Το τοπικό δίκτυο δεν είναι προσβάσιμο με συνδεδεμένο VPN; Τέσσερις έλεγχοι

Η σήραγγα ανεβαίνει, το intranet εμφανίζεται και ο εκτυπωτής σταματά να απαντά. Τίποτα στο τοπικό δίκτυο δεν αστόχησε· ο πελάτης άλλαξε τη διαδρομή που χρησιμοποιεί για διευθύνσεις που δεν θεωρεί πλέον τοπικές. Ακολουθήστε τους τέσσερις ελέγχους παρακάτω με τη σειρά και σταματήστε όταν ένας δώσει συγκεκριμένη ασυμφωνία, γιατί το ίδιο σύμπτωμα έχει τέσσερις συχνές αιτίες και μόνο μία από αυτές διορθώνεται με επεξεργασία του VPN.

Πρώτα, κοιτάξτε τον πίνακα δρομολόγησης που εγκατέστησε ο πελάτης

Ανοίξτε τον πίνακα δρομολόγησης του πελάτη όσο το VPN είναι συνδεδεμένο. Στο Linux χρησιμοποιήστε ip route, στα Windows route print ή Get-NetRoute και στο macOS netstat -rn. Ψάχνετε μια προεπιλεγμένη διαδρομή μέσα από τη σήραγγα και τι συνέβη στη φυσική προεπιλεγμένη διαδρομή.

Ένας πελάτης πλήρους σήραγγας προσθέτει συχνά δύο μισές προεπιλεγμένες διαδρομές, 0.0.0.0/1 και 128.0.0.0/1, αντί να αντικαταστήσει το 0.0.0.0/0. Η αρχική προεπιλεγμένη διαδρομή παραμένει ορατή αλλά χάνει κάθε αναζήτηση, γι' αυτό ο πίνακας μπορεί να φαίνεται ακέραιος ενώ όλη η κίνηση εκτός υποδικτύου μετακινείται. Αν ο πελάτης VPN προσφέρει επιλογή διαχωρισμένης σήραγγας και η πολιτική το επιτρέπει, αυτή είναι η καθαρότερη επισκευή.

Αν η σήραγγα πρέπει να παραμείνει η προεπιλεγμένη διαδρομή, καρφιτσώστε το τοπικό υποδίκτυο. Στο Linux η διαδρομή ονομάζει τη φυσική διεπαφή και την πύλη· στα Windows προσθέστε -p για να γίνει μόνιμη και διαβάστε τον αριθμό διεπαφής από το route print αντί να τον μαντέψετε:

sudo ip route add 192.168.1.0/24 via 192.168.1.1 dev wlan0
route add -p 192.168.1.0 MASK 255.255.255.0 192.168.1.1 METRIC 1 IF 12

Μια καρφιτσωμένη διαδρομή αντέχει μόνο όσο η διεύθυνση που ονομάζει μένει ίδια. Ένα φορητό που αριθμεί εκ νέου τον προσαρμογέα Wi-Fi σε κάθε σύνδεση θα σπάσει τον κανόνα ξανά, γι' αυτό ελέγξτε τη διεύθυνση της διεπαφής πριν αποφασίσετε ότι η επισκευή απέτυχε.

Δεύτερο, επιβεβαιώστε ότι η διεύθυνση ήταν τοπική εξαρχής

Αν ο προορισμός βρίσκεται μέσα στο συνδεδεμένο υποδίκτυο, η προεπιλεγμένη διαδρομή της σήραγγας δεν εφαρμόζεται ποτέ και το VPN δεν είναι η αιτία. Ένας εκτυπωτής στο 192.168.1.40 σε πελάτη με 192.168.1.0/24 χρησιμοποιεί τη συνδεδεμένη διαδρομή· αν αυτή η διεύθυνση αποτύχει, κοιτάξτε τη συσκευή, το μεταγωγέα ή το τείχος προστασίας στον πελάτη αντί για το VPN.

Η περίπτωση που ξεγελά τον κόσμο είναι μια δημόσια διεύθυνση για τοπικό διακομιστή. Μέσα από το τοπικό δίκτυο, το να φτάσεις στη διεύθυνση WAN του δρομολογητή και να επιστρέψεις απαιτεί NAT καρφίτσας, και πολλοί δρομολογητές απλώς δεν το υλοποιούν για προωθήσεις θυρών. Δοκιμάστε την ιδιωτική διεύθυνση δίπλα στη δημόσια. Αν η ιδιωτική δουλεύει και η δημόσια όχι, το VPN απλώς αποκάλυψε έναν περιορισμό NAT που υπήρχε ήδη.

Ένα όνομα κεντρικού υπολογιστή το χειροτερεύει. Αν το τοπικό όνομα πλέον επιλύεται στη δημόσια διεύθυνση, ο πελάτης θα συνεχίσει να δοκιμάζει τη διαδρομή που δεν μπορεί να επιστρέψει. Χρησιμοποιήστε την ιδιωτική διεύθυνση για τη δοκιμή και μετά διορθώστε το όνομα αντί να προσθέσετε άλλη προώθηση θύρας.

