Lokalen Netz net erreechbar wärend d’VPN verbonnen ass? Véier Kontrollen

Den Tunnel kënnt erop, den Intranet erschéngt, an den Drécker äntwert net méi. Um LAN ass näischt futti gaangen; de Client huet geännert, wéi ee Wee en fir Adressen notzt, déi en net méi als lokal betruecht. Gitt déi véier Kontrollen hei drënner der Rei no duerch a stoppt, wann eng dovun eng konkret Onstëmmegkeet weist, well déiselwecht Symptomer véier heefeg Ursaachen hunn an just eng dovun duerch d’Änneren vun der VPN behuewe gëtt.

Fir d’éischt: kuckt d’Routingtabell, déi de Client installéiert huet

Maacht dem Client seng Routingtabell op, wärend d’VPN verbonnen ass. Op Linux benotzt ip route, op Windows route print oder Get-NetRoute, an op macOS netstat -rn. Dir sicht eng Standardroute duerch den Tunnel an dat, wat mat der physescher Standardroute geschitt ass.

E Client mat engem ganze Tunnel setzt dacks zwou hallef Standardrouten derbäi, 0.0.0.0/1 an 128.0.0.0/1, amplaz 0.0.0.0/0 ze ersetzen. Déi ursprénglech Standardroute bleift siichtbar, verléiert awer all Lookup, dofir kann d’Tabell intakt ausgesinn, wärend de ganze Verkéier baussent dem Subnetz sech verréckelt. Wann de VPN-Client eng Split-Tunnel-Optioun ubitt an d’Politik et erlaabt, ass dat déi propperst Reparatur.

Wann den Tunnel muss Standard bleiwen, da pënnt amplaz de lokalen Subnetz un. Op Linux nennt d’Route déi physesch Interface an de Gateway; op Windows setzt -p derbäi, fir se dauerhaft ze maachen, a liest d’Interface-Nummer aus route print, amplaz se ze roden:

sudo ip route add 192.168.1.0/24 via 192.168.1.1 dev wlan0
route add -p 192.168.1.0 MASK 255.255.255.0 192.168.1.1 METRIC 1 IF 12

Eng ugepënnte Route hält just sou laang, wéi d’Adress, déi se nennt, déiselwecht bleift. E Laptop, dee seng Wi-Fi-Adapter-Nummer bei all Verbindung ännert, brécht d’Reegel erëm, also kontrolléiert d’Interface-Adress, ier dir entscheet, datt d’Reparatur versot huet.

Zweetens: bestätegt, datt d’Adress vun Ufank un lokal war

Wann d’Zil bannen dem verbonnenen Subnetz läit, gëllt d’Standardroute vum Tunnel ni an d’VPN ass net d’Ursaach. En Drécker op 192.168.1.40 op engem Client mat 192.168.1.0/24 benotzt déi verbonnen Route; wann déi Adress versot, kuckt den Apparat, de Switch oder d’Firewall um Client an net d’VPN.

De Fall, dee Leit täuscht, ass eng ëffentlech Adress fir e lokale Server. Vun bannen dem LAN aus d’WAN-Adress vum Router z’erreechen an erëm zeréckzekommen erfuerdert Hairpin-NAT, a vill Routeren implementéieren dat fir Portweiderleitunge guer net. Test déi privat Adress nieft der ëffentlecher. Wann déi privat funktionéiert an déi ëffentlech net, huet d’VPN just eng NAT-Limitatioun opgedeckt, déi scho virdrun do war.

En Hostnumm mécht et nach méi schlëmm. Wann den lokalen Numm elo op d’ëffentlech Adress opgeléist gëtt, probéiert de Client weider dee Wee, deen net kann zréckkommen. Benotzt fir den Test déi privat Adress, a fléckt duerno den Numm, amplaz nach eng Portweiderleitung derbäizemaachen.

