Lokalna mreža nedostupna dok je VPN povezan? Četiri provjere

Tunel se podiže, intranet se pojavljuje, a printer prestaje da odgovara. Ništa na lokalnoj mreži nije otkazalo; klijent je promijenio putanju koju koristi za adrese koje više ne smatra lokalnim. Prođite kroz četiri provjere ispod po redu i zaustavite se kada jedna pokaže konkretnu neusklađenost, jer isti simptom ima četiri česta uzroka i samo se jedan od njih ispravlja uređivanjem VPN-a.

Prvo, pogledajte tablicu ruta koju je klijent instalirao

Otvorite tablicu ruta klijenta dok je VPN povezan. Na Linuxu koristite ip route, na Windowsu route print ili Get-NetRoute, a na macOS-u netstat -rn. Tražite zadanu rutu kroz tunel i ono što se dogodilo s fizičkom zadanom rutom.

Klijent punog tunela često dodaje dvije poluzadane rute, 0.0.0.0/1 i 128.0.0.0/1, umjesto da zamijeni 0.0.0.0/0. Originalna zadana ruta ostaje vidljiva, ali gubi svako traženje, zbog čega tablica može izgledati netaknuto dok se sav promet izvan podmreže pomjera. Ako VPN klijent nudi opciju podijeljenog tunela i politika to dopušta, to je najčišća popravka.

Ako tunel mora ostati zadana ruta, radije fiksirajte lokalnu podmrežu. Na Linuxu ruta navodi fizičko sučelje i pristupnik; na Windowsu dodajte -p da postane trajna i pročitajte broj sučelja iz route print umjesto da ga pogađate:

sudo ip route add 192.168.1.0/24 via 192.168.1.1 dev wlan0
route add -p 192.168.1.0 MASK 255.255.255.0 192.168.1.1 METRIC 1 IF 12

Fiksirana ruta drži samo dok adresa koju navodi ostaje ista. Prijenosnik koji pri svakom spajanju mijenja broj svog Wi-Fi adaptera ponovno će prekršiti pravilo, pa provjerite adresu sučelja prije nego zaključite da popravka nije uspjela.

Drugo, potvrdite da je adresa od početka bila lokalna

Ako odredište leži unutar povezane podmreže, zadana ruta tunela nikada se ne primjenjuje i VPN nije uzrok. Printer na 192.168.1.40 kod klijenta s 192.168.1.0/24 koristi povezanu rutu; ako ta adresa ne radi, gledajte uređaj, switch ili vatrozid na klijentu, a ne VPN.

Slučaj koji zavarava ljude je javna adresa za lokalni poslužitelj. Iz lokalne mreže dostizanje WAN adrese rutera i vraćanje natrag zahtijeva hairpin NAT, a mnogi ruteri ga jednostavno ne implementiraju za prosljeđivanje portova. Testirajte privatnu adresu pored javne. Ako privatna adresa radi, a javna ne, VPN je samo otkrio NAT ograničenje koje je već postojalo.

Ime hosta pogoršava stvar. Ako se lokalno ime sada razrješava u javnu adresu, klijent će nastaviti pokušavati putanjom koja se ne može vratiti. Upotrijebite privatnu adresu za test, a zatim popravite ime umjesto da dodajete još jedno prosljeđivanje porta.

Treće, pogledajte ko sada odgovara na imena

Korporativni rezolver poznaje intranet i obično ništa ne zna o imenu hosta NAS-a, Bonjour imenu printera ili lokalnom aliasu rutera. Kada VPN progura svoje DNS poslužitelje, ta imena prestaju se razrješavati iako su njihove adrese još dosežne. Upitajte ime izravno i usporedite odgovor s adresom za koju znate da je uređaj ima.

Na Linuxu resolvectl query nas.local pokazuje koji je rezolver odgovorio. Na Windowsu nslookup nas.local navodi poslužitelj, a ipconfig /all pokazuje redoslijed rezolvera. Ako lokalni sufiks sada obrađuje korporativni rezolver, ili usmjerite taj sufiks natrag na lokalni rezolver ili upotrijebite IP adresu uređaja.

Otkrivanje je zaseban sloj. mDNS i broadcast ne prelaze rutirani tunel, pa uređaj može biti dosežan po adresi dok njegovo ime ostaje nevidljivo. Reflektor ili lokalni DNS zapis to rješava; ruta ne.

Četvrto, provjerite je li i druga mašina na VPN-u

Kada mašina kojoj želite pristupiti također pokreće VPN klijent, vaša sesija može stići dok njezin odgovor izlazi kroz drugi tunel. To stvara vezu koja se uspostavi i zatim zaglavi, ili RDP i SSH pokušaj koji istekne bez greške na vašoj strani. Provjerite tablicu ruta drugog hosta i njegovu zadanu putanju prije nego okrivite svoj klijent.

Provjerite i adresu na kojoj usluga sluša. Slušatelj vezan samo na adresu tunela prihvaća veze s VPN-a, a odbija ih s lokalne mreže, čak i kada je usmjeravanje savršeno. To je konfiguracija usluge, a ne mrežna putanja, i česta je na upravljačkim sučeljima koja su zaključana na adresu VPN-a.

Držite upravljačku putanju koja ne ovisi o tunelu: statičnu rutu koja navodi vašu izvornu mrežu, drugo sučelje spojeno na lokalnu mrežu ili konzolu koja potpuno zaobilazi tunel. Dizajnirati tu putanju nakon što sesija padne mnogo je teže nego dodati je prije sljedećeg spajanja.

Primijenite popravku koja odgovara provjeri koja nije uspjela

Ako je tablica ruta pokazala poluzadano preuzimanje, odaberite podijeljeni tunel kada politika dopušta i fiksiranu lokalnu rutu kada ne dopušta. Ako se adresa pokazala javnom, prebacite test i ime na privatnu adresu. Ako je rezolver promijenio ruke, ograničite lokalni sufiks ili upotrijebite adresu. Ako je drugi host u tunelu, popravite njegovu povratnu putanju ili vezanje slušatelja.

Promijenite jednu stvar, zatim ponovite istu provjeru. Ruta dodana za pogrešnu podmrežu, sufiks rezolvera s tipfelerom i fiksirana ruta na sučelju koje mijenja broj svi izgledaju kao izvorni kvar. Ponavljanje je ono što razdvaja popravku od slučajnosti.

Zapišite rutu, adresu i rezolver koji su radili dok je VPN bio povezan. Sljedeće ponovno spajanje promijenit će barem jedno od toga, a bilješka pretvara sljedeći prekid u kratku usporedbu umjesto novog istraživanja.