VPN on yhdistetty, mutta IP-osoite ei ole muuttunut: miksi

Yhdistät, asiakas sanoo yhdistetty, ja osoitetesti näyttää yhä samaa numeroa kuin ennen. Ilmaisimessa ei ole vikaa; jokin profiilin ja sovelluksen välissä piti pyynnön tunnelin ulkopuolella. Päätä, kumpaa kolmesta asiasta katsot, ennen kuin kosket mihinkään asetukseen: testi, joka ei koskaan mitannut julkista osoitetta, tunneli, joka kattaa vain osan liikenteestä, vai toinen polku, joka voittaa reitityspäätöksen. Jokaisessa on yksi tarkistus, joka kestää alle minuutin.

Vahvista, mitä testi todella mittasi

Wi-Fi- tai Ethernet-valintaikkunassa näkyvä osoite on oman segmenttisi liittymän osoite, ei osoite, jonka verkkosivusto näkee, joten se voi pysyä samana tunnelin toimiessa täydellisesti. Sijainti on taas erillinen signaali: tallennettu tilin alue tai sallittu geopaikannuslukema ei liiku, kun vaihdat ulostuloa, eikä myöskään kirjautuminen, joka jo tunnistaa sinut.

Käytä julkisen osoitteen kaikua ja kysy jokaista perhettä erikseen, koska kaksoispinon testitulos kätkee kiinnostavan tapauksen:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

Aja molemmat ennen yhteyttä ja sen jälkeen. Jos IPv4-vastaus vaihtuu ulostulon osoitteeksi eikä IPv6-vastaus vaihdu, sinulla ei ole rikkinäistä tunnelia; yksi perhe kulkee sen ulkopuolella. Jos molemmat vastaukset pysyvät samoina, pyyntö ei koskaan saavuttanut tunnelia ja loput tästä pätee.

Profiili voi kattaa vain osan liikenteestä

Jaetun tunnelin profiili on tavallinen vastaus, eikä se ole vika. OpenVPN lähettää kaiken tunnelin kautta vain, kun redirect-gateway on välitetyissä valinnoissa; ilman sitä asiakas saa kourallisen tiettyjä reittejä ja oletusreittisi jää fyysiseen linkkiin. Windowsissa sama kytkin näkyy muodossa »Käytä oletusyhdyskäytävää etäverkossa« sovittimen IPv4-ominaisuuksissa, ja sen tyhjentäminen on tietoinen valinta, joka kestää jokaisen uudelleenyhdistämisen.

Sovelluskohtainen laajuus on toinen kerros. Androidin sovelluskohtainen VPN-asetus päättää, mitkä sovellukset ovat mukana, joten tilarivin VPN-avain ei todista, että selain on sen sisällä. Selainlaajennus, joka välittää omaa liikennettään, luo peilikuvan: selain näyttää ulostulon osoitteen, kun taas saman koneen sähköpostiasiakas tai peli näyttää yhä sinun. Vertaa samaa pyyntöä kahdessa sovelluksessa. Jos toinen muuttuu eikä toinen, katsot laajuutta, et epäonnistuvaa tunnelia.

Yksi osoiteperhe voi yhä mennä suoraan

Useimmat VPN-profiilit on kirjoitettu IPv4:lle, ja monet ovat yhä. Kaksoispinoverkossa tunneli ottaa 10.8.0.x IPv4:lle, kun taas fyysinen linkki pitää maailmanlaajuisen IPv6-osoitteen ja oletusreitin, joten IPv6:ta tukeva sivusto saavutetaan suoraan ja sen ilmoittama osoite on palveluntarjoajasi. Se on vuoto toimivan IPv4-tunnelin kanssa, ja se on näkymätön testille, joka puhuu vain IPv4:ää.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Lue liittymä jokaisesta vastauksesta. Jos IPv6-haku nimeää Ethernet- tai Wi-Fi-laitteesi, kun IPv4-haku nimeää tunnelin, kyseisen perheen käytäntö puuttuu eikä ole rikki. IPv6:n sammuttaminen koko laitteesta saa oireen katoamaan ja kätkee päätöksen; korjaa mieluummin profiilin kattavuus tai poista perhe käytöstä vain sillä yhteydellä, ja kirjaa, kumman kahdesta valitsit.

Toinen polku voi voittaa haun

Kilpaileva välityspalvelin, toinen VPN-asiakas, kontin tai etätyöpöytätyökalun virtuaalinen sovitin tai lisäreitti juuri sille etuliitteelle, jota testaat, voivat kaikki saada etusijan. Tietty reitti voittaa aina oletusreitin, joten jäljelle jäänyt /24 mittaamallesi sivustolle, joka osoittaa LAN-yhdyskäytävääsi, lähettää liikenteen yhä tunnelin ulkopuolelle, oli tunneli miten terve tahansa.

Tee luettelo ennen kuin muutat mitään, käyttäen vain lukukomentoja:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

Etsi useampaa kuin yhtä oletusreittiä uskottavalla metriikalla ja tiettyä reittiä, joka kattaa kohteen. Tarkista selaimessa myös, omistaako välityspalvelulaajennus vai järjestelmän välityspalveluasetus yhteyden; laajennus voi nimetä oman ylävirran ja jättää käyttöjärjestelmän ulostulon koskemattomaksi, mikä tuottaa eri osoitteen selaimessa kuin saman koneen päätteessä.

Mittaa uudelleen tuoreella pyynnöllä

Yhdistä uudelleen ja toista sitten mittaus samasta sovelluksesta, jolla testasit ensimmäisellä kerralla, koska välimuistiin tallennettu sivu tai uudelleen käytetty yhteys ilmoittaa vanhan tilan. Seuraa asiakkaan lokia tai tapahtumanäkymää yhteyden aikana: virhe reittien soveltamisessa todennuksen jälkeen on vahvempi todiste kuin mikään ilmaisin, ja se nimeää yleensä reitin tai sovittimen, joka epäonnistui.

Pidä kaksi tulosta erillään. Jos osoite vaihtuu mutta yksi sivusto yhä hylkii sinua, tunneli toimii ja sivusto hylkii datakeskuksen osoitetta; se on eri ongelma eri vastauksella. Jos osoite ei koskaan vaihdu, käy neljä kysymystä järjestyksessä: minkä osoitteen testi tulosti, mikä perhe se oli, mikä sovellus teki pyynnön ja mitä reittiä pyyntö seurasi. Microsoftin dokumentaatio VPN-reitityspäätöksistä selittää, miten Windows-asiakas valitsee tunnelin ja fyysisen sovittimen välillä, kun molemmilla on reitti.