Erro xeral ao facer ping a unha dirección LAN co cliente VPN activo
Windows di que non pode alcanzar ningún adaptador mentres a táboa de rutas parece correcta. Decida se o bloqueo é de encamiñamento, de filtrado ou do cliente.
Unha ruta de host, unha dirección, e o ping falla de inmediato con General failure en lugar de que a solicitude esgote o tempo. Esa distinción é todo o diagnóstico. Un tempo esgotado significa que o paquete saíu e que algo o ignorou. Erro xeral significa que Windows non puido entregar o paquete a ningunha interface desde o principio.
Así que cando a táboa de rutas parece perfecta e o erro segue sendo Erro xeral, o bloqueo ocorre por baixo da decisión de encamiñamento, e o cliente do provedor é o que opera alí.
Lea o erro antes ca a táboa de rutas
Windows devolve ese erro cando non atopa unha interface pola que enviar, e non di nada sobre o que o destino faría co paquete. O alcance, as devasas do extremo remoto e a dispoñibilidade do servizo son todas preguntas posteriores ás que aínda non chegou.
A configuración clásica para este caso é unha ruta de host que apunta unha soa dirección LAN á porta de enlace física para que evite o túnel. route add acéptaa, route print móstrea, e o ping segue fallando, porque o controlador de filtrado xa decidiu que o paquete non pode saír.
Antes de aceptar esa explicación, confirme que a ruta se está seleccionando de verdade: revise o índice de interface e a métrica, e asegúrese de que a entrada non estea obsoleta tras unha reconexión. Unha ruta que apunta a unha interface que xa non existe produce un erro similar por un motivo moito menos interesante.
Tres capas, tres propietarios distintos
Gaña a capa que se executa ao final, e estas tres non están na orde que a maioría supón.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
A capa intermedia é a razón pola que unha ruta pode ser correcta e inútil ao mesmo tempo. Os clientes dos provedores instalan un filtro e regras de devasa para que o tráfico fóra do túnel se descarte, que é o mesmo mecanismo que implementa o seu interruptor de emerxencia. Nada da táboa de rutas participa nesa decisión.
A terceira capa explica un informe estraño que chega con regularidade: a subrede local non é alcanzable mesmo despois de desconectar o cliente. O servizo segue executándose e o filtro segue instalado, así que non estar conectado non é o mesmo que non filtrar. Saia do cliente en lugar de só desconectalo antes de concluír nada.
Que probar, por orde
Comece por quitar as funcións que son baratas de quitar e fáciles de restaurar. O descubrimento de LAN, ás veces chamado invisibilidade na LAN, bloquea o tráfico cara a rangos de enderezos privados para que a máquina siga oculta aos seus veciños. As impresoras, os servidores de ficheiros locais e o propio router desaparecen tras ese interruptor. As funcións de protección contra ameazas que filtran DNS instalan os seus propios ganchos e infórmase de que rompen o alcance local de forma moi parecida.
Desactive ambas, saia do cliente por completo e despois probe a dirección. Esa secuencia separa unha función que bloquea o tráfico dun túnel que o encamiña mal, e tarda dous minutos en lugar dunha tarde de rutas estáticas.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4Se a dirección responde unha vez desactivadas as funcións, ten unha decisión de política e non unha avaría: elixa entre deixar a función desactivada, engadir unha excepción ou aceptar que a máquina siga invisible na rede local.
Use a excepción do cliente, de forma estreita
Cando unha función debe permanecer activa, o túnel dividido propio do cliente é a saída admitida. Manteña a excepción tan pequena como permita o requisito, o que normalmente significa un enderezo de host para un servidor ou un prefixo para un só segmento. Unha regra que cobre todo un rango privado é un burato permanente que ninguén recordará ter engadido e que ninguén ousará quitar.
Logo verifique primeiro por enderezo e despois por nome. Se o enderezo responde cun primeiro salto na porta de enlace física, a excepción funciona. Se o nome segue fallando, pasou a DNS, porque o resolutor do túnel non coñece a zona local e ningún cambio de encamiñamento llo ensinará.
Conserve a ruta ou a excepción, non ambas, máis unha nota sobre cal fai o traballo. Dous mecanismos superpostos ocúltanse entre si, e a próxima persoa que depure esta máquina eliminará un e non verá ningún cambio.
Cando o cliente é o obstáculo
Algunhas compilacións filtran o tráfico de formas que nin unha ruta estática nin unha excepción do cliente poden vencer. Cando ese é o achado, as opcións honestas son agardar a función de omisión ou conectarse cun cliente OpenVPN sinxelo usando o perfil do propio provedor, que é o que recomendaba a resposta do soporte do fabricante no informe orixinal.
Entenda o intercambio antes de facer esa substitución. Un perfil sinxelo compórtase como calquera túnel corrente: instala as súas rutas e non reestrutura o resto da pila, así que unha ruta de host estreita segue comportándose como espera. O que perde é todo o que o cliente de marca implementou arredor do túnel, incluídos o interruptor de emerxencia e o filtrado de DNS, e iso hai que reproducilo a propósito ou aceptalo como ausente.
Elixa o que elixa, anote que capa era a dona do bloqueo. Un paquete que nunca saíu da máquina é un resultado do filtro, e ningún cambio de encamiñamento pode reparar un filtro.