Membagikan koneksi Windows? Jalur VPN berubah di bawahnya

Laptop membagikan Wi-Fi-nya, host menjelajah melalui terowongan tanpa keluhan, dan tablet pada pembagian itu tidak mencapai apa pun. Host berhenti menjadi klien saja pada saat pembagian diaktifkan: sekarang ia adalah router, dan paket yang diteruskan menghadapi kumpulan aturan yang berbeda. Apa yang berhasil di host tidak mengatakan apa pun tentang perangkat di belakangnya. Jalankan pemeriksaan dari klien hilir dan perbedaannya berhenti menjadi teoretis.

Keberhasilan host tidak membuktikan apa pun

Pembagian koneksi menyerahkan empat pekerjaan kepada satu mesin: penetapan alamat, penerusan, penerjemahan, dan penyaringan. Klien VPN yang melindungi lalu lintas yang dihasilkan secara lokal dapat menganggap lalu lintas yang diteruskan di luar cakupannya, atau memblokirnya dengan sengaja sebagai kebocoran. Tidak ada satu pun perilaku itu yang merupakan bug, dan tidak ada yang tertulis di layar tempat pembagian diaktifkan. Hanya uji hilir yang memberi tahu Anda mana yang Anda miliki.

Banyak klien meneruskan hanya lalu lintas host dan tidak yang lain, jadi periksa bagian pembagian di dokumentasi klien alih-alih percaya bahwa terowongan akan merutekan untuk tablet. Gejala yang terlihat adalah perangkat yang terhubung, menerima alamat, lalu gagal pada permintaan pertama. Klien yang menolak meneruskan tetap terlihat sangat sehat di host.

Adaptor mana yang dibagikan, mana yang melayani klien

Catat kedua adaptor, karena keduanya membawa alamat berbeda dan filter berbeda, dan perubahan pada yang salah menjelaskan banyak hasil yang membingungkan. Host pembagian biasanya mengambil alamat tetap di sisi hilir dan menjalankan layanan DHCP dan DNS kecil di sana. Windows menyimpan penerusan per adaptor, bukan secara global, jadi statusnya harus dibaca antarmuka demi antarmuka.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Jika penerusan terbaca sebagai Nonaktif pada adaptor yang dibagikan, tidak ada yang berfungsi di hilir apa pun yang dilakukan terowongan. Aktifkan hanya pada mesin yang kebijakannya mengizinkannya merutekan untuk perangkat lain.

Penerusan, penerjemahan, dan penyaringan

Paket yang diteruskan harus mencapai terowongan, diterjemahkan menjadi sesuatu yang diterima sisi jauh, dan kembali melalui penerjemahan yang sama. Salah satu dari tiga tahap itu bisa rusak, dan setiap kerusakan menghasilkan batas waktu peramban yang sama. Tangkapan paket, pencarian rute, dan log dari sisi jauh lebih bernilai daripada tinjauan lain atas dialog pembagian. Tahap mana yang gagal itulah yang memberi tahu perubahan siapa yang diperlukan.

Sisi jauh mungkin juga memerlukan rute balik untuk subnet yang dibagikan, rentang yang belum pernah dilihat server VPN. Di tempat klien menerjemahkan, server hanya melihat alamat terowongan dan rute balik tidak diperlukan. Di tempat ia tidak menerjemahkan, pemilik gateway harus menambahkan rute itu dengan sengaja, dan itu permintaan perubahan, bukan pengaturan klien.

Jalankan pemeriksaan di klien, bukan di host

Jalankan setiap pemeriksaan di klien yang gagal, bukan di host yang berfungsi. Simpan alamat keluar, jawaban penyelesai, dan uji aplikasi dalam sesi yang sama, karena hasil yang dikumpulkan terpaut satu jam tidak mengatakan apa pun tentang bagaimana ketiganya bergabung.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Bandingkan alamat keluar dengan alamat host itu sendiri dan catat apakah keduanya cocok. Jawaban berbeda berarti jalur yang diteruskan melewati terowongan, yang merupakan pertanyaan kebijakan dengan pemilik dan bukan perbaikan cepat. Jawaban yang cocok di samping aplikasi yang gagal memindahkan pekerjaan ke penyelesaian nama atau ke kebijakan di sisi jauh. Jangan berhenti pada hasil IPv4 juga: pembagian dapat lolos setiap pemeriksaan IPv4 sementara IPv6 keluar melalui pintu keluar yang berbeda, jadi ulangi pemeriksaan nama dan keluar dengan catatan AAAA dan uji koneksi terperinci.

Pada mesin yang dikelola, pastikan pembagian diizinkan sama sekali, karena mengekspos akses ke perangkat lain adalah keputusan administratif dan bukan tombol kenyamanan. Setelah setiap perubahan yang didukung, ulangi pemeriksaan saat menyambung kembali dan lagi selama gangguan. Host yang menyambung kembali dengan bersih tidak memulihkan rute yang diteruskan yang tidak pernah didukung klien.