VPN yn blocio LAN lleol ar Windows: llwybr neu bolisi cleient?
Mae mynediad i LAN lleol ar Windows yn torri am ddau reswm gwahanol: llwybr ar goll, neu bolisi porth sy'n gollwng y subnwyd. Mae tri gwiriad yn dweud pa un.
Mae argraffydd, NAS neu flwch datblygu ar eich desg eich hun yn stopio ateb yr eiliad y bydd y VPN gwaith yn cysylltu. Weithiau mae gorchymyn llwybr yn ei drwsio mewn eiliadau; weithiau mae'r un llwybr yn gywir ac mae'r pecynnau'n diflannu o hyd, sy'n golygu eich bod yn edrych ar broblem wahanol â symptom tebyg. Mae'r penderfyniad yn dod i lawr i dri chwestiwn, a rhoi'r rhain yn y drefn anghywir yw'r rheswm y mae pobl yn treulio noson gyfan yn dileu ac yn ailychwanegu llwybrau.
Tri chwestiwn cyn unrhyw orchymyn
Yn gyntaf: a oes cofnod ar gyfer y rhagddodiad lleol, ac a yw'n pwyntio at y addasydd corfforol? Yn ail: a yw'r cleient yn cael caniatâd neu wrthodiad rhwydwaith lleol gan y porth wrth gysylltu? Yn drydydd: a oes angen mynediad allan i'r LAN yn unig, neu a oes rhaid i rywbeth ar y rhyngrwyd gyrraedd gwasanaeth sy'n rhedeg ar eich peiriant?
Mae'r cwestiwn cyntaf yn gwahanu nam llwybro oddi wrth nam hidlo. Mae'r ail yn dweud a yw atgyweiriad llwybr yn cael gweithio o gwbl. Mae'r trydydd yn newid yr atgyweiriad: mae llwybr yn trwsio traffig allan, tra bod gwasanaeth i mewn na ellir ei gyrraedd fel arfer yn broblem rhwymo'r gwrandäwr a'r llwybr dychwelyd y mae llwybr yn ei gwneud yn waeth.
| What you see | What it points at |
|---|---|
| No local prefix in the table | Missing route |
| Correct prefix, no reply | Client filter or gateway policy |
| Works by IP, fails by name | Resolver changed by the tunnel |
| Inbound service dies, outbound fine | Return path or listener binding |
Cwestiwn un: llwybr, hidlydd, neu enw
Darllenwch y tabl cyn ychwanegu unrhyw beth ato. Mae mynegai'r rhyngwyneb yn bwysig, oherwydd mae pob gorchymyn llwybr isod wedi'i angori iddo:
route print -4
Get-NetRoute -DestinationPrefix 192.168.1.0/24 | Format-Table InterfaceIndex,NextHop,RouteMetricMae subnwyd sydd wedi'i chysylltu'n uniongyrchol fel arfer yn cadw llwybr ar-gyswllt hyd yn oed tra bod y twnnel i fyny, felly gall cofnod fodoli a gall traffig fethu o hyd. Mae'r cyfuniad hwnnw'n arwydd o hidlydd sy'n rhedeg ar ôl llwybro, a dyna'r achos lle nad yw ail lwybr, mwy penodol, yn newid dim o gwbl.
Profwch drwy gyfeiriad a thrwy enw ar wahân. Os yw ping 192.168.1.50 yn ateb ac nad yw net view 192.168.1.50 yn ateb, nid y rhestr llwybro oedd y broblem erioed: newidiodd y twnnel y datryswr ac nid yw'r enw lleol yn datrys mwyach. Mae ychwanegu llwybr ar gyfer hynny'n waith ofer.
Cwestiwn dau: a yw'r porth yn caniatáu mynediad i LAN lleol?
Mae cleient masnachol yn gosod mwy na llwybrau. Mae'n cael polisi wrth gysylltu, a gall y polisi hwnnw gynnwys caniatâd rhwydwaith lleol penodol. Mewn gosodiadau Cisco IPsec mae'r polisi grŵp yn cario'r gosodiad split-tunneling a baner ar wahân ar gyfer mynediad i LAN lleol; mae'r blwch ticio yn y cleient yn gais y gall y porth ei wrthod. Yn AnyConnect mae'r proffil yn rheoli'r rhestrau cynnwys ac eithrio split a'r un caniatâd. Ar Windows RRAS y cywerthedd yw'r opsiwn porth diofyn ar y proffil ynghyd â'r llwybrau statig y mae'r gweinydd yn eu neilltuo.
Pan fydd y faner i ffwrdd, yr ymddygiad a ddogfennwyd yw bod y cleient yn blocio traffig i'r subnwyd sydd wedi'i gysylltu'n uniongyrchol er bod llwybr dilys, mwy penodol yn bodoli. Dyna hefyd pam y gall llwybrau nad yw'r cleient yn berchen arnynt ddiflannu eiliadau ar ôl i chi eu hychwanegu: mae'r cleient yn ailadeiladu'r cyflwr y dywedwyd wrtho i'w adeiladu, nid yn ymladd â chi.
