VPN ferbûn mar it IP-adres is net feroare: wêrom

Jo meitsje ferbining, de klient seit ferbûn, en de adrestest lit noch itselde nûmer sjen dat jo earder hiene. Oan 'e yndikator is neat mis; eat tusken it profyl en de applikaasje hold dat fersyk bûten de tunnel. Beslis hokker fan trije dingen jo besjogge foardat jo hokker ynstelling dan ek oanreitsje: in test dy't nea it iepenbiere adres mitten hat, in tunnel dy't mar in part fan it ferkear dekt, of in twadde paad dat de routingbeslissing wint. Elk hat ien kontrôle dy't minder as in minút duorret.

Befêstigje wat de test eins metten hat

It adres dat yn 'e Wi-Fi- of Ethernet-dialoochsjen lit is it ynterface-adres op jo eigen segmint, net it adres dat in webside sjocht, dat it kin itselde bliuwe wylst de tunnel perfekt wurket. Lokaasje is wer in apart sinjaal: in bewarre akkountregio of in tastiene geolokaasje-lêzing beweecht net as jo de útgong feroarje, en in oanmelding dy't jo al kennen ek net.

Brûk in wjerklank fan it iepenbiere adres en freegje elke famylje apart, want in testresultaat mei dûbele stapel ferberget it nijsgjirrige gefal:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

Rin beide foar en nei it ferbinen. As it IPv4-antwurd feroaret nei it útgongadres en it IPv6-antwurd net, hawwe jo gjin brutsen tunnel; jo hawwe ien famylje dy't derbûten reizget. As beide antwurden itselde bliuwe, hat it fersyk de tunnel hielendal net berikt en jildt de rest hjirfan.

It profyl kin mar in part fan it ferkear dekke

In profyl mei split-tunnel is it gewoane antwurd, en it is gjin defekt. OpenVPN stjoert alles troch de tunnel allinnich as redirect-gateway yn 'e trochstjoerde opsjes sit; sûnder dat krijt de klient in hantsjefol spesifike rûtes en bliuwt jo standertrûte op 'e fysike keppeling. Op Windows ferskynt deselde skeakel as „Standertgateway brûke op it ôfstânnetwurk” yn 'e IPv4-eigenskippen fan 'e adapter, en it útfinkje is in bewuste kar dy't elke werferbining oerlibbet.

Berik per applikaasje is de twadde laach. De per-app-VPN-ynstelling fan Android beslút hokker apps opnommen binne, dat de VPN-kaai yn 'e statusbalke bewiist net dat de browser der yn sit. In browserútwreiding dy't syn eigen ferkear proxyt makket it spegelbyld: de browser lit it útgongadres sjen wylst in mailklient of spultsje op deselde masine noch it joene lit sjen. Ferlykje itselde fersyk yn twa applikaasjes. As ien feroaret en de oare net, besjogge jo berik, net in mislearjende tunnel.

Ien adresfamylje kin noch altyd direkt gean

De measte VPN-profylen binne skreaun foar IPv4, en in protte binne dat noch. Op in netwurk mei dûbele stapel nimt de tunnel 10.8.0.x foar IPv4 wylst de fysike keppeling in globale IPv6-adres en in standertrûte hâldt, dat in side mei IPv6-stipe wurdt direkt berikt en it adres dat it rapportearret is dat fan jo provider. Dat is in lek mei in wurkjende IPv4-tunnel, en it is ûnsichtber foar in test dy't allinnich IPv4 praat.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Lês it ynterface yn elk antwurd. As de IPv6-syktocht jo Ethernet- of Wi-Fi-apparaat neamt wylst de IPv4-syktocht de tunnel neamt, ûntbrekt it belied foar dy famylje ynstee fan brutsen te wêzen. IPv6 apparaatbreed útsette lit it symptoom ferdwine en ferberget de beslissing; reparearje leaver de dekking fan it profyl of skeakelje de famylje allinnich op dy iene ferbining út, en skriuw op hokker fan 'e twa jo keazen hawwe.

In twadde paad kin de syktocht winne

In konkurrearjende proxy, in twadde VPN-klient, in firtuele adapter fan in kontener of remote-desktop-ark, of in ekstra rûte foar it krekte foarheaksel dat jo testen, kinne allegear foarrang krije. In spesifike rûte ferslacht altyd in standertrûte, dat in oerbleaune /24 foar de side dy't jo mjitte, wiist nei jo LAN-gateway, bliuwt dat ferkear bûten de tunnel stjoeren hoe sûn de tunnel ek is.

Meitsje in ynventaris foardat jo eat feroarje, mei allinnich-lêzen-opdrachten:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

Sykje nei mear as ien standertrûte mei in leauweardige metryk, en nei in spesifike rûte dy't de bestimming dekt. Yn in browser, kontrolearje ek oft in proxy-útwreiding of de proxy-ynstelling fan it systeem de ferbining besit; in útwreiding kin syn eigen upstream neame en de útgong fan it bestjoeringssysteem ûnoantaat litte, wat in oar adres yn 'e browser jout as yn in terminal op deselde masine.

Mjit opnij mei in fris fersyk

Ferbyn opnij en werhelje dan de mjitting fan deselde applikaasje dêr't jo de earste kear mei testen, want in cache-side of in werbrûkte ferbining rapportearret de âlde tastân. Hâld it log of de barrenwerjefte fan 'e klient by yn 'e ferbining: in flater by it tapassen fan rûtes nei autentikaasje is sterker bewiis as hokker yndikator dan ek, en it neamt meastentiids de rûte of de adapter dy't mislearre.

Hâld twa útkomsten apart. As it adres feroaret mar ien side wegeret jo noch, wurket de tunnel en wegeret de side in datacenteradres; dat is in oar probleem mei in oar antwurd. As it adres nea feroaret, wurkje de fjouwer fragen yn folchoarder troch: hokker adres printe de test, hokker famylje wie it, hokker applikaasje die it fersyk, en hokker rûte folge dat fersyk. De Microsoft-dokumintaasje oer VPN-routingbeslissingen ferklearret hoe't in Windows-klient kiest tusken de tunnel en de fysike adapter as beide in rûte hawwe.