VPN клиенті қосулы кезде LAN мекенжайына ping жасағанда General failure

Бір хост маршруты, бір мекенжай, және ping сұраныстың уақыты бітуінің орнына бірден General failure-пен сәтсіз аяқталады. Дәл осы айырмашылық — бүкіл диагностика. Уақыттың бітуі пакеттің шыққанын және бірдеңенің оны елемегенін білдіреді. General failure болса, Windows пакетті әуел бастан ешбір интерфейске тапсыра алмағанын білдіреді.

Сондықтан маршруттау кестесі мінсіз көрініп, қате әлі де General failure болса, бөгеу маршруттау шешімінің астында орын алады, ал провайдердің клиенті — сол жерде жұмыс істейтін нәрсе.

Қатені маршруттау кестесінен бұрын оқыңыз

Windows бұл қатені жіберу үшін интерфейс таба алмағанда қайтарады және мақсат пакетпен не істер еді деген туралы ештеңе айтпайды. Қолжетімділік, алыс жақтағы брандмауэрлер және қызметтің қолжетімділігі — бұлардың бәрі әзірге жетпеген кейінгі сұрақтар.

Бұл жағдайдың классикалық конфигурациясы — бір LAN мекенжайын физикалық шлюзге бағыттайтын хост маршруты, сөйтіп ол туннельді айналып өтеді. route add оны қабылдайды, route print оны көрсетеді, ал ping бәрібір сәтсіз аяқталады, өйткені сүзгі драйвері пакеттің сыртқа шығуына рұқсат жоқ деп әлдеқашан шешкен.

Бұл түсініктемемен келіспес бұрын, маршруттың шынымен таңдалып жатқанын растаңыз: интерфейс индексі мен метриканы тексеріңіз және қайта қосылғаннан кейін жазбаның ескірмегеніне көз жеткізіңіз. Енді жоқ интерфейске сілтейтін маршрут әлдеқайда қызықсыз себептен ұқсас қате береді.

Үш қабат, үш түрлі иесі

Соңғы болып істейтін қабат жеңеді, ал бұл үшеуі көпшілік ойлайтын тәртіпте емес.

Ортаңғы қабат — маршруттың бір уақытта дұрыс та, пайдасыз да болуының себебі. Провайдер клиенттері туннельден тыс трафик тасталуы үшін сүзгі мен брандмауэр ережелерін орнатады, және бұл олардың kill switch-ін жүзеге асыратын дәл сол механизм. Маршруттау кестесіндегі ештеңе бұл шешімге қатыспайды.

Үшінші қабат үнемі келіп тұратын бір оғаш есепті түсіндіреді: клиент ажыратылғаннан кейін де жергілікті ішкі желіге қол жетпейді. Қызмет әлі жұмыс істеп тұр және сүзгі әлі орнатылған, сондықтан қосылмау — сүзгілемеу деген сөз емес. Қандай да бір қорытынды жасамас бұрын клиенттен шығыңыз, тек ажыратумен шектелмеңіз.

Нені кезекпен байқап көру керек

Алып тастау арзан және қалпына келтіру оңай функцияларды өшіруден бастаңыз. LAN-ды анықтау, кейде LAN-да көрінбеушілік деп аталады, жеке мекенжай ауқымдарына трафикті бөгеп, машинаны көршілерінен жасырады. Принтерлер, жергілікті файлдық серверлер және маршрутизатордың өзі сол қосқыштың артында жоғалады. DNS-ті сүзетін қауіп қорғаныс функциялары өз ілгектерін орнатады және жергілікті қолжетімділікті дәл осылай бұзатыны туралы хабарланады.

Екеуін де өшіріңіз, клиенттен толық шығыңыз, содан кейін мекенжайды тексеріңіз. Бұл реттілік трафикті бөгейтін функцияны оны дұрыс маршруттамайтын туннельден ажыратады және статикалық маршруттарға түстің жартысын жұмсаудың орнына екі минут алады.

ping 192.168.1.50
tracert -d 192.168.1.50
route print -4

Функциялар өшірілген соң мекенжай жауап берсе, сізде ақау емес, саясат шешімі бар: функцияны өшірулі қалдыру, ерекшелік қосу немесе машинаның жергілікті желіде көрінбейтін күйде қалуын қабылдау арасынан таңдаңыз.

Клиенттің ерекшелік жолын тар түрде қолданыңыз

Функция қосулы қалуы керек болса, клиенттің өз бөлінген туннельдеуі — қолдау көрсетілетін шығу жолы. Ерекшелікті талап рұқсат еткенше шағын ұстаңыз, бұл әдетте бір сервер үшін бір хост мекенжайын немесе бір сегмент үшін бір префиксті білдіреді. Бүкіл жеке ауқымды қамтитын ереже — ешкім қосқанын есіне түсірмейтін және ешкім жоюға батылы бармайтын тұрақты тесік.

Содан кейін алдымен мекенжай бойынша, сосын атау бойынша тексеріңіз. Егер мекенжай физикалық шлюзде бірінші секіріспен жауап берсе, ерекшелік жұмыс істейді. Егер атау әлі де сәтсіз болса, сіз DNS-ке көштіңіз, өйткені туннельдің шешушісі жергілікті аймақты білмейді және ешбір маршруттау өзгерісі оны үйрете алмайды.

Маршрутты немесе ерекшелікті ұстаңыз, екеуін де емес, қайсысы жұмысты атқарып жатқаны туралы жазбамен бірге. Қабаттасқан екі механизм бірін-бірі жасырады, ал бұл машинаны келесі рет жөндейтін адам солардың біреуін алып тастап, ешқандай өзгеріс көрмейді.

Клиент кедергі болған кезде

Кейбір құрылымдар трафикті статикалық маршрут та, клиент ерекшелігі де жеңе алмайтындай сүзеді. Осылай болса, адал нұсқалар — айналып өту функциясын күту немесе провайдердің өз профилімен қарапайым OpenVPN клиенті арқылы қосылу, оны бастапқы есептегі өндіруші қолдауының жауабы да ұсынған.

Бұл ауыстыруды жасамас бұрын айырбасты түсініңіз. Қарапайым профиль кез келген қарапайым туннель сияқты әрекет етеді: өз маршруттарын орнатады және стектің қалғанын қайта құрмайды, сондықтан тар хост маршруты күткендей жұмыс істей береді. Жоғалтатыныңыз — брендті клиент туннельдің айналасында іске асырғанның бәрі, оның ішінде kill switch және DNS сүзгілеу, және оларды әдейі қайта жасау немесе жоқ деп қабылдау керек.

Қандай таңдау жасасаңыз да, бөгеудің қай қабатқа тиесілі болғанын жазып қойыңыз. Машинадан ешқашан шықпаған пакет — сүзгінің нәтижесі, және ешбір маршруттау өзгерісі сүзгіні жөндей алмайды.