Error general al hacer ping a una dirección LAN con el cliente VPN activo
Windows dice que no puede alcanzar ningún adaptador mientras la tabla de rutas parece correcta. Decida si el bloqueo es de enrutamiento, de filtrado o del cliente.
Una ruta de host, una dirección, y el ping falla de inmediato con General failure en lugar de que la solicitud agote el tiempo. Esa distinción es todo el diagnóstico. Un tiempo agotado significa que el paquete salió y que algo lo ignoró. Error general significa que Windows no pudo entregar el paquete a ninguna interfaz desde el principio.
Así que cuando la tabla de rutas parece perfecta y el error sigue siendo Error general, el bloqueo ocurre por debajo de la decisión de enrutamiento, y el cliente del proveedor es lo que opera allí.
Lea el error antes que la tabla de rutas
Windows devuelve ese error cuando no encuentra una interfaz por la que enviar, y no dice nada sobre lo que el destino habría hecho con el paquete. El alcance, los cortafuegos del extremo remoto y la disponibilidad del servicio son todas preguntas posteriores a las que aún no ha llegado.
La configuración clásica para este caso es una ruta de host que apunta una sola dirección LAN a la puerta de enlace física para que eluda el túnel. route add la acepta, route print la muestra, y el ping sigue fallando, porque el controlador de filtrado ya ha decidido que el paquete no puede salir.
Antes de aceptar esa explicación, confirme que la ruta se selecciona de verdad: revise el índice de interfaz y la métrica, y asegúrese de que la entrada no esté obsoleta tras una reconexión. Una ruta que apunta a una interfaz que ya no existe produce un error similar por un motivo mucho menos interesante.
Tres capas, tres propietarios distintos
Gana la capa que se ejecuta al final, y estas tres no están en el orden que la mayoría supone.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
La capa intermedia es la razón por la que una ruta puede ser correcta e inútil al mismo tiempo. Los clientes de los proveedores instalan un filtro y reglas de cortafuegos para que el tráfico fuera del túnel se descarte, que es el mismo mecanismo que implementa su interruptor de emergencia. Nada de la tabla de rutas participa en esa decisión.
La tercera capa explica un informe extraño que llega con regularidad: la subred local no es alcanzable incluso después de desconectar el cliente. El servicio sigue ejecutándose y el filtro sigue instalado, así que no estar conectado no es lo mismo que no filtrar. Salga del cliente en lugar de solo desconectarlo antes de concluir nada.
Qué probar, en orden
Empiece por quitar las funciones que son baratas de quitar y fáciles de restaurar. El descubrimiento de LAN, a veces llamado invisibilidad en la LAN, bloquea el tráfico hacia rangos de direcciones privadas para que el equipo siga oculto a sus vecinos. Las impresoras, los servidores de archivos locales y el propio router desaparecen tras ese interruptor. Las funciones de protección contra amenazas que filtran DNS instalan sus propios ganchos y se informa de que rompen el alcance local de forma muy parecida.
Desactive ambas, salga del cliente por completo y luego pruebe la dirección. Esa secuencia separa una función que bloquea el tráfico de un túnel que lo enruta mal, y tarda dos minutos en lugar de una tarde de rutas estáticas.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4Si la dirección responde una vez desactivadas las funciones, tiene una decisión de política y no una avería: elija entre dejar la función desactivada, añadir una excepción o aceptar que el equipo siga invisible en la red local.
Use la excepción del cliente, de forma estrecha
Cuando una función debe permanecer activa, el túnel dividido propio del cliente es la salida admitida. Mantenga la excepción tan pequeña como permita el requisito, lo que normalmente significa una dirección de host para un servidor o un prefijo para un solo segmento. Una regla que cubre todo un rango privado es un agujero permanente que nadie recordará haber añadido y que nadie se atreverá a quitar.
Luego verifique primero por dirección y después por nombre. Si la dirección responde con un primer salto en la puerta de enlace física, la excepción funciona. Si el nombre sigue fallando, ha pasado a DNS, porque el resolutor del túnel no conoce la zona local y ningún cambio de enrutamiento se la enseñará.
Conserve la ruta o la excepción, no ambas, más una nota sobre cuál hace el trabajo. Dos mecanismos superpuestos se ocultan entre sí, y la próxima persona que depure este equipo eliminará uno y no verá ningún cambio.
Cuando el cliente es el obstáculo
Algunas compilaciones filtran el tráfico de formas que ni una ruta estática ni una excepción del cliente pueden vencer. Cuando ese es el hallazgo, las opciones honestas son esperar la función de omisión o conectarse con un cliente OpenVPN sencillo usando el perfil del propio proveedor, que es lo que recomendaba la respuesta del soporte del fabricante en el informe original.
Entienda el intercambio antes de hacer esa sustitución. Un perfil sencillo se comporta como cualquier túnel corriente: instala sus rutas y no reestructura el resto de la pila, así que una ruta de host estrecha sigue comportándose como espera. Lo que pierde es todo lo que el cliente de marca implementó alrededor del túnel, incluidos el interruptor de emergencia y el filtrado de DNS, y eso hay que reproducirlo a propósito o aceptarlo como ausente.
Elija lo que elija, anote qué capa era la dueña del bloqueo. Un paquete que nunca salió del equipo es un resultado del filtro, y ningún cambio de enrutamiento puede reparar un filtro.