Το VPN μπλοκάρει το τοπικό LAN στα Windows: διαδρομή ή πολιτική πελάτη;

Ένας εκτυπωτής, ένα NAS ή ένα μηχάνημα ανάπτυξης στο δικό σας γραφείο σταματούν να απαντούν τη στιγμή που συνδέεται το VPN της εργασίας. Μερικές φορές μια εντολή διαδρομής το διορθώνει σε δευτερόλεπτα· άλλες φορές η ίδια διαδρομή είναι σωστή και τα πακέτα εξακολουθούν να εξαφανίζονται, που σημαίνει ότι βλέπετε άλλο πρόβλημα με παρόμοιο σύμπτωμα. Η απόφαση καταλήγει σε τρεις ερωτήσεις, και το να τις θέτετε με λάθος σειρά είναι ο λόγος που οι άνθρωποι περνούν ένα ολόκληρο βράδυ διαγράφοντας και προσθέτοντας ξανά διαδρομές.

Τρεις ερωτήσεις πριν από οποιαδήποτε εντολή

Πρώτον: υπάρχει καταχώριση για το τοπικό πρόθεμα, και δείχνει στον φυσικό προσαρμογέα; Δεύτερον: λαμβάνει ο πελάτης άδεια ή άρνηση τοπικού δικτύου από την πύλη κατά τη σύνδεση; Τρίτον: χρειάζεστε μόνο εξερχόμενη πρόσβαση στο LAN, ή πρέπει κάτι στο διαδίκτυο να φτάνει και σε μια υπηρεσία που εκτελείται στο μηχάνημά σας;

Η πρώτη ερώτηση χωρίζει ένα σφάλμα δρομολόγησης από ένα σφάλμα φιλτραρίσματος. Η δεύτερη λέει αν επιτρέπεται καν να λειτουργήσει μια διόρθωση διαδρομής. Η τρίτη αλλάζει την επισκευή: μια διαδρομή διορθώνει την εξερχόμενη κίνηση, ενώ μια μη προσβάσιμη εισερχόμενη υπηρεσία είναι συνήθως πρόβλημα δέσμευσης ακροατή και διαδρομής επιστροφής που μια διαδρομή χειροτερεύει.

Ερώτηση πρώτη: διαδρομή, φίλτρο ή όνομα

Διαβάστε τον πίνακα πριν προσθέσετε οτιδήποτε σε αυτόν. Το ευρετήριο διεπαφής έχει σημασία, γιατί κάθε εντολή διαδρομής παρακάτω είναι αγκυρωμένη σε αυτό:

route print -4
Get-NetRoute -DestinationPrefix 192.168.1.0/24 | Format-Table InterfaceIndex,NextHop,RouteMetric

Ένα άμεσα συνδεδεμένο υποδίκτυο συνήθως διατηρεί διαδρομή on-link ακόμη και όταν το τούνελ είναι ενεργό, οπότε μια καταχώριση μπορεί να υπάρχει και η κίνηση να αποτυγχάνει παρ' όλα αυτά. Αυτός ο συνδυασμός είναι η υπογραφή ενός φίλτρου που εκτελείται μετά τη δρομολόγηση, και είναι η περίπτωση όπου μια δεύτερη, πιο συγκεκριμένη διαδρομή δεν αλλάζει απολύτως τίποτα.

Δοκιμάστε ξεχωριστά με διεύθυνση και με όνομα. Αν το ping 192.168.1.50 απαντά και το net view 192.168.1.50 δεν απαντά, ο πίνακας δρομολόγησης δεν ήταν ποτέ το πρόβλημα: το τούνελ άλλαξε τον resolver και το τοπικό όνομα δεν επιλύεται πλέον. Το να προσθέσετε διαδρομή γι' αυτό είναι χαμένος κόπος.

Ερώτηση δεύτερη: επιτρέπει η πύλη πρόσβαση στο τοπικό LAN;

Ένας εμπορικός πελάτης εγκαθιστά περισσότερα από διαδρομές. Λαμβάνει μια πολιτική κατά τη σύνδεση, και αυτή η πολιτική μπορεί να περιλαμβάνει ρητή άδεια τοπικού δικτύου. Σε αναπτύξεις Cisco IPsec η πολιτική ομάδας φέρει τη ρύθμιση split-tunneling και μια ξεχωριστή σημαία πρόσβασης στο τοπικό LAN· το πλαίσιο ελέγχου στον πελάτη είναι ένα αίτημα που η πύλη μπορεί να αρνηθεί. Στο AnyConnect το προφίλ ελέγχει τις λίστες συμπερίληψης και αποκλεισμού split και την ίδια άδεια. Στα Windows RRAS τα αντίστοιχα είναι η επιλογή προεπιλεγμένης πύλης στο προφίλ συν τις στατικές διαδρομές που εκχωρεί ο διακομιστής.

Όταν η σημαία είναι κλειστή, η τεκμηριωμένη συμπεριφορά είναι ότι ο πελάτης μπλοκάρει την κίνηση προς το άμεσα συνδεδεμένο υποδίκτυο παρόλο που υπάρχει έγκυρη, πιο συγκεκριμένη διαδρομή. Γι' αυτό επίσης διαδρομές που δεν ανήκουν στον πελάτη μπορεί να εξαφανιστούν δευτερόλεπτα αφού τις προσθέσετε: ο πελάτης ξαναχτίζει την κατάσταση που του είπαν να χτίσει, δεν παλεύει μαζί σας.

