VPN er forbundet, men IP-adressen er ikke ændret: hvorfor

Du opretter forbindelse, klienten siger forbundet, og adressetesten viser stadig det samme tal, som du havde før. Der er intet galt med indikatoren; noget mellem profilen og programmet holdt den anmodning uden for tunnelen. Afgør, hvilken af tre ting du kigger på, før du rører nogen konfiguration: en test, der aldrig målte den offentlige adresse, en tunnel, der kun dækker en del af trafikken, eller en anden vej, der vinder rutningsbeslutningen. Hver har ét tjek, der tager under et minut.

Bekræft, hvad testen faktisk målte

Adressen i Wi-Fi- eller Ethernet-dialogen er grænsefladeadressen på dit eget segment, ikke den adresse, et websted ser, så den kan forblive identisk, mens tunnelen fungerer perfekt. Placering er igen et separat signal: en gemt kontoregion eller en tilladt geolokationslæsning flytter sig ikke, når du skifter exit, og det gør et login, der allerede genkender dig, heller ikke.

Brug et ekko af den offentlige adresse, og spørg hver familie separat, fordi et testresultat med dobbelt stak skjuler det interessante tilfælde:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

Kør begge før og efter forbindelsen. Hvis IPv4-svaret skifter til exit-adressen, og IPv6-svaret ikke gør, har du ikke en brudt tunnel; du har én familie, der rejser uden for den. Hvis begge svar forbliver de samme, nåede anmodningen slet ikke tunnelen, og resten her gælder.

Profilen dækker måske kun en del af trafikken

En profil med split-tunnel er det almindelige svar, og det er ikke en fejl. OpenVPN sender alt gennem tunnelen, kun når redirect-gateway er blandt de sendte valgmuligheder; uden den får klienten en håndfuld specifikke ruter, og din standardrute bliver på det fysiske link. På Windows vises den samme kontakt som »Brug standardgateway på fjernnetværk« i adapterens IPv4-egenskaber, og at fjerne markeringen er et bevidst valg, der overlever hver genopkobling.

Omfanget per program er det andet lag. Androids VPN-indstilling per app afgør, hvilke apps der er inkluderet, så VPN-nøglen i statuslinjen beviser ikke, at browseren er inde i den. En browserudvidelse, der proxyer sin egen trafik, skaber spejlbilledet: browseren viser exit-adressen, mens en mailklient eller et spil på samme maskine stadig viser din. Sammenlign den samme anmodning i to programmer. Hvis det ene ændrer sig og det andet ikke, kigger du på omfang, ikke på en svigtende tunnel.

Én adressefamilie kan stadig gå direkte

De fleste VPN-profiler er skrevet til IPv4, og mange er det stadig. På et netværk med dobbelt stak tager tunnelen 10.8.0.x til IPv4, mens det fysiske link beholder en global IPv6-adresse og en standardrute, så et websted med IPv6-støtte nås direkte, og den adresse, det rapporterer, er din udbyders. Det er en lækage med en fungerende IPv4-tunnel, og den er usynlig for en test, der kun taler IPv4.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Læs grænsefladen i hvert svar. Hvis IPv6-opslaget nævner din Ethernet- eller Wi-Fi-enhed, mens IPv4-opslaget nævner tunnelen, mangler politikken for den familie, snarere end at den er brudt. At slå IPv6 fra på hele enheden får symptomet til at forsvinde og skjuler beslutningen; foretræk at rette profilens dækning eller deaktivere familien på netop den forbindelse, og noter, hvilken af de to du valgte.

En anden vej kan vinde opslaget

En konkurrerende proxy, en anden VPN-klient, en virtuel adapter fra en container eller et fjernskrivebordsværktøj, eller en ekstra rute til det præcise præfiks, du tester, kan alle få forrang. En specifik rute slår altid en standardrute, så en tilbageværende /24 for det websted, du måler, der peger på din LAN-gateway, bliver ved med at sende den trafik uden for tunnelen, uanset hvor sund tunnelen er.

Lav en oversigt, før du ændrer noget, med skrivebeskyttede kommandoer:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

Se efter mere end én standardrute med en plausibel metrik, og efter en specifik rute, der dækker destinationen. I en browser skal du også kontrollere, om en proxyudvidelse eller systemets proxyindstilling ejer forbindelsen; en udvidelse kan navngive sin egen upstream og lade operativsystemets exit være urørt, hvilket giver en anden adresse i browseren end i en terminal på samme maskine.

Mål igen med en frisk anmodning

Genopret forbindelsen, og gentag derefter målingen fra det samme program, som du testede første gang, fordi en cachet side eller en genbrugt forbindelse rapporterer den gamle tilstand. Hold øje med klientens log eller hændelsesvisning under forbindelsen: en fejl ved anvendelse af ruter efter godkendelse er stærkere bevis end nogen indikator, og den nævner normalt den rute eller adapter, der fejlede.

Hold to udfald adskilt. Hvis adressen ændrer sig, men et websted stadig afviser dig, virker tunnelen, og webstedet afviser en datacenteradresse; det er et andet problem med et andet svar. Hvis adressen aldrig ændrer sig, gå de fire spørgsmål igennem i rækkefølge: hvilken adresse udskrev testen, hvilken familie var det, hvilket program lavede anmodningen, og hvilken rute fulgte den anmodning. Microsofts dokumentation om VPN-rutningsbeslutninger forklarer, hvordan en Windows-klient vælger mellem tunnelen og den fysiske adapter, når begge har en rute.