Error general en fer ping a una adreça de LAN amb el client VPN activat
Windows diu que no pot arribar a cap adaptador mentre la taula d'encaminament sembla correcta. Decideix si el bloqueig és d'encaminament, de filtratge o del client.
Una ruta d'amfitrió, una adreça, i el ping falla immediatament amb General failure en lloc de deixar que la sol·licitud esgoti el temps. Aquesta distinció és tot el diagnòstic. Un temps esgotat significa que el paquet va sortir i que alguna cosa el va ignorar. Error general significa que Windows no va poder lliurar el paquet a cap interfície d'entrada.
Així, quan la taula d'encaminament sembla perfecta i l'error continua sent Error general, el bloqueig passa per sota de la decisió d'encaminament, i el client del proveïdor és el que opera allà.
Llegeix l'error abans que la taula d'encaminament
Windows retorna aquest error quan no troba una interfície per enviar-hi, i no diu res sobre què hauria fet la destinació amb el paquet. L'abastabilitat, els tallafocs de l'altre extrem i la disponibilitat del servei són totes preguntes posteriors a les quals encara no has arribat.
La configuració clàssica per a aquest cas és una ruta d'amfitrió que apunta una sola adreça de LAN a la passarel·la física perquè passi per alt el túnel. route add l'accepta, route print la mostra, i el ping continua fallant, perquè el controlador de filtratge ja ha decidit que el paquet no pot sortir.
Abans d'acceptar aquesta explicació, confirma que la ruta s'està seleccionant de debò: revisa l'índex d'interfície i la mètrica, i assegura't que l'entrada no és obsoleta després d'una reconnexió. Una ruta que apunta a una interfície que ja no existeix produeix un error semblant per un motiu molt menys interessant.
Tres capes, tres propietaris diferents
Guanya la capa que s'executa l'última, i aquestes tres no estan en l'ordre que la majoria de la gent suposa.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
La capa del mig és la raó per la qual una ruta pot ser alhora correcta i inútil. Els clients dels proveïdors instal·len un filtre i regles de tallafoc perquè el trànsit fora del túnel es descarti, que és el mateix mecanisme que implementa el seu interruptor d'emergència. Res de la taula d'encaminament no participa en aquesta decisió.
La tercera capa explica un informe estrany que arriba amb regularitat: la subxarxa local no és abastable fins i tot després de desconnectar el client. El servei encara s'executa i el filtre encara és instal·lat, així que no estar connectat no és el mateix que no filtrar. Surt del client en lloc de només desconnectar-lo abans de treure cap conclusió.
Què provar, per ordre
Comença traient les funcions que són barates de treure i fàcils de restaurar. El descobriment de LAN, de vegades anomenat invisibilitat a la LAN, bloqueja el trànsit cap als rangs d'adreces privades perquè la màquina continuï amagada dels seus veïns. Les impressores, els servidors de fitxers locals i el mateix encaminador desapareixen darrere d'aquest commutador. Les funcions de protecció contra amenaces que filtren el DNS instal·len els seus propis ganxos i es diu que trenquen l'abastabilitat local pràcticament de la mateixa manera.
Desactiva les dues, surt completament del client i després prova l'adreça. Aquesta seqüència separa una funció que bloqueja el trànsit d'un túnel que l'encamina malament, i triga dos minuts en lloc d'una tarda de rutes estàtiques.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4Si l'adreça respon un cop desactivades les funcions, tens una decisió de política i no una avaria: tria entre deixar la funció desactivada, afegir una excepció o acceptar que la màquina continuï invisible a la xarxa local.
Utilitza l'excepció del client, de manera estreta
Quan una funció ha de romandre activa, el túnel dividit propi del client és la sortida admesa. Mantén l'excepció tan petita com el requisit permeti, cosa que normalment vol dir una adreça d'amfitrió per a un servidor o un prefix per a un sol segment. Una regla que cobreix tot un rang privat és un forat permanent que ningú recordarà haver afegit i que ningú gosarà treure.
Després verifica primer per adreça i després per nom. Si l'adreça respon amb un primer salt a la passarel·la física, l'excepció funciona. Si el nom encara falla, has passat al DNS, perquè el resolutor del túnel no coneix la zona local i cap canvi d'encaminament no l'hi ensenyarà.
Conserva la ruta o l'excepció, no les dues, més una nota sobre quina fa la feina. Dos mecanismes superposats s'amaguen l'un a l'altre, i la propera persona que depuri aquesta màquina en traurà un i no veurà cap canvi.
Quan el client és l'obstacle
Algunes compilacions filtren el trànsit de maneres que ni una ruta estàtica ni una excepció del client poden vèncer. Quan aquesta és la troballa, les opcions honestes són esperar la funció d'omissió o connectar-se amb un client OpenVPN simple fent servir el perfil del mateix proveïdor, que és el que recomanava la resposta del suport del fabricant a l'informe original.
Entén la contrapartida abans de fer aquesta substitució. Un perfil simple es comporta com qualsevol túnel corrent: instal·la les seves rutes i no reestructura la resta de la pila, així que una ruta d'amfitrió estreta encara es comporta com esperes. El que perds és tot el que el client de marca va implementar al voltant del túnel, inclòs l'interruptor d'emergència i el filtratge de DNS, i això s'ha de reproduir expressament o acceptar com a absent.
Tant se val què triïs, anota quina capa posseïa el bloqueig. Un paquet que no va sortir mai de la màquina és un resultat del filtre, i cap canvi d'encaminament no pot reparar un filtre.