Compartiu una connexió de Windows? El camí de la VPN hi canvia

Un portàtil comparteix la seva Wi-Fi, l’amfitrió navega pel túnel sense queixes i la tauleta d’aquest compartit no arriba enlloc. L’amfitrió va deixar de ser només un client en el moment que es va activar el compartit: ara és un encaminador i els paquets reenviats troben un conjunt de regles diferent. El que funciona a l’amfitrió no diu res sobre el dispositiu que hi ha darrere. Executeu les comprovacions des del client descendent i la distinció deixa de ser teòrica.

L’èxit de l’amfitrió no demostra res

El compartit de connexió assigna quatre feines a una màquina: assignació d’adreces, reenviament, traducció i filtratge. Un client de VPN que protegeix el trànsit generat localment pot considerar el trànsit reenviat fora del seu abast, o bloquejar-lo expressament com a fuita. Cap de les dues conductes no és un error, i cap no està escrita a la pantalla on es va activar el compartit. Només la prova descendent us diu quina teniu.

Molts clients reenvien el trànsit de l’amfitrió i res més, així que reviseu la secció de compartició de la documentació del client en lloc de confiar que el túnel encaminarà per a la tauleta. El símptoma visible és un dispositiu que s’associa, rep una adreça i després falla a la primera petició. Un client que es nega a reenviar encara sembla completament sa a l’amfitrió.

Quin adaptador es comparteix, quin serveix els clients

Anoteu els dos adaptadors, perquè porten adreces diferents i filtres diferents, i un canvi fet al equivocat explica molts resultats confusos. L’amfitrió del compartit normalment pren una adreça fixa al costat descendent i hi executa un petit servei DHCP i DNS. Windows manté el reenviament per adaptador i no globalment, així que l’estat s’ha de llegir interfície per interfície.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Si el reenviament apareix com a Desactivat a l’adaptador compartit, res descendent funcionarà faci el que faci el túnel. Activeu-lo només en una màquina la política de la qual permeti encaminar per a altres dispositius.

Reenviament, traducció i filtratge

Un paquet reenviat ha d’arribar al túnel, traduir-se en una cosa que el costat llunyà accepti i tornar per la mateixa traducció. Qualsevol d’aquestes tres etapes es pot trencar, i cada trencament produeix el mateix temps d’espera del navegador. Una captura de paquets, una consulta de rutes i un registre del costat llunyà valen més que una altra revisió del diàleg de compartició. Quina etapa falla és el que us diu de qui cal el canvi.

El costat llunyà també pot necessitar una ruta de tornada per a la subxarxa compartida, un rang que el servidor VPN no ha vist mai. On el client tradueix, el servidor només veu l’adreça del túnel i no cal cap ruta de tornada. On no tradueix, qui posseeix la passarel·la ha d’afegir aquella ruta expressament, i això és una sol·licitud de canvi, no un paràmetre del client.

Feu les comprovacions al client, no a l’amfitrió

Feu cada comprovació al client que falla, no a l’amfitrió que funciona. Manteniu l’adreça de sortida, la resposta del resolutor i la prova d’aplicació a la mateixa sessió, perquè els resultats recollits amb una hora de diferència no diuen res sobre com es combinen les tres.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Compareu l’adreça de sortida amb la de l’amfitrió i anoteu si coincideixen. Una resposta diferent vol dir que el camí reenviat evita el túnel, cosa que és una qüestió de política amb un responsable i no una solució ràpida. Una resposta coincident al costat d’una aplicació que falla trasllada la feina a la resolució de noms o a la política del costat llunyà. No us atureu tampoc al resultat d’IPv4: un compartit pot passar totes les comprovacions d’IPv4 mentre IPv6 surt per una altra sortida, així que repetiu les comprovacions de noms i de sortida amb el registre AAAA i la prova de connexió detallada.

En una màquina gestionada, confirmeu que el compartit està permès, perquè exposar l’accés a un altre dispositiu és una decisió administrativa i no un interruptor de comoditat. Després de qualsevol canvi compatible, repetiu les comprovacions en reconnectar i de nou durant una interrupció. Que l’amfitrió es reconecti net no restaura una ruta reenviada que el client mai no ha suportat.