Zašto emitiranje prestaje raditi nakon uključivanja VPN-a na routeru
Otkrivanje ide preko lokalnog multicast prometa, a televizor sam preuzima medije. Zadana politika može presresti zahtjev lokalne mreže i poslati ga u tunel.
Emitiranje je radilo prije uključivanja VPN-a na routeru i prestaje odmah nakon toga, dok obično pregledavanje na telefonu i dalje radi. Te su dvije činjenice spojive jer emitiranje nije jedna veza. Telefon otkriva i kontrolira prijamnik preko lokalne mreže, a prijamnik zatim preuzima medije preko vlastite veze.
Dva puta koja zatajuju na različite načine
Put upravljanja je lokalan. Telefon pronalazi prijamnik pitajući lokalnu mrežu, a zatim otvara upravljačku vezu na adresu koju je naučio. Ako se prijamnik nikada ne pojavi na popisu, korak otkrivanja zatajio je prije nego što su zatraženi ikakvi mediji.
Put medija nije nužno lokalan. Mnogi prijamnici sami preuzimaju tok, preko vlastite veze i s vlastitim vjerodajnicama, pa ruta telefona ne opisuje rutu prijamnika. Telefon koji naizgled koristi jedan izlaz ne govori ništa o tome kamo ide promet televizora.
Ta podjela razlog je zašto kvar izgleda čudno. Tunel je promijenio tablicu usmjeravanja telefona, a nije promijenio tablicu televizora, pa se simptom koji se pojavi na jednoj strani para mora pratiti na toj strani. Praćenje pogrešnog uređaja uobičajen je razlog zašto se čini da popravak ništa ne radi.
Zašto otkrivanje prvo zatajuje
Otkrivanje obično ide preko link-local multicast prometa. mDNS šalje na 224.0.0.251 na UDP portu 5353, a SSDP šalje na 239.255.255.250 na UDP portu 1900. Oba su po dizajnu ograničena na jednu vezu, zbog čega ih router ne prosljeđuje između segmenata bez pomoći repetitora ili proxyja. Usmjeravani VPN ne proširuje multicast grupu, a ruta politike ne može učiniti da se grupa koja nikada nije napustila vezu pojavi na drugoj.
Dakle prvi kvar nema nikakve veze s enkripcijom. Multicast telefona napušta sučelje na koje je poslan, prijamnik je u segmentu koji ga nikada ne vidi, a popis uređaja vraća se prazan. Prazan popis nije dokaz da je televizor izgubio pristup internetu.
Izolacija proizvodi identičan simptom bez ikakvog VPN-a. Gostujuće mreže i izolacija klijenata na pristupnim točkama namjerno sprječavaju uređaje da razgovaraju jedni s drugima, a uključivanje VPN-a na routeru povrh izoliranog segmenta ništa u tome ne mijenja. Provjerite postavku izolacije prije nego provjerite tunel. To je jeftiniji odgovor i češći.
Raspored segmenata je druga polovica. Drugi router, mesh čvor u drugom načinu rada ili žičani segment iza drugog NAT-a svi smještaju prijamnik tamo gdje promet otkrivanja s telefona ne dopire.
Zašto zadana politika može progutati lokalni zahtjev
Router koji usmjerava sav promet u tunel postavlja zadanu rutu na sučelju tunela. Ako prefiks lokalne mreže nije isključen iz te politike, paket upućen uređaju dva metra dalje sada odgovara zadanoj ruti, i router šalje upravljački zahtjev u tunel umjesto na preklopnik.
| Stage | What carries it | How a router VPN interferes |
|---|---|---|
| Discovery | Link-local multicast on a single segment | Not extended across segments, and not repaired by a route |
| Control connection | Unicast to the receiver address on the LAN | A policy default can capture the LAN destination and tunnel it |
| Media fetch | The receiver's own connection | Unaffected by the phone's route, but affected by the TV's own policy |
| Account authorization | Tokens held by the application | Can fail for reasons unrelated to any route |
Redoslijed pravila odlučuje ishod. Usmjeravanje po politici ocjenjuje pravila po prioritetu, pa se izuzetak za lokalni prefiks mora pojaviti prije pravila koje odabire tablicu tunela. Dodavanje izuzetka nakon pravila tunela nema učinka, zbog čega ispravno podešena konfiguracija ipak može poslati lokalni promet na udaljeni izlaz.
Popravak je uzak: dopustite konkretna lokalna odredišta koja tok emitiranja treba, a ostatak izolacije ostavite na miru. Uklanjanje izolacije klijenata kao prvi korak rješava simptom, ali odbacuje kontrolu koju je mreža trebala imati.
Brza provjera na telefonu utvrđuje koji od dvaju kvarova imate. Ako ruta do prijamnika pokazuje na tunel, problem je u politici. Ako pokazuje na lokalnu mrežu, a otkrivanje i dalje zatajuje, problem je u multicastu ili izolaciji, i nikakva promjena rute neće pomoći.
ip route get 192.168.1.50
ip rule show
avahi-browse -rt _googlecast._tcpTestirajte korak koji se promijenio, ne zemlju
Zabilježena opažanja vrijede više od ponovljenih eksperimenata. Zabilježite pojavljuje li se prijamnik na popisu uređaja, stiže li do njega upravljački zahtjev i počinje li reprodukcija kada se odabere tok. Svaki odgovor uklanja jedan korak iz sumnje.
Zatim testirajte svaki korak izravno umjesto da mijenjate izlazne lokacije. Promjena zemlje VPN-a testira put medija, a korake otkrivanja i upravljanja ostavlja netaknutima, pa može slučajno izgledati kao pomoć, a da vas ničemu ne nauči.
Na strani prijamnika provjerite njegovu vlastitu rutu i stanje računa. Televizor koji preuzima medije preko drugog izlaza nego telefon normalan je dizajn, a kvar je tamo pitanje mrežne politike prijamnika, a ne tunela telefona.
Zapišite rezultat kao jednu rečenicu o tome koji je korak zatajio i što ga je promijenilo. Ta rečenica vrijedi više od tjedan dana mijenjanja zemalja i preživljava sljedeće ažuriranje firmvera.
Emitiranje je dobar testni slučaj za opće pravilo o tunelima. Kada se tunel doda mreži, prvo je pitanje koja odredišta nikada nisu smjela ući u njega. Drugo je koja je od njih politika ipak tiho prihvatila.