General failure, kun LAN-osoitetta pingataan VPN-asiakasohjelman ollessa päällä

Yksi isäntäreitti, yksi osoite, ja ping epäonnistuu heti General failure-virheeseen sen sijaan, että pyyntö aikakatkaistaisiin. Juuri tämä ero on koko diagnoosi. Aikakatkaisu tarkoittaa, että paketti lähti ja jokin jätti sen huomiotta. General failure tarkoittaa, että Windows ei pystynyt alun perinkään antamaan pakettia millekään verkkoliitännälle.

Kun reititystaulukko näyttää täydelliseltä ja virhe on yhä General failure, esto tapahtuu reitityspäätöksen alapuolella, ja palveluntarjoajan asiakasohjelma on se, mikä siellä toimii.

Lue virhe ennen reititystaulukkoa

Windows palauttaa tuon virheen, kun se ei löydä liitäntää, jolle lähettää, eikä kerro mitään siitä, mitä kohde olisi tehnyt paketille. Tavoitettavuus, kaukopään palomuurit ja palvelun saatavuus ovat kaikki myöhempiä kysymyksiä, joihin et ole vielä päässyt.

Tämän tapauksen klassinen kokoonpano on isäntäreitti, joka ohjaa yhden LAN-osoitteen fyysiselle yhdyskäytävälle, jotta se ohittaa tunnelin. route add hyväksyy sen, route print näyttää sen, ja ping epäonnistuu silti, koska suodatinajuri on jo päättänyt, ettei paketti saa mennä ulos.

Ennen kuin hyväksyt tämän selityksen, varmista että reitti todella valitaan: tarkista liitännän indeksi ja metriikka ja varmista, ettei merkintä ole vanhentunut uudelleenyhdistämisen jälkeen. Reitti, joka osoittaa liitäntään, jota ei enää ole, tuottaa samankaltaisen virheen paljon vähemmän kiinnostavasta syystä.

Kolme kerrosta, kolme eri omistajaa

Voittaa se kerros, joka toimii viimeisenä, eivätkä nämä kolme ole siinä järjestyksessä, jota useimmat olettavat.

Keskikerros on syy siihen, miksi reitti voi olla samanaikaisesti oikea ja hyödytön. Palveluntarjoajien asiakasohjelmat asentavat suodattimen ja palomuurisäännöt, jotta tunnelin ulkopuolinen liikenne pudotetaan, ja se on sama mekanismi, joka toteuttaa niiden kill switchin. Mikään reititystaulukossa ei osallistu tuohon päätökseen.

Kolmas kerros selittää omituisen raportin, jota saapuu säännöllisesti: paikallinen aliverkko ei ole tavoitettavissa edes sen jälkeen, kun asiakasohjelma on irrotettu. Palvelu on yhä käynnissä ja suodatin yhä asennettuna, joten ei yhdistetty ei ole sama kuin ei suodata. Poistu asiakasohjelmasta sen sijaan, että vain irrotat sen, ennen kuin teet mitään johtopäätöstä.

Mitä kokeilla, järjestyksessä

Aloita poistamalla ominaisuudet, jotka on halpa poistaa ja helppo palauttaa. LAN-löytö, jota joskus kutsutaan näkymättömyydeksi LANissa, estää liikenteen yksityisiin osoitealueisiin, jotta kone pysyy naapureiltaan piilossa. Tulostimet, paikalliset tiedostopalvelimet ja itse reititin katoavat tuon kytkimen taakse. DNS:ää suodattavat uhkasuojausominaisuudet asentavat omat koukkunsa, ja niiden kerrotaan rikkovan paikallista tavoitettavuutta hyvin samalla tavalla.

Kytke molemmat pois, poistu asiakasohjelmasta kokonaan ja testaa sitten osoite. Tämä järjestys erottaa liikennettä estävän ominaisuuden tunnelista, joka reitittää sen väärin, ja se vie kaksi minuuttia eikä koko iltapäivää staattisten reittien parissa.

ping 192.168.1.50
tracert -d 192.168.1.50
route print -4

Jos osoite vastaa, kun ominaisuudet on kytketty pois, kyseessä on käytäntöpäätös eikä vika: valitse, jätätkö ominaisuuden pois, lisäätkö poikkeuksen vai hyväksytkö, että kone pysyy näkymättömänä paikallisessa verkossa.

Käytä asiakasohjelman poikkeusreittiä kapeasti

Kun ominaisuuden on pysyttävä päällä, asiakasohjelman oma jaettu tunnelointi on tuettu ulospääsy. Pidä poikkeus niin pienenä kuin vaatimus sallii, mikä yleensä tarkoittaa yhtä isäntäosoitetta yhdelle palvelimelle tai yhtä etuliitettä yhdelle segmentille. Koko yksityisen alueen kattava sääntö on pysyvä reikä, jonka lisäämistä kukaan ei muista ja jonka poistamiseen kukaan ei uskalla ryhtyä.

Varmista sitten ensin osoitteella ja vasta toiseksi nimellä. Jos osoite vastaa ensimmäisellä hypyllä fyysisellä yhdyskäytävällä, poikkeus toimii. Jos nimi yhä epäonnistuu, olet siirtynyt DNS:ään, koska tunnelin selvittäjä ei tunne paikallista vyöhykettä eikä mikään reititysmuutos opeta sitä sille.

Säilytä reitti tai poikkeus, ei molempia, sekä muistiinpano siitä, kumpi tekee työn. Kaksi päällekkäistä mekanismia piilottaa toisensa, ja seuraava tätä konetta debuggaava henkilö poistaa toisen niistä eikä näe mitään muutosta.

Kun asiakasohjelma on este

Jotkin versiot suodattavat liikennettä tavalla, jota ei staattinen reitti eikä asiakasohjelman poikkeus voi voittaa. Kun se on löydös, rehelliset vaihtoehdot ovat ohitusominaisuuden odottaminen tai yhdistäminen tavallisella OpenVPN-asiakasohjelmalla palveluntarjoajan omaa profiilia käyttäen, mitä alkuperäisen raportin laitetuen vastaus suositteli.

Ymmärrä vaihtokauppa ennen tuon korvauksen tekemistä. Tavallinen profiili käyttäytyy kuin mikä tahansa tavallinen tunneli: se asentaa reittinsä eikä rakenna muuta pinoa uudelleen, joten kapea isäntäreitti käyttäytyy yhä odotetusti. Menetät kaiken, mitä brändätty asiakasohjelma toteutti tunnelin ympärille, mukaan lukien kill switch ja DNS-suodatus, ja ne on joko tarkoituksella toistettava tai hyväksyttävä puuttuvina.

Mitä ikinä valitset, kirjaa, mikä kerros omisti eston. Paketti, joka ei koskaan lähtenyt koneesta, on suodattimen tulos, eikä mikään reititysmuutos korjaa suodatinta.