למה השידור מפסיק לעבוד אחרי שמפעילים VPN בנתב
הגילוי עובר ב-multicast מקומי בעוד הטלוויזיה מורידה את המדיה בעצמה. מדיניות ברירת מחדל יכולה לתפוס את הבקשה ברשת המקומית ולשלוח אותה למנהרה.
השידור עבד לפני הפעלת ה-VPN בנתב ונכשל מיד אחריה, בעוד גלישה רגילה בטלפון ממשיכה לעבוד. שתי העובדות מתיישבות זו עם זו, כי השידור אינו חיבור אחד. הטלפון מגלה ושולט במקלט דרך הרשת המקומית, ואחר כך המקלט מוריד את המדיה דרך החיבור שלו.
שני מסלולים שנכשלים בדרכים שונות
מסלול השליטה מקומי. טלפון מוצא מקלט על ידי שאילת הרשת המקומית, ואחר כך פותח חיבור שליטה לכתובת שלמד. אם המקלט לא מופיע ברשימה אף פעם, שלב הגילוי נכשל לפני שנדרשה מדיה כלשהי.
מסלול המדיה אינו בהכרח מקומי. מקלטים רבים מורידים את הזרם בעצמם, דרך החיבור שלהם ועם פרטי הגישה שלהם, ולכן המסלול של הטלפון אינו מתאר את המסלול של המקלט. טלפון שנראה כאילו הוא משתמש ביציאה אחת לא אומר דבר על היכן עוברת התעבורה של הטלוויזיה.
הפיצול הזה הוא הסיבה שהתקלה נראית מוזרה. המנהרה שינתה את טבלת הניתוב של הטלפון ולא שינתה את זו של הטלוויזיה, ולכן סימפטום שמופיע בצד אחד של הזוג חייב להיחקר באותו צד. מעקב אחרי ההתקן הלא נכון הוא הסיבה הרגילה לכך שתיקון נראה כאילו אינו עושה דבר.
למה הגילוי נשבר ראשון
הגילוי עובר בדרך כלל ב-multicast מקומי לקישור. mDNS שולח אל 224.0.0.251 בפורט UDP 5353, ו-SSDP שולח אל 239.255.255.250 בפורט UDP 1900. שניהם מוגבלים לקישור אחד לפי התכנון, ולכן נתב אינו מעביר אותם בין מקטעים בלי עזרה של משחזר או פרוקסי. VPN מנותב אינו מרחיב קבוצת multicast, ומסלול מדיניות אינו יכול לגרום לקבוצה שמעולם לא עזבה את הקישור להופיע באחר.
לכן לתקלה הראשונה אין שום קשר להצפנה. ה-multicast של הטלפון עוזב את הממשק שנשלח בו, המקלט נמצא במקטע שלעולם אינו רואה אותו, ורשימת ההתקנים חוזרת ריקה. רשימה ריקה אינה הוכחה שהטלוויזיה איבדה גישה לאינטרנט.
בידוד יוצר סימפטום זהה בלי שום VPN. רשתות אורחים ובידוד לקוחות בנקודות גישה מונעים בכוונה מהתקנים לדבר זה עם זה, והפעלת VPN בנתב מעל מקטע מבודד אינה משנה בכך דבר. בדקו את הגדרת הבידוד לפני שתבדקו את המנהרה. זו התשובה הזולה יותר והנפוצה יותר.
פריסת המקטעים היא החצי השני. נתב שני, צומת mesh במצב אחר או מקטע קווי מאחורי NAT נוסף, כולם מציבים את המקלט במקום שתעבורת הגילוי של הטלפון אינה מגיעה אליו.
למה מדיניות ברירת מחדל יכולה לבלוע בקשה מקומית
נתב שמנתב את כל התעבורה למנהרה מתקין מסלול ברירת מחדל בממשק המנהרה. אם קידומת הרשת המקומית אינה מוחרגת מאותה מדיניות, חבילה הממוענת להתקן במרחק שני מטרים מתאימה כעת לברירת המחדל, והנתב שולח את בקשת השליטה למנהרה במקום למתג.
| Stage | What carries it | How a router VPN interferes |
|---|---|---|
| Discovery | Link-local multicast on a single segment | Not extended across segments, and not repaired by a route |
| Control connection | Unicast to the receiver address on the LAN | A policy default can capture the LAN destination and tunnel it |
| Media fetch | The receiver's own connection | Unaffected by the phone's route, but affected by the TV's own policy |
| Account authorization | Tokens held by the application | Can fail for reasons unrelated to any route |
סדר הכללים קובע את התוצאה. ניתוב לפי מדיניות מעריך כללים לפי סדר עדיפות, ולכן חריגה לקידומת המקומית חייבת להופיע לפני הכלל שבוחר בטבלת המנהרה. הוספת החריגה אחרי כלל המנהרה אינה משפיעה, ולכן תצורה שנראית נכונה עדיין יכולה לשלוח תעבורה מקומית ליציאה מרוחקת.
התיקון צר: אפשרו את היעדים המקומיים המסוימים שזרימת השידור צריכה, והשאירו את שאר הבידוד במקומו. הסרת בידוד הלקוחות כצעד ראשון מתקנת את הסימפטום אך משליכה בקרה שהרשת תוכננה להחזיק בה.
בדיקה מהירה בטלפון תכריע איזו משתי התקלות יש לכם. אם המסלול אל המקלט מצביע על המנהרה, הבעיה היא המדיניות. אם הוא מצביע על הרשת המקומית והגילוי עדיין נכשל, הבעיה היא multicast או בידוד, ושום שינוי מסלול לא יעזור.
ip route get 192.168.1.50
ip rule show
avahi-browse -rt _googlecast._tcpבדקו את השלב שהשתנה, לא את המדינה
תצפיות מתועדות עדיפות על ניסויים חוזרים. רשמו אם המקלט מופיע ברשימת ההתקנים, אם בקשת שליטה מגיעה אליו ואם ההפעלה מתחילה לאחר בחירת זרם. כל תשובה מסירה שלב אחד מהחשד.
אחר כך בדקו כל שלב ישירות במקום להחליף מיקומי יציאה. החלפת מדינת VPN בודקת את מסלול המדיה ומשאירה את שלבי הגילוי והשליטה ללא שינוי, ולכן היא יכולה להיראות כעוזרת במקרה בלי ללמד אתכם דבר.
בצד המקלט, בדקו את המסלול שלו ואת מצב החשבון שלו. טלוויזיה שמורידה מדיה דרך יציאה שונה מזו של הטלפון היא תכנון רגיל, ותקלה שם היא שאלה על מדיניות הרשת של המקלט ולא על המנהרה של הטלפון.
רשמו את התוצאה כמשפט אחד על איזה שלב נשבר ומה שינה אותו. המשפט הזה שווה יותר משבוע של החלפת מדינות, והוא שורד את עדכון הקושחה הבא.
השידור הוא מקרה בדיקה טוב לכלל כללי על מנהרות. כשמוסיפים מנהרה לרשת, השאלה הראשונה היא אילו יעדים מעולם לא היו אמורים להיכנס אליה. השנייה היא אילו מהם המדיניות בכל זאת קיבלה בשקט.