Del en Windows-VPN med en kablet konsol: gateway på pc’en eller på routeren

Konsoller, der ikke kan køre VPN-klienten, kan nogle gange låne en Windows-pcs tunnel, og den ordning fejler oftere, end den lykkes, af grunde der intet har med VPN’en at gøre. Pc’en skal blive en gateway: et dedikeret nedstrøms-interface, adressering til konsollen, oversættelse og en klient, der er villig til at videresende en anden enheds pakker. En tunnel, der virker for pc’ens egne programmer, beviser intet af det.

Den sammenligning, der er værd at lave, er mellem den ordning og en router, der ejer tunnelen for hele netværket. De adskiller sig i vedligeholdelse, i fejlopførsel og i, hvor meget af politikken du kan se på én gang.

Hvad pc-gatewayen skal gøre

En gateway har brug for et interface, der vender mod konsollen, et adresseområde til det segment og en oversættelsesregel, der omskriver konsollens trafik til tunnelen. Den har også brug for, at klienten videresender pakker, den ikke selv har skabt, hvilket er en anden indstilling end at acceptere sin egen trafik. Navneopløsning skal følge samme vej, ellers opløser konsollen en spiltjeneste ad én rute og forbinder derefter ad en anden. Hvert af disse er et separat konfigurationstrin med sin egen fejltilstand.

console -> dedicated ethernet -> windows sharing / nat
        -> selected tunnel interface -> internet

Windows Internet Connection Sharing giver præcis denne form, hvor én forbindelse udpeges som offentlig og en anden som privat. Den udpegning betyder mere, end folk forventer, fordi det interface, der når husstandens router, ikke automatisk er det, der bærer tunnelen.

Sammenligninger, der afgør det

Tre forskelle adskiller en pc-gateway fra en router-gateway, og det er dem, der dukker op måneder senere. Tabellen stiller dem side om side.

Sessionsbindingen er den første forskel og den, der overrasker folk. En pc, der går i dvale, logger ud eller installerer en opdatering, holder op med at være en gateway, og konsollen mister sin vej, uden at nogen konfiguration ændres. Politiksynlighed er den anden, fordi klientens regler og delingslaget lever to steder, og ingen af dem beskriver den anden. Adressetjeneste er den tredje, og den forklarer en konsol, der har en adresse, men stadig ikke når noget.

Intet af det gør pc-ordningen forkert. Det gør den til et midlertidigt design, hvilket er acceptabelt, når kravet er midlertidigt.

Videresendt trafik er en anden kategori

En desktopklient kan behandle pakker, der videresendes for en anden enhed, anderledes end sine egne. En inklusionsliste pr. program dækker processer på pc’en og siger intet om en konsols trafik, mens en kill switch, der beskytter lokale programmer, måske slet ikke beskytter den videresendte vej. Bekræft klientens dokumenterede adfærd for videresendt trafik i stedet for at udlede den af en vellykket sideindlæsning på pc’en. Hvor den adfærd er uklar, hviler hele ordningen på en antagelse.

Konsollens adressering skal komme fra delingsordningen, aldrig fra at kopiere pc’ens tunneladresse over på den. Kopiering giver en dubleret adresse, en forkert gateway og en resolver, der peger på noget, konsollen ikke kan nå. Lad nedstrømstjenesten uddele konfigurationen, og kontroller derefter, hvad konsollen faktisk modtog.

Kontroller konsollens trafik, ikke pc’ens

Den eneste meningsfulde test observerer konsollens vej. På pc’en viser kommandoerne nedenfor interfacelayoutet, nabo-tabellen over nedstrømslinket og om konsollen svarer på en tjenesteport. Kør dem, mens en spilsession faktisk er forbundet.

Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4Address
Get-NetAdapter | Select-Object Name, Status, LinkSpeed
arp -a | findstr 192.168.137.
Test-NetConnection 192.168.137.10 -Port 3074

Et interface uden adresse på nedstrømssiden betyder, at delingen aldrig startede, hvilket er et andet problem end en konsol, der ikke kan oprette forbindelse. En post for konsollen i nabo-tabellen beviser, at linket og adresseringen er i live. En mislykket porttest derefter peger på videresendelse eller klientens behandling af videresendt trafik, ikke på kablet. Sammenlign konsollens udgangsadresse med pc’ens, før du konkluderer, at tunnelen er den anvendte vej.

Hold ordningen dokumenteret med dens interfacenavne og adresseområder. Når den går i stykker efter næste opdatering, sparer den side en time med genopdagelse.