Compartes unha conexión de Windows? A ruta da VPN cambia debaixo

Un portátil comparte o seu Wi-Fi, o host navega polo túnel sen queixarse e a tableta dese compartido non chega a nada. O host deixou de ser só un cliente no momento en que se activou o compartido: agora é un enrutador, e os paquetes reenviados atopan un conxunto de regras distinto. O que funciona no host non di nada sobre o dispositivo que hai detrás. Executa as comprobacións desde o cliente descendente e a distinción deixa de ser teórica.

O éxito do host non demostra nada

O compartido de conexión asigna catro tarefas a unha máquina: asignación de enderezos, reenvío, tradución e filtrado. Un cliente de VPN que protexe o tráfico xerado localmente pode considerar o tráfico reenviado fóra do seu ámbito, ou bloquearlo a propósito como fuga. Ningún dos dous comportamentos é un erro, e ningún está escrito na pantalla onde se activou o compartido. Só a proba descendente che di cal tes.

Moitos clientes reenvían só o tráfico do host e nada máis, así que revisa a sección de compartido na documentación do cliente en lugar de confiar en que o túnel enrutará pola tableta. O síntoma visible é un dispositivo que se asocia, recibe un enderezo e logo falla na primeira solicitude. Un cliente que se nega a reenviar segue parecendo perfectamente san no host.

Que adaptador se comparte e cal serve os clientes

Anota ambos os adaptadores, porque levan enderezos distintos e filtros distintos, e un cambio no equivocado explica moitos resultados confusos. O host do compartido adoita tomar un enderezo fixo no lado descendente e executa alí un pequeno servizo DHCP e DNS. Windows mantén o reenvío por adaptador e non de forma global, así que o estado debe lerse interface por interface.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Se o reenvío aparece como Desactivado no adaptador compartido, nada descendente funcionará faga o que faga o túnel. Actívao só nunha máquina cuxa política lle permita enrutar para outros dispositivos.

Reenvío, tradución e filtrado

Un paquete reenviado ten que chegar ao túnel, traducirse a algo que acepte o lado remoto e volver pola mesma tradución. Calquera desas tres etapas pode romper, e cada rotura produce o mesmo tempo de espera do navegador. Unha captura de paquetes, unha consulta de rutas e un rexistro do lado remoto valen máis que outra revisión do diálogo de compartido. Que etapa falla é o que che di de quen é o cambio necesario.

O lado remoto tamén pode necesitar unha ruta de retorno para a subrede compartida, un rango que o servidor VPN nunca viu. Onde o cliente traduce, o servidor só ve o enderezo do túnel e non fai falta ruta de retorno. Onde non traduce, quen posúe a pasarela ten que engadir esa ruta a propósito, e iso é unha solicitude de cambio, non un axuste do cliente.

Fai as comprobacións no cliente, non no host

Fai cada comprobación no cliente que falla, non no host que funciona. Mantén o enderezo de saída, a resposta do resolutor e a proba da aplicación na mesma sesión, porque os resultados recollidos cunha hora de diferenza non din nada sobre como se combinan as tres.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Compara o enderezo de saída co do propio host e anota se coinciden. Unha resposta distinta significa que a ruta reenviada evita o túnel, o que é unha cuestión de política cun responsable e non unha solución rápida. Unha resposta coincidente xunto a unha aplicación que falla traslada o traballo á resolución de nomes ou á política do lado remoto. Tampouco te deteñas no resultado de IPv4: un compartido pode pasar todas as comprobacións de IPv4 mentres IPv6 sae por outra saída, así que repite as comprobacións de nomes e de saída co rexistro AAAA e a proba de conexión detallada.

Nunha máquina xestionada, confirma que o compartido está permitido, porque expor o acceso a outro dispositivo é unha decisión administrativa e non un interruptor de comodidade. Despois de calquera cambio admitido, repite as comprobacións ao reconectar e de novo durante unha interrupción. Que o host se reconecte limpiamente non restaura unha ruta reenviada que o cliente nunca admitiu.