Deler du en Windows-forbindelse? VPN-ruten ændrer sig under den

En bærbar deler sit Wi-Fi, værten browser gennem tunnelen uden klager, og tabletten på den deling når ingenting. Værten holdt op med at være kun klient i det øjeblik, delingen blev slået til: den er nu en router, og videresendte pakker møder et andet regelsæt. Det, der virker på værten, siger intet om enheden bag den. Kør kontrollerne fra den nedstrøms klient, og forskellen holder op med at være teoretisk.

Værtens succes beviser intet

Forbindelsesdeling giver fire opgaver til én maskine: tildeling af adresser, videresendelse, oversættelse og filtrering. En VPN-klient, der beskytter lokalt genereret trafik, kan betragte videresendt trafik som uden for sit område, eller blokere den med vilje som en lækage. Ingen af de to adfærdsmønstre er en fejl, og ingen af dem står skrevet på den skærm, hvor delingen blev slået til. Kun testen nedstrøms fortæller, hvilken du har.

Mange klienter videresender kun værtens trafik og intet andet, så se delingsafsnittet i klientens dokumentation i stedet for at stole på, at tunnelen ruter for tabletten. Det synlige symptom er en enhed, der associerer, får en adresse og derefter fejler på den første anmodning. En klient, der nægter at videresende, ser stadig helt sund ud på værten.

Hvilken adapter deles, hvilken betjener klienterne

Notér begge adaptere, fordi de bærer forskellige adresser og forskellige filtre, og en ændring på den forkerte forklarer mange forvirrende resultater. Delingsværten tager normalt en fast adresse på nedstrømssiden og kører en lille DHCP- og DNS-tjeneste der. Windows holder videresendelse for hver adapter i stedet for globalt, så tilstanden skal læses grænseflade for grænseflade.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Hvis videresendelse står som Deaktiveret på den delte adapter, virker intet nedstrøms, uanset hvad tunnelen gør. Slå det kun til på en maskine, hvis politik tillader den at route for andre enheder.

Videresendelse, oversættelse og filtrering

En videresendt pakke skal nå tunnelen, oversættes til noget, den fjerne side accepterer, og komme tilbage gennem den samme oversættelse. Hvert af de tre trin kan bryde, og hvert brud giver den samme browsing-timeout. En pakkefangst, et ruteopslag og en log fra den fjerne side er mere værd end endnu en gennemgang af delingsdialogen. Hvilket trin, der fejler, er det, der fortæller, hvis ændring der er brug for.

Den fjerne side kan også have brug for en returrute til det delte subnet, et område, VPN-serveren aldrig har set. Hvor klienten oversætter, ser serveren kun tunneladressen, og der kræves ingen returrute. Hvor den ikke oversætter, skal den, der ejer gatewayen, tilføje ruten med vilje, og det er en ændringsanmodning, ikke en klientindstilling.

Kør kontrollerne på klienten, ikke på værten

Kør hver kontrol på den klient, der fejler, ikke på den vært, der virker. Hold egress-adressen, resolverens svar og programtesten i samme session, fordi resultater indsamlet en time fra hinanden intet siger om, hvordan de tre kombineres.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Sammenlign egress-adressen med værtens egen, og notér, om de to stemmer overens. Et anderledes svar betyder, at den videresendte vej omgår tunnelen, hvilket er et politikspørgsmål med en ejer og ikke en hurtig rettelse. Et matchende svar ved siden af et fejlende program flytter arbejdet til navneopløsning eller til politik på den fjerne side. Stop heller ikke ved IPv4-resultatet: en deling kan bestå hver IPv4-kontrol, mens IPv6 går ud ad en anden udgang, så gentag navne- og egress-kontrollerne med AAAA-posten og den detaljerede forbindelsestest.

På en administreret maskine skal du bekræfte, at deling overhovedet er tilladt, fordi at eksponere adgang til en anden enhed er en administrativ beslutning og ikke en bekvemmelighedskontakt. Efter enhver understøttet ændring gentages kontrollerne ved genopkobling og igen under et udfald. At værten genopkobler pænt gendanner ikke en videresendt rute, som klienten aldrig har understøttet.