs.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Ako prosljeđivanje na dijeljenom adapteru piše Onemogućeno, ništa nizvodno neće raditi bez obzira na to šta tunel radi. Uključite ga samo na računaru čija politika dopušta da usmjerava za druge uređaje.

Prosljeđivanje, prevođenje i filtriranje

Proslijeđeni paket mora doći do tunela, biti preveden u nešto što dalja strana prihvata i vratiti se kroz isto prevođenje. Svaka od te tri faze može se pokvariti, a svaki kvar daje isti istek vremena u pregledniku. Snimak paketa, pretraga ruta i zapis s dalje strane vrijede više od još jednog pregleda dijaloga za dijeljenje. Koja faza pada govori čija je promjena potrebna.

Daljoj strani može trebati i povratna ruta za dijeljenu podmrežu, raspon koji VPN server nikada nije vidio. Gdje klijent prevodi, server vidi samo adresu tunela i povratna ruta nije potrebna. Gdje ne prevodi, onaj ko posjeduje gateway mora tu rutu namjerno dodati, a to je zahtjev za promjenu, a ne postavka klijenta.

Provjere radite na klijentu, ne na hostu

Svaku provjeru radite na klijentu koji pada, ne na hostu koji radi. Držite izlaznu adresu, odgovor razrješivača i test aplikacije u istoj sesiji, jer rezultati prikupljeni sat vremena razlike ne govore ništa o tome kako se sva tri kombinuju.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Uporedite izlaznu adresu s hostovom vlastitom i zabilježite da li se poklapaju. Drugačiji odgovor znači da proslijeđena putanja zaobilazi tunel, što je pitanje politike s vlasnikom, a ne brza popravka. Poklapajući odgovor uz aplikaciju koja pada premješta posao na razrješavanje imena ili na politiku na daljoj strani. Ne zaustavljajte se ni na rezultatu IPv4: dijeljenje može proći svaku IPv4 provjeru dok IPv6 izlazi kroz drugi izlaz, pa ponovite provjere imena i izlaza sa zapisom AAAA i detaljnim testom veze.

Na upravljanom računaru potvrdite da je dijeljenje uopšte dopušteno, jer izlaganje pristupa drugom uređaju je administrativna odluka, a ne prekidač za udobnost. Nakon svake podržane promjene ponovite provjere pri ponovnom povezivanju i još jednom tokom prekida. Čisto ponovno povezivanje hosta ne vraća proslijeđenu rutu koju klijent nikada nije podržavao.