Router am VPN-Clientmodus: firwat LAN-Apparater verschwannen

D'Meenung, de Clientmodus selwer géif den LAN-Zougrëff ëmbréngen, féiert d'Leit an dat falscht Astellungsmenü, an déi richteg Ursaache sinn meeschtens zwou. Den Tunnel hëlt d'LAN-Bréck net ewech an hält kabelgebonne a kabellos Cliente net dovun of, sech géigesäiteg z'erreechen. Wat den lokalen Zougrëff brécht, ass entweder eng Inspektiounsfunktioun am Weiderleitungspad vum Router oder e LAN-Adressberäich, deen sech verréckelt huet, wéi d'Firmware et gemaach huet. Béid produzéieren déiselwecht Plainte, an keng gëtt duerch d'Neiinstallatioun vum VPN-Profil behuewen.

De Mythos, an wat de Clientmodus wierklech ännert

De Clientmodus setzt eng Tunnel-Schnittstell an eng Standardroute derbäi, déi duerch si geet, an leitet duerno LAN-Verkehr an deen Tunnel. D'Bréck tëscht de kabelgebonnene Porten an de Funkmoduler bleift onberéiert, grad wéi dat lokal Switching. Wat sech ännert, ass d'Politik: wéi een Verkehr weidergeleet gëtt, wou en iwwersat gëtt a wéi ee Resolver d'Cliente kréien.

Dësen Ënnerscheed ass wichteg, well e gebrachent LAN meeschtens heescht, datt eng vun deenen dräi Politike sech geännert huet, net datt de Router opgehalen huet, e Switch ze sinn. E Router, dee nach seng eege Verwaltungssäit beäntwert, ass de Beweis, datt d'LAN-Schnittstell lieft. E Router, deen iwwerhaapt näischt beäntwert, huet en anert Problem, wéi eng geännert LAN-Adress oder e Client am falschen Subnet.

Also ass de nëtzlechen éischte Schrëtt erauszefannen, wéi eng Schicht gebrach ass, net déi Schicht z'änneren, déi Dir verdächtegt.

Test dräi Ziler, ier Dir eng Astellung beréiert

Vun engem kabelgebonnene Client aus test dräi Ziler getrennt a schreif all Resultat op: dem Router seng eege LAN-Adress, en anert Apparat um selwechte Switch iwwer IP, an eppes, dat nëmmen iwwer den Tunnel erreechbar ass. Maach se an där Reiefolleg, well all Resultat eng aner Schicht ausschléisst. Benotz Adressen amplaz Nimm an der éischter Ronn, well e Nummfehler DNS an eng Konnektivitätsfro mengt.

D'Muster vun den Äntwerten ass d'Diagnos. E Router, deen äntwert, während lokal Apparater et net maachen, weist op lokal Switching oder eng Filterfunktioun anstatt Routing. Lokal Apparater, déi äntwerten, während d'Tunnelsäit et net mécht, weisen op d'Tunnelroute oder d'Firewall vu wäitem. Wann alles no Adress äntwert, awer Nimm feeschlagen, ass et eng Resolver-Fro, a keng Routenaarbecht wäert se behiewen.

Hal d'Tabell nieft den Testresultaten. Si mécht aus enger vag Plainte eng Linn, op déi Dir kënnt handelen.

D'Sécherheetsschicht am Weiderleitungspad

Verbraucherroutere kommen ëmmer méi dacks mat enger Inspektiounsfunktioun, déi de weidergeleete Verkehr iwwerwaacht, an si leeft am selwechte Pad, deen d'Paketen aus dem LAN an den Tunnel dréit. Wann déi Inspektioun den Tunnelverkehr net klasséiere kann, kann d'Weiderleitung stocken, während den Tunnel selwer uewen bleift an de Router eng gesond Verbindung mellt. Näischt am VPN-Log weist dat, well d'VPN sech jo verbonnen huet.

D'Diagnos ass en kontrolléierten Experiment, keng permanent Ännerung. Nottéier déi aktuell Astellung, schalt d'Funktioun fir d'Dauer vun engem Test aus, bréng den Tunnel erëm erop a test ee lokalen Host no Adress. D'Weiderleitung, déi zréckkënnt, ass de Beweis, deen Dir gebraucht hutt, an den Trade-off gëtt dann eng Entscheedung amplaz eng Vermutung. Wann näischt sech ännert, schalt se direkt erëm an a gitt op d'Ursaach vun der Adresséierung.

Eng bezuelt Sécherheetsfunktioun ausgeschalt ze loossen, fir datt den Tunnel weider funktionéiert, ass en Trade-off, deen een bewosst mécht an opschreift. Et ass och derwäert ze froen, ob den Tunnel op en anert Apparat gehéiert, well e Router, deen alles muss inspizéieren, an e Router, deen alles muss weiderleeden, zwee verschidde Aarbechten sinn.

Déi zweet Ursaach: de LAN-Beräich huet sech verréckelt

Firmware-Updates setzen d'LAN-Adress routineméisseg op de Standard vum Hiersteller zréck, an e puer Routere hunn en expliziten Modusschalter, deen entscheet, ob d'LAN e private Beräich behält oder ee vum Apparat uewendriwwer ierft. E Client, deen 192.168.8.x erwaart, kann op 10.64.0.x landen, an dann leeft eng SSH-Sessioun op en Host of, obwuel den Tunnel komplett gesond ass.

ipconfig /all
ip addr show
ip route get 192.168.8.20

Lies de Prefix an de Gateway aus dem Lease, ier Dir d'Routersäit opmaacht. Déi éischt zwou Kommandoen weisen, wat de Client tatsächlech kritt huet, an déi drëtt weist, wéi eng Schnittstell de Client fir eng lokal Adress géif benotzen, an esou verréit sech eng Reschtroute oder en veralteten Subnet. Vergläich dat dann mat der LAN-Säit an dem Modus, an deem de Router ass.

Wann de Beräich net zréck kann, aktualiséier all Objet, deen en nennt: DHCP-Reservatiounen, all statesch Route an den ale Subnet an all Firewallregel, déi de virege Prefix dréit. E Beräich, deen mam wäitem Subnet vum Tunnel kollidéiert, ass déi schlëmm Variant, well lokal Apparater erreechbar bleiwen, während wäit Destinatiounen stëll an d'LAN falsch geroutet ginn.

Verbann erëm a test erëm an der Paket-Reiefolleg

Nom engem vun deenen zwou Ännerungen verbann den Tunnel erëm a widderhuel d'Testen an der Paket-Reiefolleg: Router, lokalen Host, wäiten Host, duerno Nimm, duerno d'Applikatioun. D'Applikatioun als éischt ze testen verstoppt, wéi eng Schicht nach gebrach ass, an en neie Versuch vum Browser géint en gecachten Numm kann wéi e Routingfehler ausgesinn.

Nottéier d'Firmware-Versioun, de LAN-Prefix an den Zoustand vun der Inspektiounsfunktioun nieft dem VPN-Profil. All dräi sinn Konfiguratioun, déi den nächsten Update iwwerschreiwe kann, an zwou Linnen Notizen spueren d'Stonn, déi Dir just verbruecht hutt.