General failure LAN-aadressi pingimisel VPN-kliendi töötamise ajal
Windows teatab, et ei saa adapterini üldse ligi, samal ajal kui marsruutimistabel paistab korras olevat. Otsustage, kas blokeerib marsruutimine, filtreerimine või klient.
Üks host-marsruut, üks aadress ja ping ebaõnnestub kohe General failure-iga, selle asemel et päring aeguks. Just see erinevus on kogu diagnoos. Aegumine tähendab, et pakett lahkus ja miski eiras seda. General failure tähendab, et Windows ei suutnud paketti üldse ühelegi liidesele anda.
Kui marsruutimistabel paistab täiuslik ja viga on ikka General failure, toimub blokeerimine marsruutimisotsuse all ning teenusepakkuja klient on see, mis seal töötab.
Lugege viga enne marsruutimistabelit
Windows tagastab selle vea, kui ei leia liidest, mille kaudu saata, ega ütle midagi selle kohta, mida sihtkoht oleks paketiga teinud. Kättesaadavus, kaugema poole tulemüürid ja teenuse olemasolu on kõik hilisemad küsimused, milleni te veel jõudnud ei ole.
Selle juhtumi klassikaline konfiguratsioon on host-marsruut, mis suunab ühe LAN-aadressi füüsilisele lüüsile, et see tunnelist mööda läheks. route add võtab selle vastu, route print näitab seda ja ping ebaõnnestub ikka, sest filtri draiver on juba otsustanud, et pakett ei tohi välja minna.
Enne kui selle seletusega nõustute, kinnitage, et marsruut tõesti valitakse: kontrollige liidese indeksit ja metrikat ning veenduge, et kirje ei ole pärast uuesti ühendamist aegunud. Marsruut, mis osutab liidesele, mida enam ei ole, tekitab sarnase vea palju vähem huvitaval põhjusel.
Kolm kihti, kolm eri omanikku
Võidab see kiht, mis töötab viimasena, ja need kolm ei ole järjekorras, mida enamik inimesi eeldab.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
Keskmine kiht on põhjus, miks marsruut võib olla korraga õige ja kasutu. Teenusepakkujate kliendid paigaldavad filtri ja tulemüürireeglid, et väljaspool tunnelit liiklus maha visataks, ja see on sama mehhanism, mis rakendab nende kill switchi. Marsruutimistabelis ei osale selles otsuses miski.
Kolmas kiht selgitab kummalist aruannet, mis saabub regulaarselt: kohalik alamsuht on kättesaamatu ka pärast kliendi lahtiühendamist. Teenus töötab endiselt ja filter on endiselt paigaldatud, seega mitte ühendatud ei ole sama mis mitte filtreeriv. Enne järelduste tegemist väljuge kliendist, mitte ainult ärge ühendage seda lahti.
Mida proovida, järjekorras
Alustage nende funktsioonide eemaldamisest, mida on odav eemaldada ja lihtne taastada. LAN-i avastamine, mida mõnikord nimetatakse LAN-i nähtamatuseks, blokeerib liikluse privaatsete aadressivahemike suunas, et seade jääks naabrite eest peidetuks. Printerid, kohalikud failiserverid ja ruuter ise kaovad selle lüliti taha. DNS-i filtreerivad ohutõrje funktsioonid paigaldavad oma konksud ja nende kohta öeldakse, et need rikuvad kohalikku kättesaadavust peaaegu samamoodi.
Lülitage mõlemad välja, väljuge kliendist täielikult ja seejärel testige aadressi. See järjekord eraldab liiklust blokeeriva funktsiooni valesti marsruutivast tunnelist ning võtab kaks minutit, mitte tervet pärastlõunat staatiliste marsruutidega.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4Kui aadress vastab pärast funktsioonide väljalülitamist, on teil poliitikaotsus, mitte rike: valige, kas jätta funktsioon välja, lisada erand või leppida sellega, et seade jääb kohalikus võrgus nähtamatuks.
Kasutage kliendi eranditeed, kitsalt
Kui funktsioon peab sisse jääma, on kliendi enda jagatud tunnelamine toetatud väljapääs. Hoidke erand nii väike, kui nõue lubab, mis tavaliselt tähendab ühte host-aadressi ühe serveri jaoks või ühte prefiksit ühe segmendi jaoks. Kogu privaatset vahemikku kattev reegel on püsiv auk, mille lisamist ei mäleta keegi ja mille eemaldamist ei julge keegi.
Seejärel kontrollige esmalt aadressi ja teiseks nime järgi. Kui aadress vastab esimese hüppega füüsilisel lüüsil, erand töötab. Kui nimi ikka ebaõnnestub, olete jõudnud DNS-i, sest tunneli resolver ei tunne kohalikku tsooni ja ükski marsruudimuudatus ei õpeta seda talle.
Jätke marsruut või erand, mitte mõlemad, pluss märkus selle kohta, milline neist töö ära teeb. Kaks kattuvat mehhanismi peidavad teineteist ja järgmine inimene, kes seda seadet silub, eemaldab ühe neist ega näe mingit muutust.
Kui takistuseks on klient
Mõned versioonid filtreerivad liiklust viisil, mida ei suuda võita ei staatiline marsruut ega kliendi erand. Kui see on tulemus, on ausad valikud oodata möödaviigufunktsiooni või ühenduda tavalise OpenVPN kliendiga, kasutades teenusepakkuja enda profiili, mida soovitas ka müüja toe vastus algses aruandes.
Mõistke vahetust enne selle asendamise tegemist. Tavaline profiil käitub nagu iga tavaline tunnel: see paigaldab oma marsruudid ega struktureeri ümber ülejäänud virna, seega kitsas host-marsruut käitub endiselt ootuspäraselt. Kaote kõik, mida bränditud klient tunnelit ümbritsevalt rakendas, sealhulgas kill switch ja DNS-filtreerimine, ning need tuleb teadlikult taastoota või puuduvana aktsepteerida.
Mida iganes valite, kirjutage üles, millisele kihile blokeering kuulus. Pakett, mis ei lahkunud seadmest kunagi, on filtri tulemus ja ükski marsruudimuudatus ei paranda filtrit.