General failure בעת ping לכתובת LAN כשסוכן ה-VPN פועל
Windows אומר שהוא לא מצליח להגיע לשום מתאם בכלל, בעוד שטבלת הניתוב נראית תקינה. החליטו אם החסימה היא בניתוב, בסינון או בסוכן.
מסלול מארח אחד, כתובת אחת, וה-ping נכשל מיד עם General failure במקום שהבקשה תפוג. ההבחנה הזו היא כל האבחון. פקיעת זמן משמעה שהחבילה יצאה ומשהו התעלם ממנה. General failure משמעו ש-Windows לא הצליח למסור את החבילה לשום ממשק מלכתחילה.
לכן כשטבלת הניתוב נראית מושלמת והשגיאה עדיין General failure, החסימה מתרחשת מתחת להחלטת הניתוב, וסוכן הספק הוא מה שפועל שם.
קראו את השגיאה לפני טבלת הניתוב
Windows מחזיר את השגיאה הזו כשהוא לא מוצא ממשק לשלוח דרכו, והוא לא אומר דבר על מה שהיעד היה עושה עם החבילה. נגישות, חומות אש בקצה המרוחק וזמינות השירות הם כולם שאלות המשך שעוד לא הגעתם אליהן.
התצורה הקלאסית למקרה הזה היא מסלול מארח שמפנה כתובת LAN אחת לשער הפיזי כדי שתעקוף את המנהרה. route add מקבל אותו, route print מציג אותו, וה-ping עדיין נכשל, כי מנהל הסינון כבר החליט שאסור לחבילה לצאת.
לפני שאתם מקבלים את ההסבר הזה, ודאו שהמסלול אכן נבחר: בדקו את אינדקס הממשק ואת המדד, וודאו שהרשומה אינה מיושנת לאחר התחברות מחדש. מסלול שמצביע על ממשק שכבר אינו קיים מייצר שגיאה דומה מסיבה הרבה פחות מעניינת.
שלוש שכבות, שלושה בעלים שונים
השכבה שמנצחת היא זו שרצה אחרונה, ושלוש אלה אינן בסדר שרוב האנשים מניחים.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
השכבה האמצעית היא הסיבה לכך שמסלול יכול להיות נכון וחסר תועלת בעת ובעונה אחת. סוכני ספקים מתקינים מסנן וכללי חומת אש כדי שתעבורה מחוץ למנהרה תושלך, וזה אותו מנגנון שמממש את מתג ההריגה שלהם. שום דבר בטבלת הניתוב לא משתתף בהחלטה הזו.
השכבה השלישית מסבירה דיווח מוזר שמגיע באופן קבוע: תת-הרשת המקומית אינה נגישה גם לאחר ניתוק הסוכן. השירות עדיין פועל והמסנן עדיין מותקן, כך שמי שאינו מחובר אינו זהה למי שאינו מסנן. צאו מהסוכן במקום רק לנתק אותו לפני שאתם מסיקים משהו.
מה לנסות, לפי הסדר
התחילו בהסרת התכונות שזולות להסרה וקלות לשחזור. גילוי LAN, שלפעמים נקרא אי-נראות ב-LAN, חוסם תעבורה לטווחי כתובות פרטיים כדי שהמחשב יישאר נסתר משכניו. מדפסות, שרתי קבצים מקומיים והנתב עצמו נעלמים מאחורי המתג הזה. תכונות הגנה מפני איומים שמסננות DNS מתקינות ווים משלהן ונמסר שהן שוברות נגישות מקומית באותה דרך בערך.
כבו את שתיהן, צאו מהסוכן לגמרי, ואז בדקו את הכתובת. הרצף הזה מפריד בין תכונה שחוסמת תעבורה לבין מנהרה שמנתבת אותה לא נכון, והוא לוקח שתי דקות במקום אחר צהריים של מסלולים סטטיים.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4אם הכתובת עונה לאחר שהתכונות כבויות, יש לכם החלטת מדיניות ולא תקלה: בחרו בין להשאיר את התכונה כבויה, להוסיף חריגה, או להשלים עם כך שהמחשב יישאר בלתי נראה ברשת המקומית.
השתמשו בנתיב החריגה של הסוכן, באופן צר
כשתכונה חייבת להישאר פעילה, המינהור המפוצל של הסוכן עצמו הוא המוצא הנתמך. החזיקו את החריגה קטנה ככל שהדרישה מאפשרת, שבדרך כלל משמעו כתובת מארח אחת לשרת אחד או קידומת אחת למקטע אחד. כלל שמכסה טווח פרטי שלם הוא חור קבוע שאיש לא יזכור שהוסיף ואיש לא יעז להוציא.
לאחר מכן אמתו קודם לפי כתובת ואחר כך לפי שם. אם הכתובת עונה עם קפיצה ראשונה בשער הפיזי, החריגה עובדת. אם השם עדיין נכשל, עברתם ל-DNS, כי הפותר של המנהרה לא מכיר את האזור המקומי ושום שינוי ניתוב לא ילמד אותו.
השאירו את המסלול או את החריגה, לא את שניהם, בתוספת הערה איזה מהם עושה את העבודה. שני מנגנונים חופפים מסתירים זה את זה, והאדם הבא שינפה את המחשב הזה יסיר אחד מהם ולא יראה שום שינוי.
כשהסוכן הוא המכשול
חלק מהגרסאות מסננות תעבורה בדרכים שאין מסלול סטטי או חריגת סוכן שיכולים להביס. כשזו הממצא, האפשרויות ההגונות הן להמתין לתכונת העקיפה או להתחבר עם סוכן OpenVPN פשוט באמצעות הפרופיל של הספק עצמו, כפי שהמליצה תשובת התמיכה של היצרן בדיווח המקורי.
הבינו את התמורה לפני ביצוע ההחלפה הזו. פרופיל פשוט מתנהג כמו כל מנהרה רגילה: הוא מתקין את המסלולים שלו ואינו משנה את שאר המחסנית, כך שמסלול מארח צר עדיין מתנהג כפי שאתם מצפים. מה שאתם מאבדים הוא כל מה שהסוכן הממותג יישם סביב המנהרה, כולל מתג ההריגה וסינון DNS, ואלה חייבים להיבנות מחדש בכוונה או להתקבל כלא קיימים.
יהיה אשר יהיה, תעדו איזו שכבה הייתה הבעלים של החסימה. חבילה שלא עזבה את המחשב לעולם היא תוצאה של מסנן, ושום שינוי ניתוב לא יכול לתקן מסנן.