Megoszt egy Windows-kapcsolatot? A VPN-útvonal alatta megváltozik

Egy laptop megosztja a Wi-Fi-jét, a gazdagép panasz nélkül böngészik az alagúton, a megosztáson lévő táblagép pedig semmit nem ér el. A gazdagép abban a pillanatban szűnt meg csak kliens lenni, amikor a megosztást bekapcsolták: most router, és a továbbított csomagok más szabálykészlettel találkoznak. Ami a gazdagépen működik, semmit nem mond a mögötte lévő eszközről. Futtassa az ellenőrzéseket az alsóbb kliensről, és a megkülönböztetés megszűnik elméletinek lenni.

A gazdagép sikere semmit nem bizonyít

A kapcsolatmegosztás négy feladatot ad egy gépnek: címkiosztást, továbbítást, fordítást és szűrést. Egy VPN-kliens, amely a helyben keletkező forgalmat védi, a továbbított forgalmat a hatókörén kívülinek tekintheti, vagy szándékosan szivárgásként blokkolhatja. Egyik viselkedés sem hiba, és egyik sincs ráírva arra a képernyőre, ahol a megosztást bekapcsolták. Csak az alsóbb teszt mondja meg, melyik van Önnél.

Sok kliens csak a gazdagép forgalmát továbbítja és semmi mást, ezért nézze meg a megosztásról szóló részt a kliens dokumentációjában, ahelyett hogy bízna abban, hogy az alagút a táblagép helyett is routol. A látható tünet egy eszköz, amely csatlakozik, címet kap, majd az első kérésnél elbukik. Az a kliens, amely megtagadja a továbbítást, a gazdagépen még mindig teljesen egészségesnek látszik.

Melyik adapter van megosztva, melyik szolgálja ki a klienseket

Jegyezze fel mindkét adaptert, mert eltérő címeket és eltérő szűrőket hordoznak, és a rosszon végrehajtott változtatás sok zavaros eredményt megmagyaráz. A megosztó gazdagép általában fix címet vesz fel az alsó oldalon, és ott egy kis DHCP- és DNS-szolgáltatást futtat. A Windows adapterenként, nem globálisan tartja a továbbítást, ezért az állapotot interfészről interfészre kell olvasni.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Ha a továbbítás a megosztott adapteren Letiltva értéket mutat, semmi nem fog működni alul, bármit tesz az alagút. Csak olyan gépen kapcsolja be, amelynek házirendje engedi, hogy más eszközök helyett routoljon.

Továbbítás, fordítás és szűrés

A továbbított csomagnak el kell jutnia az alagútig, olyasmivé kell fordítódnia, amit a távoli oldal elfogad, és ugyanazon a fordításon keresztül kell visszatérnie. E három szakasz bármelyike eltörhet, és minden törés ugyanazt a böngésző-időtúllépést okozza. Egy csomagrögzítés, egy útvonal-keresés és egy napló a távoli oldalról többet ér, mint a megosztási párbeszéd újabb átnézése. Hogy melyik szakasz hibázik, az mondja meg, kinek a változtatása kell.

A távoli oldalnak visszatérő útvonalra is szüksége lehet a megosztott alhálózathoz, olyan tartományra, amelyet a VPN-kiszolgáló soha nem látott. Ahol a kliens fordít, a kiszolgáló csak az alagút címét látja, és nincs szükség visszatérő útvonalra. Ahol nem fordít, a gateway tulajdonosának szándékosan hozzá kell adnia azt az útvonalat, és ez változtatási kérelem, nem kliensbeállítás.

A kliensen végezze az ellenőrzéseket, nem a gazdagépen

Minden ellenőrzést a hibázó kliensen végezzen, ne a működő gazdagépen. Tartsa egy munkamenetben az egress-címet, a feloldó válaszát és az alkalmazástesztet, mert az egy óra eltéréssel gyűjtött eredmények semmit nem mondanak arról, hogyan kombinálódik a három.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Hasonlítsa össze az egress-címet a gazdagép sajátjával, és jegyezze fel, hogy egyeznek-e. A más válasz azt jelenti, hogy a továbbított útvonal megkerüli az alagutat, ami tulajdonossal bíró házirendkérdés, nem gyors javítás. A hibázó alkalmazás melletti egyező válasz a névfeloldásra vagy a távoli oldal házirendjére tereli a munkát. Ne álljon meg az IPv4-eredménynél sem: egy megosztás minden IPv4-ellenőrzést teljesíthet, miközben az IPv6 más kijáraton távozik, ezért ismételje meg a név- és egress-ellenőrzéseket az AAAA-rekorddal és a részletes kapcsolatteszttel.

Kezelt gépen erősítse meg, hogy a megosztás egyáltalán engedélyezett, mert egy másik eszköz hozzáférésének kitettsége adminisztratív döntés, nem kényelmi kapcsoló. Bármely támogatott változtatás után ismételje meg az ellenőrzéseket újracsatlakozáskor és még egyszer kimaradás közben. A gazdagép tiszta újracsatlakozása nem állít vissza olyan továbbított útvonalat, amelyet a kliens soha nem támogatott.