General failure dum ping al LAN-adreso kun ŝaltita VPN-kliento
Windows diras, ke ĝi tute ne povas atingi adaptilon, dum la enkursiga tabelo ŝajnas ĝusta. Decidu, ĉu la blokado estas enkursigado, filtrado aŭ la kliento.
Unu gastiga enkursigo, unu adreso, kaj la ping tuj malsukcesas kun General failure anstataŭ lasi la peton finiĝi per tempolimo. Ĝuste tiu distingo estas la tuta diagnozo. Tempolimo signifas, ke la paketo foriris kaj io ignoris ĝin. General failure signifas, ke Windows tute ne povis transdoni la paketon al iu ajn interfaco.
Do kiam la enkursiga tabelo aspektas perfekta kaj la eraro ankoraŭ estas General failure, la blokado okazas sub la enkursiga decido, kaj la kliento de la provizanto estas tio, kio funkcias tie.
Legu la eraron antaŭ la enkursiga tabelo
Windows redonas tiun eraron kiam ĝi ne trovas interfacon por sendi, kaj ĝi diras nenion pri tio, kion la celo farus kun la paketo. Atingebleco, fajroŝirmiloj ĉe la malproksima flanko kaj havebleco de la servo estas ĉiuj postaj demandoj, al kiuj vi ankoraŭ ne alvenis.
La klasika agordo por ĉi tiu kazo estas gastiga enkursigo, kiu direktas unu solan LAN-adreson al la fizika pordego, por ke ĝi preterpasu la tunelon. route add akceptas ĝin, route print montras ĝin, kaj la ping ankoraŭ malsukcesas, ĉar la filtra pelilo jam decidis, ke la paketo ne rajtas eliri.
Antaŭ ol akcepti tiun klarigon, konfirmu, ke la enkursigo efektive estas elektata: kontrolu la interfacan indekson kaj la metrikon, kaj certiĝu, ke la ero ne estas malnova post rekonekto. Enkursigo, kiu montras al interfaco, kiu ne plu ekzistas, produktas similan eraron pro multe malpli interesa kialo.
Tri tavoloj, tri malsamaj posedantoj
Venkas la tavolo, kiu funkcias laste, kaj ĉi tiuj tri ne estas en la ordo, kiun plej multaj homoj supozas.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
La meza tavolo estas la kialo, kial enkursigo povas esti samtempe ĝusta kaj senutila. Klientoj de provizantoj instalas filtrilon kaj fajroŝirmilajn regulojn, por ke trafiko ekster la tunelo estu forĵetata, kaj tio estas la sama mekanismo, kiu realigas ilian kill switch. Nenio en la enkursiga tabelo partoprenas tiun decidon.
La tria tavolo klarigas strangan raporton, kiu regule alvenas: la loka subreto estas neatingebla eĉ post kiam la kliento estas malkonektita. La servo ankoraŭ funkcias kaj la filtrilo ankoraŭ estas instalita, do ne konektita ne samas kiel ne filtranta. Eliru el la kliento anstataŭ nur malkonekti ĝin antaŭ ol konkludi ion ajn.
Kion provi, laŭ ordo
Komencu forigante la funkciojn, kiujn malmultekostas forigi kaj facileblas restarigi. LAN-malkovro, foje nomata nevidebleco en la LAN, blokas trafikon al privataj adresaj gamoj, por ke la maŝino restu kaŝita de siaj najbaroj. Printiloj, lokaj dosieraj serviloj kaj la enkursigilo mem ĉiuj malaperas malantaŭ tiu ŝaltilo. Minacprotektaj funkcioj, kiuj filtras DNS, instalas proprajn hokojn kaj oni raportas, ke ili rompas lokan atingeblon preskaŭ same.
Malŝaltu ambaŭ, tute eliru el la kliento, poste testu la adreson. Tiu sinsekvo apartigas funkcijon, kiu blokas trafikon, de tunelo, kiu enkursigas ĝin malĝuste, kaj ĝi daŭras du minutojn anstataŭ posttagmezon da statikaj enkursigoj.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4Se la adreso respondas post kiam la funkcioj estas malŝaltitaj, vi havas politikan decidon, ne difekton: elektu inter lasi la funkcijon malŝaltita, aldoni escepton, aŭ akcepti, ke la maŝino restos nevidebla en la loka reto.
Uzu la esceptan vojon de la kliento, mallarĝe
Kiam funkcio devas resti ŝaltita, la propra dividita tunelado de la kliento estas la subtenata eliro. Tenu la escepton tiel malgranda kiel la postulo permesas, kio kutime signifas unu gastigan adreson por unu servilo aŭ unu prefikson por unu segmento. Regulo, kiu kovras tutan privatan gamon, estas daŭra truo, kiun neniu memoros aldoni kaj kiun neniu kuragos forigi.
Poste kontrolu unue laŭ adreso kaj due laŭ nomo. Se la adreso respondas kun unua salto sur la fizika pordego, la escepto funkcias. Se la nomo ankoraŭ malsukcesas, vi transiris al DNS, ĉar la solvilo de la tunelo ne konas la lokan zonon kaj neniu enkursiga ŝanĝo instruos ĝin.
Konservu la enkursigon aŭ la escepton, ne ambaŭ, plus noton pri tio, kiu faras la laboron. Du interkovraj mekanismoj kaŝas unu la alian, kaj la sekva persono, kiu sencimigos ĉi tiun maŝinon, forigos unu el ili kaj vidos neniun ŝanĝon.
Kiam la kliento estas la obstaklo
Iuj versioj filtras trafikon tiel, ke nek statika enkursigo nek klienta escepto povas venki ilin. Kiam tio estas la konkludo, la honestaj ebloj estas atendi la preterpasan funkcijon aŭ konekti per ordinara OpenVPN-kliento uzante la propran profilon de la provizanto, kion rekomendis la subtena respondo de la vendisto en la origina raporto.
Komprenu la interŝanĝon antaŭ ol fari tiun anstataŭigon. Ordinara profilo kondutas kiel ĉiu ordinara tunelo: ĝi instalas siajn enkursigojn kaj ne restrukturigas la reston de la stako, do mallarĝa gastiga enkursigo ankoraŭ kondutas kiel vi atendas. Kion vi perdas estas ĉio, kion la marka kliento realigis ĉirkaŭ la tunelo, inkluzive de la kill switch kaj DNS-filtrado, kaj tio devas esti intence reproduktita aŭ akceptita kiel mankanta.
Kion ajn vi elektos, notu, kiu tavolo posedis la blokadon. Paketo, kiu neniam forlasis la maŝinon, estas filtra rezulto, kaj neniu enkursiga ŝanĝo povas ripari filtrilon.