Les appareils locaux disparaissent sur le VPN : trois pannes distinctes

Une imprimante qui disparaît de la liste des appareils à l’activation du VPN peut encore répondre à son adresse. La liste est remplie par la découverte, le nom peut venir d’un résolveur et le service lui-même est atteint par une socket, et les trois peuvent échouer indépendamment. Comparer ce qui fonctionne à chaque couche vous indique quelle fonction changer. Activer d’abord toutes les exceptions d’accès local supprime les preuves.

C’est la différence entre un appareil qui manque et un appareil qui n’est simplement pas annoncé.

La découverte, les noms et la joignabilité sont trois couches

Les protocoles de découverte reposent sur le multicast ou le broadcast, et ceux-ci ne traversent pas un tunnel routé par défaut, ce qui explique qu’un appareil puisse disparaître d’une liste tout en restant parfaitement joignable. La résolution de noms est une deuxième couche : un VPN peut changer le résolveur, et un nom auquel le réseau local répondait auparavant peut désormais être résolu ailleurs ou pas du tout. La joignabilité est la troisième : une route, une règle de pare-feu et un service à l’écoute. Chaque couche peut casser alors que les deux autres vont bien.

Testez-les du bas vers le haut. Une seule vérification de joignabilité rend la séparation évidente : nc -vz 192.168.1.20 443 réussit, ce qui signifie que le chemin et le service vont bien et que le nom est le suspect, ou bien échoue, ce qui déplace la question vers le routage et la stratégie. Demandez ensuite le nom. La première panne que vous rencontrez est la couche sur laquelle travailler, et les couches au-dessus ne peuvent pas la compenser.

Demandez d’abord l’adresse, puis le nom d’hôte

Si l’adresse répond et que le nom non, le problème est la résolution et non le routage. Un client VPN qui installe son propre résolveur peut changer quel serveur répond aux noms locaux, et celui qui ne transfère pas le domaine local laisse le nom sans réponse. Si l’adresse échoue aussi, le problème est le chemin : une route par défaut via le tunnel, un blocage du trafic local côté client ou une règle de pare-feu qui n’autorise que l’interface physique.

Si les deux fonctionnent mais que la découverte automatique non, l’appareil ne s’annonce simplement pas à travers le tunnel. C’est le comportement attendu pour une découverte fondée sur le multicast, pas un échec de configuration. Ajouter l’appareil par adresse est généralement la solution honnête.

Ce que le commutateur d’accès local change réellement

Un réglage d’accès au réseau local permet généralement au trafic vers le sous-réseau directement connecté de contourner le tunnel, et il fait des choses différentes selon les clients. Il ne configure pas le transfert vers un bureau distant et ne change ni le pare-feu de l’hôte ni les autorisations propres à l’application. Il ne rend pas non plus un sous-réseau qui se chevauche dépourvu d’ambiguïté. Lisez la documentation du client sur ce que couvre le réglage avant de l’activer largement.

Une exception étroite pour un seul appareil de confiance vaut mieux qu’une autorisation générale, surtout sur un réseau invité où le blocage peut être délibéré. Une adresse privée n’est pas un contrôle d’identité, donc le choix dépend du réseau sur lequel vous êtes.

Quand les réseaux se chevauchent

Si le réseau domestique et le réseau distant utilisent la même plage, le routage devient ambigu et ni le commutateur d’accès local ni une exception ne le résolvent. Deux services à la même adresse ne peuvent pas être atteints tous les deux, et lequel l’emporte dépend de la spécificité de la route et de l’ordre, pas de l’intention. La solution est la planification d’adresses, pas un réglage du client. Vérifiez les plages avant de passer une soirée sur l’imprimante.

Pour un appareil derrière la passerelle distante, l’opérateur possède le transfert, la stratégie de l’hôte et la route de retour. Une case à cocher locale dans le client ne peut fournir aucune d’elles, et la demander est plus productif que d’expérimenter avec des commutateurs.

Notez quelle couche a échoué et ce que vous avez changé. Le prochain appareil échouera à l’un des trois mêmes endroits.