Partager le VPN de Windows avec une console filaire : passerelle PC ou routeur

Les consoles qui ne peuvent pas exécuter le client VPN peuvent parfois emprunter le tunnel d’un PC Windows, et ce montage échoue plus souvent qu’il ne réussit, pour des raisons sans rapport avec le VPN. Le PC doit devenir une passerelle : une interface dédiée vers l’aval, de l’adressage pour la console, une translation, et un client acceptant de transmettre les paquets d’un autre appareil. Un tunnel qui fonctionne pour les applications du PC ne prouve rien de tout cela.

La comparaison qui vaut la peine d’être faite oppose ce montage à un routeur qui possède le tunnel pour tout le réseau. Ils diffèrent par la maintenance, par le comportement en cas de panne et par la part de la politique que vous pouvez voir d’un seul coup d’œil.

Ce que la passerelle PC doit faire

Une passerelle a besoin d’une interface tournée vers la console, d’une plage d’adresses pour ce segment et d’une règle de translation qui réécrit le trafic de la console vers le tunnel. Elle a aussi besoin que le client transmette des paquets qu’il n’a pas émis, ce qui est un réglage différent de l’acceptation de son propre trafic. La résolution de noms doit suivre le même chemin, sinon la console résout un service de jeu par une route puis se connecte par une autre. Chacun de ces points est une étape de configuration distincte, avec son propre mode de défaillance.

console -> dedicated ethernet -> windows sharing / nat
        -> selected tunnel interface -> internet

Le partage de connexion Internet de Windows fournit exactement cette forme, avec une connexion désignée comme publique et une autre comme privée. Cette désignation compte plus qu’on ne l’imagine, car l’interface qui rejoint le routeur du foyer n’est pas automatiquement celle qui porte le tunnel.

Les comparaisons qui tranchent

Trois différences séparent une passerelle PC d’une passerelle routeur, et ce sont celles qui apparaissent des mois plus tard. Le tableau les met côte à côte.

Le lien avec la session est la première différence, et celle qui surprend. Un PC qui se met en veille, se déconnecte ou installe une mise à jour cesse d’être une passerelle, et la console perd son chemin sans qu’aucune configuration change. La visibilité de la politique est la deuxième, car les règles du client et la couche de partage vivent à deux endroits et ni l’une ni l’autre ne décrit l’autre. Le service d’adresses est la troisième, et il explique une console qui détient une adresse tout en n’atteignant rien.

Rien de tout cela ne rend le montage PC incorrect. Cela en fait une conception temporaire, ce qui est acceptable lorsque le besoin est temporaire.

Le trafic transmis est une autre catégorie

Un client de bureau peut traiter les paquets transmis pour un autre appareil différemment des siens. Une liste d’inclusion par application couvre les processus du PC et ne dit rien du trafic d’une console, tandis qu’un coupe-circuit protégeant les applications locales peut ne pas protéger du tout le chemin transmis. Vérifiez le comportement documenté du client pour le trafic transmis au lieu de le déduire d’un chargement de page réussi sur le PC. Là où ce comportement est flou, tout le montage repose sur une supposition.

L’adressage de la console doit venir du montage de partage, jamais de la copie de l’adresse tunnel du PC. La copie produit une adresse en double, une passerelle erronée et un résolveur pointant vers quelque chose que la console ne peut pas atteindre. Laissez le service en aval distribuer la configuration, puis vérifiez ce que la console a réellement reçu.

Vérifiez le trafic de la console, pas celui du PC

Le seul test significatif observe le chemin de la console. Sur le PC, les commandes ci-dessous montrent la disposition des interfaces, la table des voisins sur la liaison aval et si la console répond sur un port de service. Exécutez-les pendant qu’une session de jeu est réellement connectée.

Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4Address
Get-NetAdapter | Select-Object Name, Status, LinkSpeed
arp -a | findstr 192.168.137.
Test-NetConnection 192.168.137.10 -Port 3074

Une interface sans adresse du côté aval signifie que le partage n’a jamais démarré, ce qui est un problème différent d’une console qui ne peut pas se connecter. Une entrée pour la console dans la table des voisins prouve que la liaison et l’adressage sont vivants. Un test de port qui échoue ensuite désigne la transmission ou le traitement du trafic transmis par le client, pas le câble. Comparez l’adresse de sortie de la console à celle du PC avant de conclure que le tunnel est le chemin utilisé.

Consignez le montage avec ses noms d’interfaces et ses plages d’adresses. Lorsqu’il casse après la prochaine mise à jour, cette page vous épargne une heure de redécouverte.