Mae log y cleient yn cofnodi'r penderfyniad wrth gysylltu, ac mae ei ddarllen yn gyflymach nag unrhyw arbrawf ar y peiriant. Os yw'r log yn dweud bod mynediad lleol wedi'i flocio, stopiwch: nid oes unrhyw atgyweiriad llinell orchymyn yn goroesi hynny, a'r unig lwybrau sy'n weddill yw newid polisi, cyrraedd yr adnodd drwy'r twnnel, neu gadw'r cleient mewn peiriant rhithwir a gadael y gwesteiwr ar y rhwydwaith lleol.
Cwestiwn tri: pa gyfeiriad sydd ei angen arnoch?
Mae traffig allan i ddyfais gyfagos yn gwestiwn llwybro. Pwyntiwch ragddodiad y LAN at y porth lleol gyda metrig sy'n ddigon isel i guro llwybr diofyn y twnnel:
route add 192.168.1.0 mask 255.255.255.0 192.168.1.1 metric 1 if 12
route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 -pMae'r ail ffurf yn pinio un ddyfais, sef yr hyn rydych chi ei eisiau pan mai un cyfeiriad yw'r holl ofyniad. Mae cywerthedd netsh yn cofnodi'r un penderfyniad yn ôl enw'r rhyngwyneb yn hytrach na'r mynegai:
netsh interface ipv4 add route prefix=192.168.1.0/24 interface=12 nexthop=192.168.1.1 store=persistentMae gorchmynion llwybr yn methu ag Mae'r paramedr yn anghywir pan nad yw'r cyfeiriad a'r mwgwd yn cytuno, er enghraifft cyfeiriad gwesteiwr â mwgwd /24. Defnyddiwch gyfeiriad y rhwydwaith ar gyfer llwybr subnwyd a mwgwd gwesteiwr ar gyfer un gwesteiwr.
Mae traffig i mewn yn wahanol. Mae gweinydd VNC neu SSH ar yr un peiriant yn dod yn anghyraeddadwy pan fydd atebion i gysylltiad sy'n dod i mewn yn gadael drwy borth y VPN ac yn peidio â dychwelyd byth. Gwiriwch beth mae'r gwasanaeth yn gwrando arno cyn cyffwrdd â llwybrau:
netstat -ano | findstr :5900Ni fydd gwrandäwr wedi'i rwymo i un cyfeiriad penodol yn ateb ar y rhyngwyneb arall. Mae ei rwymo i bob rhyngwyneb yn benderfyniad bwriadol, a wneir ynghyd â rheol wal dân sydd wedi'i chwmpasu i'r rhwydwaith rydych chi'n ymddiried ynddo. Dim ond ar ôl hynny y mae atgyweiriad y llwybr yn adfer y llwybr dychwelyd.
Cymhwyswch y newid lleiaf sy'n cyfateb
Y symudiad cyffredin arall yw dad-dicio “Defnyddio porth diofyn ar rwydwaith anghysbell” ar y priodweddau uwch IPv4. Mae'n cadw traffig rhyngrwyd yn lleol, ond mae'n gwneud dau beth ar unwaith: mae'r VPN yn peidio â bod yn llwybr diofyn, ac mae'r cleient yn peidio â chael llwybrau ar gyfer y rhwydwaith anghysbell, gan gynnwys multicast. Dad-diciwch ef a bydd y LAN anghysbell yn diflannu oni bai bod y gweinydd yn gwthio'r rhagddodiadau anghysbell penodol sydd eu hangen ar bob cleient.
Mae'r anghymesuredd hwnnw'n penderfynu trefn y gwaith. Os oes rhaid i'r ochr anghysbell aros yn hollol gyrraeddadwy, gwthiwch subnwydau anghysbell o'r gweinydd a gadewch y diofyn lleol yn llonydd. Os na allwch newid y gweinydd, ychwanegwch lwybr parhaus i'r rhagddodiad anghysbell drwy'r cyfeiriad a neilltuodd y twnnel, a gwiriwch gyda route print fod y rhagddodiad yn pwyntio at ryngwyneb y VPN tra bod y diofyn yn dal i bwyntio at y porth corfforol.
Yna cadarnhewch fod yr atgyweiriad yn goroesi ailgysylltiad, oherwydd mae llwybrau nad ydynt yn barhaus yn marw gyda'r addasydd ac mae sgript sy'n rhedeg ar ôl pob cysylltiad yw'r lle gonest ar eu cyfer. Profwch un ddyfais leol ac un adnodd anghysbell yn yr un sesiwn, datgysylltwch, ailgysylltwch, a phrofwch eto. Os yw'r ddyfais leol yn methu o hyd tra bod y llwybr yn edrych yn gywir, ewch yn ôl i gwestiwn dau: mae'r cleient yn hidlo, a'r ateb yw newid polisi yn hytrach nag ail lwybr cystadleuol.