Jagad Windowsi ühendust? VPN-i tee muutub selle all

Sülearvuti jagab oma Wi-Fi-t, host sirvib tunnelist ilma kaebusteta ja selle jagamise peal olev tahvelarvuti ei jõua kuhugi. Host lakkas olemast ainult klient hetkel, mil jagamine sisse lülitati: nüüd on see ruuter ja edastatud paketid kohtavad teistsugust reeglistikku. See, mis hostis töötab, ei ütle tagapool oleva seadme kohta midagi. Käivita kontrollid allavoolu kliendist ja erinevus lakkab olemast teoreetiline.

Hosti edu ei tõesta midagi

Ühenduse jagamine annab ühele masinale neli tööd: aadresside määramine, edastamine, tõlkimine ja filtreerimine. VPN-klient, mis kaitseb kohapeal loodud liiklust, võib pidada edastatud liiklust oma ulatusest väljapoole jäävaks, või blokeerida selle meelega lekkena. Kumbki käitumine ei ole viga ja kumbki ei ole kirjas ekraanil, kus jagamine sisse lülitati. Ainult allavoolu test ütleb, kumb sul on.

Paljud kliendid edastavad ainult hosti liiklust ja mitte midagi muud, seega vaata kliendi dokumentatsioonist jagamise jaotist, selle asemel et uskuda, et tunnel marsruudib tahvelarvuti eest. Nähtav sümptom on seade, mis ühendub, saab aadressi ja siis esimese päringu juures ebaõnnestub. Klient, mis keeldub edastamast, näeb hostis endiselt täiesti terve välja.

Milline adapter on jagatud, milline teenindab kliente

Pane kirja mõlemad adapterid, sest need kannavad erinevaid aadresse ja erinevaid filtreid, ning vale adapteri muudatus seletab paljusid segaseid tulemusi. Jagamise host võtab tavaliselt allavoolu poolel fikseeritud aadressi ja käitab seal väikest DHCP- ja DNS-teenust. Windows hoiab edastamist adapteri kaupa, mitte globaalselt, seega tuleb olekut lugeda liides liidese haaval.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Kui edastamine on jagatud adapteril kuvatud keelatuna, ei tööta allavoolu miski, ükskõik mida tunnel teeb. Luba see ainult masinas, mille poliitika lubab sellel teiste seadmete eest marsruudida.

Edastamine, tõlkimine ja filtreerimine

Edastatud pakett peab jõudma tunnelini, tõlgitama millekski, mida kaugpool aktsepteerib, ja naasma sama tõlke kaudu. Ükskõik milline neist kolmest etapist võib katki minna ja iga katkestus tekitab sama brauseri ajalõpu. Paketipüük, marsruudiotsing ja logi kaugpoolt on väärt rohkem kui veel üks pilk jagamise dialoogile. Just see, milline etapp ebaõnnestub, ütleb, kelle muudatust on vaja.

Kaugpool võib vajada ka tagasiteed jagatud alavõrgu jaoks, vahemikku, mida VPN-server pole kunagi näinud. Seal, kus klient tõlgib, näeb server ainult tunneli aadressi ja tagasiteed ei ole vaja. Seal, kus ta ei tõlgi, peab lüüsi omanik selle tee meelega lisama, ja see on muudatusetaotlus, mitte kliendi säte.

Tee kontrollid kliendis, mitte hostis

Tee iga kontroll kliendis, mis ebaõnnestub, mitte hostis, mis töötab. Hoia väljumisaadress, resolveri vastus ja rakenduse test samas sessioonis, sest tunniajalise vahega kogutud tulemused ei ütle kolme koosmõju kohta midagi.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Võrdle väljumisaadressi hosti enda omaga ja pane kirja, kas need kattuvad. Erinev vastus tähendab, et edastatud tee läheb tunnelist mööda, mis on omanikuga poliitikaküsimus, mitte kiire parandus. Kattuv vastus ebaõnnestuva rakenduse kõrval viib töö nimeresolutsiooni või kaugpoole poliitika juurde. Ära peatu ka IPv4 tulemusel: jagamine võib läbida kõik IPv4 kontrollid, samal ajal kui IPv6 väljub teisest väljapääsust, seega korda nime- ja väljumiskontrolle AAAA-kirje ja üksikasjaliku ühendustestiga.

Hallatavas masinas kinnita, et jagamine on üldse lubatud, sest teisele seadmele juurdepääsu avamine on haldusotsus, mitte mugavuslüliti. Pärast iga toetatud muudatust korda kontrolle uuesti ühendamisel ja veel kord katkestuse ajal. Hosti puhas uuestiühendus ei taasta edastatud teed, mida klient kunagi ei toetanud.