VPN кардары күйгүзүлгөн абалда LAN дарегине ping жасаганда General failure
Маршруттоо таблицасы туура көрүнгөнү менен Windows эч бир адаптерге такыр жете албай турганын билдирет. Тоскоол маршруттоодобу, фильтрлөөдөбү же кардардабы — аныктаңыз.
Бир хост маршруту, бир дарек, жана ping сурамдын убактысы бүтүшүнүн ордуна дароо General failure менен ишке ашпайт. Ошол айырма — бүт диагностика. Убакыттын бүтүшү пакет чыгып, бир нерсе аны этибарга албаганын билдирет. General failure болсо, Windows пакетти башынан эле эч бир интерфейске бере албаганын билдирет.
Ошондуктан маршруттоо таблицасы кемчиликсиз көрүнүп, ката дагы эле General failure болсо, тоскоол маршруттоо чечиминин астында болуп жатат, ал эми провайдердин кардары — ошол жерде иштеп жаткан нерсе.
Катаны маршруттоо таблицасынан мурун окуңуз
Windows бул катаны жөнөтүү үчүн интерфейс таба албаганда кайтарат жана максат пакет менен эмне кылмак деген жөнүндө эч нерсе айтпайт. Жеткиликтүүлүк, алыскы тараптагы брандмауэрлер жана кызматтын жеткиликтүүлүгү — булардын баары сиз али жетпеген кийинки суроолор.
Бул учурдун классикалык конфигурациясы — бир LAN дарегин физикалык шлюзга багыттаган хост маршруту, ошентип ал туннелди айланып өтөт. route add аны кабыл алат, route print аны көрсөтөт, ал эми ping баары бир ишке ашпайт, анткени фильтр драйвери пакеттин сыртка чыгууга уруксат жок деп мурун эле чечкен.
Бул түшүндүрмөнү кабыл алардан мурун маршруттын чын эле тандалып жатканын ырастаңыз: интерфейс индексин жана метриканы текшериңиз, кайра туташкандан кийин жазуу эскирбегенин текшериңиз. Эми жок интерфейске көрсөткөн маршрут алда канча кызыксыз себептен ушундай эле ката берет.
Үч катмар, үч башка ээ
Акыркы иштеген катмар жеңет, жана бул үчөө көпчүлүк ойлогон тартипте эмес.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
Ортоңку катмар — маршруттун бир убакта туура да, пайдасыз да болушунун себеби. Провайдер кардарлары туннелден тышкаркы трафикти таштоо үчүн фильтр жана брандмауэр эрежелерин орнотушат, жана бул алардын kill switch механизмин ишке ашырган ошол эле нерсе. Маршруттоо таблицасындагы эч нерсе бул чечимге катышпайт.
Үчүнчү катмар дайыма келип турган бир кызык отчётту түшүндүрөт: кардар ажыратылгандан кийин да жергиликтүү ички тармакка жетүү мүмкүн эмес. Кызмат дагы эле иштеп жатат жана фильтр дагы эле орнотулган, ошондуктан туташпагандык фильтрлебегендик менен бирдей эмес. Кандайдыр бир тыянак чыгарардан мурун кардардан чыгыңыз, жөн гана ажыратуу менен чектелбеңиз.
Эмнени ирети менен сынап көрүү керек
Алып салуу арзан жана калыбына келтирүү жеңил функцияларды өчүрүүдөн баштаңыз. LAN издөө, кээде LANда көрүнбөстүк деп аталат, жеке дарек диапазондоруна трафикти тосуп, машинаны кошуналарынан жашырат. Принтерлер, жергиликтүү файлдык серверлер жана маршрутизатордун өзү ошол которгучтун артында жоголот. DNSти фильтрлеген коркунуч коргоо функциялары өз илгичтерин орнотуп, жергиликтүү жеткиликтүүлүктү ушундай эле жол менен бузаары айтылат.
Экөөнү тең өчүрүңүз, кардардан толук чыгыңыз, анан даректи текшериңиз. Бул ирети трафикти тоскон функцияны аны туура эмес маршруттаган туннелден ажыратат жана статикалык маршруттарга жарым күн жумшоонун ордуна эки мүнөт алат.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4Функциялар өчүрүлгөндөн кийин дарек жооп берсе, сизде бузулуу эмес, саясат чечими бар: функцияны өчүк калтыруу, өзгөчөлүк кошуу же машина жергиликтүү тармакта көрүнбөй калышын кабыл алуунун бирин тандаңыз.
Кардардын өзгөчө жолун кууш колдонуңуз
Функция күйүк калышы керек болсо, кардардын өзүнүн бөлүнгөн туннелдөөсү — колдоого алынган чыгуу жолу. Өзгөчөлүктү талап уруксат бергенче кичине кармаңыз, бул адатта бир сервер үчүн бир хост дарегин же бир сегмент үчүн бир префиксти билдирет. Бүткүл жеке диапазонду камтыган эреже — эч ким кошконун эстебей турган жана эч ким өчүрүүгө батына албаган туруктуу тешик.
Анан адегенде дарек боюнча, анан ат боюнча текшериңиз. Эгер дарек физикалык шлюзде биринчи секирик менен жооп берсе, өзгөчөлүк иштейт. Эгер ат дагы эле ишке ашпаса, сиз DNSке өттүңүз, анткени туннелдин чечүүчүсү жергиликтүү аймакты билбейт жана эч бир маршруттоо өзгөрүүсү ага аны үйрөтө албайт.
Маршрутту же өзгөчөлүктү кармаңыз, экөөнү тең эмес, кайсынысы ишти аткарып жатканы тууралуу эскертүү менен. Калкмаланган эки механизм бирин-бирин жашырат, жана бул машинаны кийинки жолу оңдогон адам алардын бирин алып салып, эч кандай өзгөрүү көрбөйт.
Кардар тоскоол болгондо
Айрым курулуштар трафикти статикалык маршрут да, кардар өзгөчөлүгү да жеңе албагандай фильтрлейт. Ушундай болсо, ак ниеттүү варианттар — айланып өтүү функциясын күтүү же провайдердин өз профили менен жөнөкөй OpenVPN кардары аркылуу туташуу, муну баштапкы отчёттогу өндүрүүчүнүн колдоо жообу да сунуштаган.
Бул алмаштырууну жасоодон мурун алмашууну түшүнүңүз. Жөнөкөй профиль кадимки туннелдей жүрүм-турум көрсөтөт: өз маршруттарын орнотот жана стектин калганын кайра курууга аракет кылбайт, ошондуктан кууш хост маршруту күткөндөй иштей берет. Жоготооруңуз — брендделген кардар туннелдин айланасында ишке ашыргандын баары, анын ичинде kill switch жана DNS фильтрлөө, жана аларды атайын кайра жасоо же жок деп кабыл алуу керек.
Кандай тандоо кылбаңыз, тоскоол кайсы катмарга таандык болгонун жазып коюңуз. Машинадан эч качан чыкпаган пакет — фильтрдин натыйжасы, жана эч бир маршруттоо өзгөрүүсү фильтрди оңдой албайт.