Lokale Geräte verschwinden im VPN: drei getrennte Fehler

Ein Drucker, der aus der Geräteliste verschwindet, wenn das VPN startet, antwortet möglicherweise weiterhin unter seiner Adresse. Die Liste wird durch Erkennung gefüllt, der Name kann von einem Resolver kommen, und der Dienst selbst wird über einen Socket erreicht, und die drei können unabhängig voneinander ausfallen. Ein Vergleich dessen, was auf jeder Ebene funktioniert, zeigt Ihnen, welche Funktion Sie ändern müssen. Wenn Sie zuerst jede Ausnahme für den lokalen Zugriff einschalten, beseitigen Sie die Beweise.

Das ist der Unterschied zwischen einem Gerät, das fehlt, und einem Gerät, das lediglich nicht angekündigt wird.

Erkennung, Namen und Erreichbarkeit sind drei Ebenen

Erkennungsprotokolle verlassen sich auf Multicast oder Broadcast, und diese überqueren standardmäßig keinen gerouteten Tunnel, weshalb ein Gerät aus einer Liste verschwinden kann, während es vollkommen erreichbar bleibt. Die Namensauflösung ist eine zweite Ebene: Ein VPN kann den Resolver ändern, und ein Name, den zuvor das lokale Netz beantwortet hat, kann nun woanders oder gar nicht beantwortet werden. Die Erreichbarkeit ist die dritte: eine Route, eine Firewallregel und ein lauschender Dienst. Jede Ebene kann ausfallen, während die anderen beiden in Ordnung sind.

Prüfen Sie sie von unten nach oben. Eine einzige Erreichbarkeitsprüfung macht die Trennung offensichtlich: nc -vz 192.168.1.20 443 gelingt entweder, was bedeutet, dass der Pfad und der Dienst in Ordnung sind und der Name verdächtig ist, oder es schlägt fehl, was die Frage zum Routing und zur Richtlinie verschiebt. Fragen Sie dann nach dem Namen. Der erste Fehler, auf den Sie stoßen, ist die Ebene, an der gearbeitet werden muss, und die Ebenen darüber können ihn nicht ausgleichen.

Fragen Sie zuerst nach der Adresse, dann nach dem Hostnamen

Wenn die Adresse antwortet und der Name nicht, liegt das Problem an der Auflösung und nicht am Routing. Ein VPN-Client, der seinen eigenen Resolver installiert, kann ändern, welcher Server lokale Namen beantwortet, und einer, der die lokale Domäne nicht weiterleitet, lässt den Namen unbeantwortet. Wenn die Adresse ebenfalls fehlschlägt, ist der Pfad das Problem: eine Standardroute durch den Tunnel, eine clientseitige Sperre für lokalen Verkehr oder eine Firewallregel, die nur die physische Schnittstelle zulässt.

Wenn beides funktioniert, die automatische Erkennung aber nicht, kündigt das Gerät sich einfach nicht über den Tunnel an. Das ist erwartetes Verhalten für multicastbasierte Erkennung, kein Konfigurationsfehler. Das Gerät per Adresse hinzuzufügen ist normalerweise die ehrliche Lösung.

Was der Schalter für lokalen Zugriff tatsächlich ändert

Eine Einstellung für den Zugriff auf das lokale Netz erlaubt in der Regel, dass Verkehr zum direkt angeschlossenen Subnetz den Tunnel umgeht, und sie bewirkt in verschiedenen Clients Unterschiedliches. Sie konfiguriert keine Weiterleitung zu einem entfernten Büro und ändert weder die Host-Firewall noch die eigenen Berechtigungen der Anwendung. Sie macht auch ein überlappendes Subnetz nicht eindeutig. Lesen Sie in der Dokumentation des Clients nach, was die Einstellung abdeckt, bevor Sie sie breit aktivieren.

Eine enge Ausnahme für ein vertrauenswürdiges Gerät ist besser als eine pauschale Freigabe, besonders in einem Gastnetz, in dem die Sperre beabsichtigt sein kann. Eine private Adresse ist keine Identitätsprüfung, daher hängt die Wahl vom Netz ab, in dem Sie sich befinden.

Wenn sich die Netze überlappen

Wenn das Heimnetz und das entfernte Netz denselben Bereich verwenden, wird das Routing mehrdeutig, und weder ein Schalter für lokalen Zugriff noch eine Ausnahme löst das. Zwei Dienste an derselben Adresse können nicht beide erreicht werden, und welcher gewinnt, hängt von der Routenspezifität und der Reihenfolge ab, nicht von der Absicht. Die Lösung ist Adressplanung, keine Client-Einstellung. Prüfen Sie die Bereiche, bevor Sie einen Abend mit dem Drucker verbringen.

Bei einem Gerät hinter dem entfernten Gateway gehören Weiterleitung, Host-Richtlinie und Rückroute dem Betreiber. Ein lokales Kontrollkästchen im Client kann nichts davon liefern, und danach zu fragen ist produktiver, als mit Schaltern zu experimentieren.

Notieren Sie, welche Ebene ausgefallen ist und was Sie geändert haben. Das nächste Gerät wird an einer der drei gleichen Stellen ausfallen.