Το αρχείο καταγραφής του πελάτη καταγράφει την απόφαση κατά τη σύνδεση, και το να το διαβάσετε είναι ταχύτερο από οποιοδήποτε πείραμα στο μηχάνημα. Αν το αρχείο λέει ότι η τοπική πρόσβαση είναι μπλοκαρισμένη, σταματήστε: καμία διόρθωση γραμμής εντολών δεν επιβιώνει από αυτό, και οι μόνες διαθέσιμες οδοί είναι μια αλλαγή πολιτικής, η πρόσβαση στον πόρο μέσω του τούνελ, ή ο περιορισμός του πελάτη σε εικονική μηχανή και η παραμονή του κεντρικού υπολογιστή στο τοπικό δίκτυο.

Ερώτηση τρίτη: ποια κατεύθυνση χρειάζεστε;

Η εξερχόμενη κίνηση προς μια κοντινή συσκευή είναι ζήτημα δρομολόγησης. Στρέψτε το πρόθεμα LAN στην τοπική πύλη με μέτρηση αρκετά χαμηλή ώστε να νικήσει την προεπιλεγμένη διαδρομή του τούνελ:

route add 192.168.1.0 mask 255.255.255.0 192.168.1.1 metric 1 if 12
route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 -p

Η δεύτερη μορφή καρφιτσώνει μία μόνο συσκευή, που είναι αυτό που θέλετε όταν μία διεύθυνση είναι όλη η απαίτηση. Το αντίστοιχο netsh καταγράφει την ίδια απόφαση με όνομα διεπαφής αντί για ευρετήριο:

netsh interface ipv4 add route prefix=192.168.1.0/24 interface=12 nexthop=192.168.1.1 store=persistent

Οι εντολές διαδρομής αποτυγχάνουν με Η παράμετρος είναι λανθασμένη όταν η διεύθυνση και η μάσκα δεν συμφωνούν, για παράδειγμα μια διεύθυνση κεντρικού υπολογιστή με μάσκα /24. Χρησιμοποιήστε τη διεύθυνση δικτύου για διαδρομή υποδικτύου και μάσκα κεντρικού υπολογιστή για έναν μόνο κεντρικό υπολογιστή.

Η εισερχόμενη είναι διαφορετική. Ένας διακομιστής VNC ή SSH στο ίδιο μηχάνημα γίνεται μη προσβάσιμος όταν οι απαντήσεις σε μια εισερχόμενη σύνδεση φεύγουν μέσω της πύλης VPN και δεν επιστρέφουν ποτέ. Ελέγξτε σε τι ακούει η υπηρεσία πριν αγγίξετε διαδρομές:

netstat -ano | findstr :5900

Ένας ακροατής δεσμευμένος σε μία συγκεκριμένη διεύθυνση δεν θα απαντήσει στην άλλη διεπαφή. Το να τον δεσμεύσετε σε όλες τις διεπαφές είναι συνειδητή απόφαση, παρμένη μαζί με κανόνα τείχους προστασίας περιορισμένο στο δίκτυο που εμπιστεύεστε. Μόνο μετά από αυτό η επισκευή διαδρομής αποκαθιστά τη διαδρομή επιστροφής.

Εφαρμόστε τη μικρότερη αλλαγή που ταιριάζει

Η άλλη συνηθισμένη κίνηση είναι να καταργήσετε την επιλογή «Χρήση προεπιλεγμένης πύλης στο απομακρυσμένο δίκτυο» στις σύνθετες ιδιότητες IPv4. Κρατά την κίνηση του διαδικτύου τοπική, αλλά κάνει δύο πράγματα ταυτόχρονα: το VPN παύει να είναι η προεπιλεγμένη διαδρομή, και ο πελάτης παύει να λαμβάνει διαδρομές για το απομακρυσμένο δίκτυο, συμπεριλαμβανομένου του multicast. Καταργήστε την και το απομακρυσμένο LAN εξαφανίζεται, εκτός αν ο διακομιστής σπρώξει τα συγκεκριμένα απομακρυσμένα προθέματα που χρειάζεται κάθε πελάτης.

Αυτή η ασυμμετρία καθορίζει τη σειρά εργασίας. Αν η απομακρυσμένη πλευρά πρέπει να παραμείνει πλήρως προσβάσιμη, σπρώξτε απομακρυσμένα υποδίκτυα από τον διακομιστή και αφήστε την τοπική προεπιλογή ήσυχη. Αν δεν μπορείτε να αλλάξετε τον διακομιστή, προσθέστε μια μόνιμη διαδρομή προς το απομακρυσμένο πρόθεμα μέσω της διεύθυνσης που εκχώρησε το τούνελ, και ελέγξτε με το route print ότι το πρόθεμα δείχνει στη διεπαφή VPN ενώ η προεπιλογή εξακολουθεί να δείχνει στη φυσική πύλη.

Στη συνέχεια επιβεβαιώστε ότι η επισκευή επιβιώνει από επανασύνδεση, γιατί οι μη μόνιμες διαδρομές πεθαίνουν μαζί με τον προσαρμογέα, και ένα σενάριο που εκτελείται μετά από κάθε σύνδεση είναι το ειλικρινές μέρος γι' αυτές. Δοκιμάστε μια τοπική συσκευή και έναν απομακρυσμένο πόρο στην ίδια συνεδρία, αποσυνδεθείτε, επανασυνδεθείτε και δοκιμάστε ξανά. Αν η τοπική συσκευή εξακολουθεί να αποτυγχάνει ενώ η διαδρομή φαίνεται σωστή, επιστρέψτε στην ερώτηση δύο: ο πελάτης φιλτράρει, και η απάντηση είναι αλλαγή πολιτικής και όχι μια δεύτερη ανταγωνιστική διαδρομή.