Windows-VPN mit einer verkabelten Konsole teilen: PC-Gateway oder Router

Konsolen, die den VPN-Client nicht ausführen können, können manchmal den Tunnel eines Windows-PCs mitnutzen, und dieses Arrangement scheitert häufiger, als es gelingt, aus Gründen, die nichts mit dem VPN zu tun haben. Der PC muss zum Gateway werden: ein eigenes nachgelagertes Interface, Adressierung für die Konsole, Übersetzung und ein Client, der bereit ist, die Pakete eines anderen Geräts weiterzuleiten. Ein Tunnel, der für die eigenen Anwendungen des PCs funktioniert, beweist nichts davon.

Der Vergleich, der sich lohnt, ist der zwischen diesem Arrangement und einem Router, der den Tunnel für das gesamte Netzwerk besitzt. Sie unterscheiden sich in der Wartung, im Fehlerverhalten und darin, wie viel der Richtlinie Sie auf einmal sehen.

Was das PC-Gateway leisten muss

Ein Gateway braucht ein Interface zur Konsole, einen Adressbereich für dieses Segment und eine Übersetzungsregel, die den Verkehr der Konsole auf den Tunnel umschreibt. Außerdem muss der Client Pakete weiterleiten, die er nicht selbst erzeugt hat, was eine andere Einstellung ist als das Akzeptieren des eigenen Verkehrs. Die Namensauflösung muss denselben Weg nehmen, sonst löst die Konsole einen Spieldienst über eine Route auf und verbindet sich dann über eine andere. Jeder dieser Schritte ist eine eigene Konfiguration mit eigenem Fehlermodus.

console -> dedicated ethernet -> windows sharing / nat
        -> selected tunnel interface -> internet

Windows Internet Connection Sharing bietet genau diese Form, wobei eine Verbindung als öffentlich und eine andere als privat benannt wird. Diese Benennung ist wichtiger, als Leute erwarten, denn das Interface, das den Heimrouter erreicht, ist nicht automatisch das, welches den Tunnel trägt.

Vergleiche, die den Ausschlag geben

Drei Unterschiede trennen ein PC-Gateway von einem Router-Gateway, und es sind die, die Monate später auftauchen. Die Tabelle stellt sie nebeneinander.

Die Bindung an die Sitzung ist der erste Unterschied und der, der Leute überrascht. Ein PC, der schläft, sich abmeldet oder ein Update installiert, ist kein Gateway mehr, und die Konsole verliert ihren Weg, ohne dass sich eine Konfiguration ändert. Die Richtliniensichtbarkeit ist der zweite, denn die Regeln des Clients und die Freigabeschicht leben an zwei Orten, und keine beschreibt die andere. Der Adressdienst ist der dritte, und er erklärt eine Konsole, die eine Adresse hält und trotzdem nichts erreicht.

Nichts davon macht das Arrangement mit dem PC falsch. Es macht es zu einem vorläufigen Entwurf, was akzeptabel ist, wenn die Anforderung vorläufig ist.

Weitergeleiteter Verkehr ist eine andere Kategorie

Ein Desktop-Client kann weitergeleitete Pakete eines anderen Geräts anders behandeln als seine eigenen. Eine anwendungsbezogene Einschlussliste deckt Prozesse auf dem PC ab und sagt nichts über den Verkehr einer Konsole, während ein Kill-Switch, der lokale Anwendungen schützt, den weitergeleiteten Pfad möglicherweise gar nicht schützt. Bestätigen Sie das dokumentierte Verhalten des Clients für weitergeleiteten Verkehr, statt es aus einem erfolgreichen Seitenaufruf auf dem PC abzuleiten. Wo dieses Verhalten unklar ist, ruht das ganze Arrangement auf einer Annahme.

Die Adressierung der Konsole sollte aus dem Freigabe-Arrangement kommen, niemals daraus, die Tunneladresse des PCs auf sie zu kopieren. Kopieren erzeugt eine doppelte Adresse, ein falsches Gateway und einen Resolver, der auf etwas zeigt, das die Konsole nicht erreichen kann. Lassen Sie den nachgelagerten Dienst die Konfiguration ausgeben, und prüfen Sie dann, was die Konsole tatsächlich erhalten hat.

Prüfen Sie den Verkehr der Konsole, nicht den des PCs

Der einzig aussagekräftige Test beobachtet den Weg der Konsole. Auf dem PC zeigen die folgenden Befehle das Interface-Layout, die Nachbartabelle über die nachgelagerte Verbindung und ob die Konsole auf einem Dienstport antwortet. Führen Sie sie aus, während eine Spielsitzung tatsächlich verbunden ist.

Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4Address
Get-NetAdapter | Select-Object Name, Status, LinkSpeed
arp -a | findstr 192.168.137.
Test-NetConnection 192.168.137.10 -Port 3074

Ein Interface ohne Adresse auf der nachgelagerten Seite bedeutet, dass die Freigabe nie begonnen hat, was ein anderes Problem ist als eine Konsole, die keine Verbindung herstellen kann. Ein Eintrag für die Konsole in der Nachbartabelle beweist, dass Verbindung und Adressierung leben. Ein danach fehlschlagender Porttest deutet auf die Weiterleitung oder die Behandlung des weitergeleiteten Verkehrs durch den Client hin, nicht auf das Kabel. Vergleichen Sie die Ausgangsadresse der Konsole mit der des PCs, bevor Sie schließen, dass der Tunnel der verwendete Weg ist.

Halten Sie das Arrangement mit seinen Interface-Namen und Adressbereichen dokumentiert. Wenn es nach dem nächsten Update bricht, spart diese Seite eine Stunde Wiederentdeckung.