Windows-Verbindung teilen? Der VPN-Pfad ändert sich darunter

Ein Laptop teilt sein WLAN, der Host surft ohne Beschwerden durch den Tunnel, und das Tablet an dieser Freigabe erreicht nichts. Der Host war nicht mehr nur Client in dem Moment, in dem die Freigabe aktiviert wurde: Er ist jetzt ein Router, und weitergeleitete Pakete treffen auf ein anderes Regelwerk. Was auf dem Host funktioniert, sagt nichts über das Gerät dahinter aus. Führen Sie die Prüfungen vom nachgelagerten Client aus, und der Unterschied ist nicht mehr theoretisch.

Der Erfolg des Hosts beweist nichts

Die Verbindungsfreigabe überträgt vier Aufgaben an eine Maschine: Adressvergabe, Weiterleitung, Übersetzung und Filterung. Ein VPN-Client, der lokal erzeugten Datenverkehr schützt, kann weitergeleiteten Datenverkehr als außerhalb seines Bereichs ansehen, oder ihn absichtlich als Leck blockieren. Keines der beiden Verhaltensweisen ist ein Fehler, und keine ist auf dem Bildschirm dokumentiert, auf dem die Freigabe eingeschaltet wurde. Nur der Test am nachgelagerten Client sagt Ihnen, welche Sie haben.

Viele Clients leiten nur Host-Datenverkehr weiter und sonst nichts, daher prüfen Sie den Abschnitt zur Freigabe in der Client-Dokumentation, statt darauf zu vertrauen, dass der Tunnel für das Tablet routet. Das sichtbare Symptom ist ein Gerät, das sich verbindet, eine Adresse bekommt und dann bei der ersten Anfrage scheitert. Ein Client, der die Weiterleitung verweigert, sieht auf dem Host noch völlig gesund aus.

Welcher Adapter geteilt wird und welcher die Clients bedient

Notieren Sie beide Adapter, denn sie tragen unterschiedliche Adressen und unterschiedliche Filter, und eine Änderung am falschen erklärt viele verwirrende Ergebnisse. Der Freigabe-Host beansprucht normalerweise eine feste Adresse auf der nachgelagerten Seite und betreibt dort einen kleinen DHCP- und DNS-Dienst. Windows führt die Weiterleitung pro Adapter statt global, daher muss der Zustand Schnittstelle für Schnittstelle gelesen werden.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Steht die Weiterleitung am geteilten Adapter auf Deaktiviert, funktioniert nachgelagert nichts, egal was der Tunnel tut. Aktivieren Sie sie nur auf einer Maschine, deren Richtlinie es erlaubt, für andere Geräte zu routen.

Weiterleitung, Übersetzung und Filterung

Ein weitergeleitetes Paket muss den Tunnel erreichen, in etwas übersetzt werden, das die Gegenseite akzeptiert, und durch dieselbe Übersetzung zurückkommen. Jede dieser drei Stufen kann brechen, und jeder Bruch erzeugt denselben Browser-Timeout. Ein Paketmitschnitt, eine Routenabfrage und ein Protokoll von der Gegenseite sind mehr wert als eine weitere Durchsicht des Freigabedialogs. Welche Stufe ausfällt, sagt Ihnen, wessen Änderung nötig ist.

Die Gegenseite braucht möglicherweise auch eine Rückroute für das geteilte Subnetz, einen Bereich, den der VPN-Server nie gesehen hat. Wo der Client übersetzt, sieht der Server nur die Tunneladresse, und eine Rückroute ist nicht erforderlich. Wo er nicht übersetzt, muss jemand, der das Gateway besitzt, diese Route bewusst hinzufügen, und das ist ein Änderungsantrag und keine Client-Einstellung.

Prüfen Sie am Client, nicht am Host

Führen Sie jede Prüfung am fehlschlagenden Client aus, nicht am funktionierenden Host. Halten Sie Egress-Adresse, Antwort des Resolvers und Anwendungstest in derselben Sitzung, denn Ergebnisse, die eine Stunde auseinander erhoben wurden, sagen nichts darüber aus, wie die drei zusammenwirken.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Vergleichen Sie die Egress-Adresse mit der des Hosts und notieren Sie, ob beide übereinstimmen. Eine andere Antwort bedeutet, dass der weitergeleitete Pfad den Tunnel umgeht, was eine Richtlinienfrage mit einem Verantwortlichen ist und keine schnelle Korrektur. Eine übereinstimmende Antwort neben einer fehlschlagenden Anwendung verlagert die Arbeit auf die Namensauflösung oder auf die Richtlinie der Gegenseite. Bleiben Sie auch nicht beim IPv4-Ergebnis stehen: Eine Freigabe kann jede IPv4-Prüfung bestehen, während IPv6 über einen anderen Ausgang hinausgeht, also wiederholen Sie die Namens- und Egress-Prüfungen mit dem AAAA-Eintrag und dem ausführlichen Verbindungstest.

Bestätigen Sie auf einer verwalteten Maschine, dass die Freigabe überhaupt erlaubt ist, denn Zugang für ein anderes Gerät freizugeben ist eine administrative Entscheidung und kein Bequemlichkeitsschalter. Wiederholen Sie nach jeder unterstützten Änderung die Prüfungen beim Wiederverbinden und erneut während einer Störung. Eine saubere Wiederverbindung des Hosts stellt keine weitergeleitete Route wieder her, die der Client nie unterstützt hat.