VPN מחובר אבל כתובת ה-IP לא השתנתה: למה

אתם מתחברים, הלקוח אומר מחובר, ובדיקת הכתובת עדיין מציגה את אותו מספר שהיה לכם קודם. אין שום תקלה במחוון; משהו בין הפרופיל לאפליקציה השאיר את הבקשה הזו מחוץ למנהרה. החליטו באיזה משלושה דברים אתם מסתכלים לפני שאתם נוגעים בהגדרה כלשהי: בדיקה שמעולם לא מדדה את הכתובת הציבורית, מנהרה שמכסה רק חלק מהתעבורה, או נתיב שני שמנצח בהחלטת הניתוב. לכל אחד יש בדיקה אחת שאורכת פחות מדקה.

ודאו מה הבדיקה באמת מדדה

הכתובת שמוצגת בתיבת הדו-שיח של Wi-Fi או Ethernet היא כתובת הממשק בקטע שלכם, ולא הכתובת שדף אינטרנט רואה, ולכן היא יכולה להישאר זהה בזמן שהמנהרה עובדת היטב. המיקום הוא שוב אות נפרד: אזור חשבון שמור או קריאת מיקום גיאוגרפי מורשית לא זזים כשאתם מחליפים יציאה, וגם לא התחברות שכבר מזהה אתכם.

השתמשו בהד של כתובת ציבורית ושאלו כל משפחה בנפרד, כי תוצאת בדיקה עם ערימה כפולה מסתירה את המקרה המעניין:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

הריצו את שניהם לפני ואחרי ההתחברות. אם תשובת IPv4 משתנה לכתובת היציאה והתשובה של IPv6 לא, אין לכם מנהרה שבורה; יש לכם משפחה אחת שנוסעת מחוצה לה. אם שתי התשובות נשארות זהות, הבקשה מעולם לא הגיעה למנהרה וכל השאר כאן חל.

הפרופיל עשוי לכסות רק חלק מהתעבורה

פרופיל מנהרה מפוצלת הוא התשובה הנפוצה, והוא אינו תקלה. OpenVPN שולח הכול דרך המנהרה רק כאשר redirect-gateway נמצא באפשרויות שנדחפות; בלעדיו הלקוח מקבל קומץ נתיבים ספציפיים ונתיב ברירת המחדל שלכם נשאר על הקישור הפיזי. ב-Windows אותו מתג מופיע בתור „השתמש בשער ברירת מחדל ברשת מרוחקת” במאפייני IPv4 של המתאם, וביטול הסימון שלו הוא בחירה מכוונת ששורדת כל התחברות מחדש.

היקף לפי אפליקציה הוא השכבה השנייה. הגדרת VPN לפי אפליקציה ב-Android קובעת אילו אפליקציות נכללות, ולכן מפתח ה-VPN בשורת המצב אינו מוכיח שהדפדפן נמצא בפנים. תוסף דפדפן שמעביר את התעבורה שלו דרך פרוקסי יוצר את התמונה ההפוכה: הדפדפן מציג את כתובת היציאה בעוד לקוח דואר או משחק באותו מחשב עדיין מציג את שלכם. השוו את אותה בקשה בשתי אפליקציות. אם אחת משתנה והשנייה לא, אתם מסתכלים על היקף, לא על מנהרה כושלת.

משפחת כתובות אחת עדיין יכולה לגלוש ישירות

רוב פרופילי ה-VPN נכתבו ל-IPv4, ורבים עדיין כך. ברשת עם ערימה כפולה המנהרה לוקחת 10.8.0.x עבור IPv4 בעוד הקישור הפיזי שומר על כתובת IPv6 גלובלית ועל נתיב ברירת מחדל, ולכן אתר שתומך ב-IPv6 מגיעים אליו ישירות והכתובת שהוא מדווח עליה היא של הספק שלכם. זו דליפה עם מנהרת IPv4 שעובדת, והיא בלתי נראית לבדיקה שמדברת רק IPv4.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

קראו את הממשק בכל תשובה. אם חיפוש ה-IPv6 מציין את התקן ה-Ethernet או ה-Wi-Fi שלכם בעוד חיפוש ה-IPv4 מציין את המנהרה, המדיניות של אותה משפחה חסרה ולא שבורה. כיבוי IPv6 בכל המכשיר מעלים את התסמין ומסתיר את ההחלטה; עדיף לתקן את הכיסוי של הפרופיל או להשבית את המשפחה רק בחיבור הזה, ולרשום איזו מהשתיים בחרתם.

נתיב שני יכול לנצח את החיפוש

פרוקסי מתחרה, לקוח VPN שני, מתאם וירטואלי מקונטיינר או מכלי שולחן עבודה מרוחק, או נתיב נוסף בדיוק לקידומת שאתם בודקים — כולם יכולים לקבל קדימות. נתיב ספציפי תמיד מנצח נתיב ברירת מחדל, ולכן /24 שנותר עבור האתר שאתם מודדים, שמצביע על שער ה-LAN שלכם, ממשיך לשלוח את התעבורה הזו מחוץ למנהרה, לא משנה כמה המנהרה בריאה.

עשו מלאי לפני שאתם משנים משהו, באמצעות פקודות לקריאה בלבד:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

חפשו יותר מנתיב ברירת מחדל אחד עם מדד סביר, ונתיב ספציפי שמכסה את היעד. בדפדפן בדקו גם אם תוסף פרוקסי או הגדרת הפרוקסי של המערכת מחזיקים בחיבור; תוסף יכול לנקוב במעלה הזרם שלו ולהשאיר את היציאה של מערכת ההפעלה ללא שינוי, מה שמייצר כתובת שונה בדפדפן מאשר במסוף באותו מחשב.

מדדו שוב עם בקשה טרייה

התחברו מחדש, ואז חזרו על המדידה מאותה אפליקציה שבדקתם בה בפעם הראשונה, כי דף שמור במטמון או חיבור שנעשה בו שימוש חוזר מדווחים על המצב הישן. עקבו אחר היומן או תצוגת האירועים של הלקוח בזמן ההתחברות: שגיאה בהחלת נתיבים לאחר אימות היא ראיה חזקה יותר מכל מחוון, והיא בדרך כלל נוקבת בשם הנתיב או המתאם שנכשלו.

הפרידו בין שני תוצאים. אם הכתובת משתנה אבל אתר אחד עדיין מסרב לכם, המנהרה עובדת והאתר דוחה כתובת של מרכז נתונים; זו בעיה אחרת עם תשובה אחרת. אם הכתובת לא משתנה לעולם, עברו על ארבע השאלות לפי הסדר: איזו כתובת הבדיקה הדפיסה, איזו משפחה היא הייתה, איזו אפליקציה ביצעה את הבקשה, ואיזה נתיב הבקשה הזו עקבה אחריו. התיעוד של Microsoft על החלטות ניתוב ב-VPN מסביר כיצד לקוח Windows בוחר בין המנהרה למתאם הפיזי כאשר לשניהם יש נתיב.