Τρίτο, δείτε ποιος απαντά στα ονόματα τώρα

Ένας εταιρικός επιλυτής γνωρίζει το intranet και συνήθως τίποτα για όνομα κεντρικού υπολογιστή NAS, το όνομα Bonjour ενός εκτυπωτή ή το τοπικό ψευδώνυμο ενός δρομολογητή. Όταν το VPN σπρώχνει τους διακομιστές DNS του, αυτά τα ονόματα σταματούν να επιλύονται παρόλο που οι διευθύνσεις τους παραμένουν προσβάσιμες. Ρωτήστε το όνομα απευθείας και συγκρίνετε την απάντηση με τη διεύθυνση που ξέρετε ότι έχει η συσκευή.

Στο Linux, το resolvectl query nas.local δείχνει ποιος επιλυτής απάντησε. Στα Windows, το nslookup nas.local ονομάζει το διακομιστή και το ipconfig /all δείχνει τη σειρά των επιλυτών. Αν το τοπικό επίθημα το χειρίζεται τώρα ο εταιρικός επιλυτής, είτε δρομολογήστε το επίθημα πίσω στον τοπικό επιλυτή είτε χρησιμοποιήστε τη διεύθυνση IP της συσκευής.

Η ανακάλυψη είναι ξεχωριστό επίπεδο. Το mDNS και η εκπομπή δεν περνούν μια δρομολογημένη σήραγγα, οπότε μια συσκευή μπορεί να είναι προσβάσιμη με διεύθυνση ενώ το όνομά της μένει αόρατο. Ένας ανακλαστήρας ή μια τοπική εγγραφή DNS το λύνει· μια διαδρομή όχι.

Τέταρτο, ελέγξτε αν και το άλλο μηχάνημα είναι σε VPN

Όταν το μηχάνημα που θέλετε να φτάσετε τρέχει κι αυτό πελάτη VPN, η συνεδρία σας μπορεί να φτάσει ενώ η απάντησή του φεύγει από την άλλη σήραγγα. Αυτό παράγει μια σύνδεση που εγκαθίσταται και μετά κολλάει, ή μια απόπειρα RDP και SSH που λήγει χωρίς σφάλμα στη δική σας πλευρά. Ελέγξτε τον πίνακα δρομολόγησης του άλλου κεντρικού υπολογιστή και την προεπιλεγμένη διαδρομή του πριν κατηγορήσετε τον πελάτη σας.

Ελέγξτε και τη διεύθυνση στην οποία ακούει η υπηρεσία. Ένας ακροατής δεσμευμένος μόνο στη διεύθυνση της σήραγγας δέχεται συνδέσεις από το VPN και τις αρνείται από το τοπικό δίκτυο, ακόμη και όταν η δρομολόγηση είναι άψογη. Αυτή είναι διαμόρφωση υπηρεσίας, όχι διαδρομή δικτύου, και είναι συνηθισμένη σε διεπαφές διαχείρισης που κλειδώθηκαν στη διεύθυνση του VPN.

Κρατήστε μια διαδρομή διαχείρισης που δεν εξαρτάται από τη σήραγγα: μια στατική διαδρομή που ονομάζει το δίκτυο προέλευσής σας, μια άλλη διεπαφή συνδεδεμένη στο τοπικό δίκτυο ή μια κονσόλα που παρακάμπτει τελείως τη σήραγγα. Το να σχεδιάσετε αυτή τη διαδρομή αφού πέσει η συνεδρία είναι πολύ δυσκολότερο από το να την προσθέσετε πριν από την επόμενη σύνδεση.

Εφαρμόστε την επισκευή που ταιριάζει με τον έλεγχο που απέτυχε

Αν ο πίνακας δρομολόγησης έδειξε κατάληψη μισής προεπιλεγμένης διαδρομής, διαλέξτε διαχωρισμένη σήραγγα όταν η πολιτική το επιτρέπει και καρφιτσωμένη τοπική διαδρομή όταν δεν το επιτρέπει. Αν η διεύθυνση αποδείχθηκε δημόσια, αλλάξτε τη δοκιμή και το όνομα στην ιδιωτική διεύθυνση. Αν ο επιλυτής άλλαξε χέρια, περιορίστε το τοπικό επίθημα ή χρησιμοποιήστε τη διεύθυνση. Αν ο άλλος κεντρικός υπολογιστής είναι σε σήραγγα, διορθώστε τη διαδρομή επιστροφής του ή τη δέσμευση του ακροατή.

Αλλάξτε ένα πράγμα και μετά επαναλάβετε τον ίδιο έλεγχο. Μια διαδρομή που προστέθηκε για λάθος υποδίκτυο, ένα επίθημα επιλυτή με τυπογραφικό λάθος και μια καρφιτσωμένη διαδρομή σε διεπαφή που αριθμείται εκ νέου μοιάζουν όλα με την αρχική βλάβη. Η επανάληψη είναι αυτό που χωρίζει μια επισκευή από μια σύμπτωση.

Σημειώστε τη διαδρομή, τη διεύθυνση και τον επιλυτή που δούλευαν όσο το VPN ήταν συνδεδεμένο. Η επόμενη επανασύνδεση θα αλλάξει τουλάχιστον ένα από αυτά, και η σημείωση μετατρέπει την επόμενη διακοπή σε σύντομη σύγκριση αντί για νέα έρευνα.