Drëttens: kuckt, wien elo d’Nimm äntwert

E firmaeegene Resolver kennt den Intranet an weess normalerweis näischt iwwer e NAS-Hostnumm, dem Drécker säi Bonjour-Numm oder dem Router säin lokalen Alias. Wann d’VPN seng DNS-Server dréckt, léisen déi Nimm sech net méi op, obwuel hir Adressen nach erreechbar sinn. Frot den Numm direkt of a vergläicht d’Äntwert mat der Adress, vun där dir wësst, datt den Apparat se huet.

Op Linux weist resolvectl query nas.local, wéi ee Resolver geäntwert huet. Op Windows nennt nslookup nas.local de Server, an ipconfig /all weist d’Reiefolleg vun de Resolver. Wann de lokalen Suffix elo vum firmaeegene Resolver behandelt gëtt, da leet dee Suffix buedem op de lokale Resolver ëm oder benotzt fir den Apparat d’IP-Adress.

D’Entdeckung ass eng eege Schicht. mDNS a Broadcast ginn net duerch en gerouteten Tunnel, also kann en Apparat iwwer d’Adress erreechbar sinn, wärend säin Numm onsichtbar bleift. E Reflektor oder eng lokal DNS-Aschreiwung léist dat; eng Route net.

Véiertens: kontrolléiert, ob déi aner Maschinn och op enger VPN ass

Wann d’Maschinn, déi dir wëllt erreechen, och e VPN-Client lafe léisst, kann deng Sessioun ukommen, wärend seng Äntwert duerch den aneren Tunnel fortgeet. Dat gëtt eng Verbindung, déi sech opbaut an duerno stockt, oder en RDP- an SSH-Versuch, dee bei dir ouni Feeler an d’Zäitlimite leeft. Kontrolléiert dem aneren Host seng Routingtabell a säi Standardwee, ier dir dengem Client d’Schold gëtt.

Kontrolléiert och d’Adress, op där de Service lauschtert. E Listener, deen nëmmen un d’Tunneladress gebonnen ass, hëlt Verbindungen aus der VPN un a refuséiert se aus dem LAN, och wann d’Routing perfekt ass. Dat ass eng Servicekonfiguratioun, kee Netzwee, a si ass heefeg op Management-Interface, déi op d’VPN-Adress zougespaart goufen.

Halt e Management-Wee op, deen net vum Tunnel ofhänkt: eng statesch Route, déi däin Quellnetz nennt, eng aner Interface um LAN, oder eng Konsole, déi den Tunnel ganz ëmgeet. Dee Wee no engem Sessiounsabbruch ze designen ass vill méi schwéier, wéi en virun der nächster Verbindung derbäizemaachen.

Setzt déi Reparatur ëm, déi zu der Kontroll passt, déi versot huet

Wann d’Routingtabell eng hallef Standardiwwernahm gewisen huet, wielt Split-Tunnel, wann d’Politik et erlaabt, an eng ugepënnte lokal Route, wann net. Wann d’Adress sech als ëffentlech erausgestallt huet, wiesselt den Test an den Numm op déi privat Adress. Wann de Resolver d’Hänn gewiesselt huet, begränzt de lokalen Suffix oder benotzt d’Adress. Wann den aneren Host am Tunnel ass, fléckt säi Réckwee oder d’Bindung vum Listener.

Ännert eng Saach, a widderhëlt duerno déiselwecht Kontroll. Eng Route, déi fir de falschen Subnetz derbäigesat gouf, e Resolver-Suffix mat engem Schreiffeeler an eng ugepënnte Route op enger Interface, déi nei Nummeren kritt, gesinn all wéi de urspréngleche Feeler aus. D’Widderhuelung ass et, wat eng Reparatur vun engem Zoufall trennt.

Schreift d’Route, d’Adress an de Resolver op, déi funktionéiert hunn, wärend d’VPN verbonnen war. Déi nächst Neiverbindung ännert mindestens eng dovun, an d’Notiz mécht aus der nächster Stéierung ene kuerzen Verglach amplaz enger neier Enquête.