VPN prisijungtas, bet IP adresas nepasikeitė: kodėl

Jūs prisijungiate, klientas sako, kad prisijungta, o adreso testas vis dar rodo tą patį skaičių, kurį turėjote anksčiau. Rodiklis niekuo nekaltas; kažkas tarp profilio ir programos paliko tą užklausą už tunelio ribų. Prieš liesdami bet kokią konfigūraciją nuspręskite, kurią iš trijų dalykų matote: testą, kuris niekada nemate viešojo adreso, tunelį, kuris dengia tik dalį srauto, ar antrą kelią, kuris laimi maršrutizavimo sprendimą. Kiekvienas turi vieną patikrinimą, trunkantį mažiau nei minutę.

Patvirtinkite, ką testas iš tikrųjų išmatavo

Wi-Fi arba Ethernet dialoge rodomas adresas yra sąsajos adresas jūsų pačių segmente, o ne adresas, kurį mato svetainė, todėl jis gali likti toks pat, kai tunelis veikia nepriekaištingai. Vieta vėl atskiras signalas: išsaugotas paskyros regionas arba leidžiamas geolokacijos nuskaitymas nejuda, kai keičiate išėjimą, ir prisijungimas, kuris jus jau atpažįsta, taip pat.

Naudokite viešojo adreso aidą ir klauskite kiekvienos šeimos atskirai, nes dvigubos krūvos testo rezultatas paslepia įdomų atvejį:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

Paleiskite abu prieš ir po prisijungimo. Jei IPv4 atsakymas pasikeičia į išėjimo adresą, o IPv6 atsakymas ne, tunelis nesugedęs; viena šeima keliauja už jo ribų. Jei abu atsakymai lieka tie patys, užklausa niekada nepasiekė tunelio ir visa kita čia galioja.

Profilis gali dengti tik dalį srauto

Padalyto tunelio profilis yra įprastas atsakymas, ir tai ne defektas. OpenVPN viską siunčia per tunelį tik tada, kai redirect-gateway yra perduotose parinktyse; be jo klientas gauna keletą konkrečių maršrutų, o jūsų numatytasis maršrutas lieka fizinėje jungtyje. Windows sistemoje tas pats jungiklis rodomas kaip „Naudoti numatytąją šliuzą nuotoliniame tinkle“ adapterio IPv4 savybėse, o jo išjungimas yra sąmoningas pasirinkimas, išliekantis po kiekvieno prisijungimo.

Programų aprėptis yra antrasis sluoksnis. Android programų VPN nuostata nusprendžia, kurios programos įtrauktos, todėl VPN raktas būsenos juostoje neįrodo, kad naršyklė yra joje. Naršyklės plėtinys, kuris tarpinio serverio pagalba perduoda savo srautą, sukuria veidrodinį vaizdą: naršyklė rodo išėjimo adresą, o toje pačioje mašinoje esantis pašto klientas ar žaidimas vis dar rodo jūsiškį. Palyginkite tą pačią užklausą dviejose programose. Jei viena pasikeičia, o kita ne, matote aprėptį, o ne nepavykusį tunelį.

Viena adresų šeima vis dar gali eiti tiesiai

Dauguma VPN profilių parašyti IPv4, ir daugelis tokių tebėra. Dvigubos krūvos tinkle tunelis ima 10.8.0.x IPv4, o fizinė jungtis išlaiko visuotinį IPv6 adresą ir numatytąjį maršrutą, todėl IPv6 palaikanti svetainė pasiekiama tiesiogiai, o adresas, kurį ji nurodo, yra jūsų tiekėjo. Tai nuotėkis su veikiančiu IPv4 tuneliu, ir jis nematomas testui, kuris kalba tik IPv4.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Skaitykite sąsają kiekviename atsakyme. Jei IPv6 paieška įvardija jūsų Ethernet ar Wi-Fi įrenginį, o IPv4 paieška įvardija tunelį, tos šeimos politika trūksta, o ne sugedusi. Išjungus IPv6 visame įrenginyje simptomas dingsta ir sprendimas paslepiamas; verčiau pataisykite profilio aprėptį arba išjunkite šeimą tik toje jungtyje, ir užsirašykite, kurią iš dviejų pasirinkote.

Antras kelias gali laimėti paiešką

Konkuruojantis tarpinis serveris, antras VPN klientas, virtualus adapteris iš konteinerio ar nuotolinio darbalaukio įrankio, arba papildomas maršrutas tiksliai tam priešdėliui, kurį testuojate, gali gauti pirmenybę. Konkretus maršrutas visada nugali numatytąjį, todėl likęs /24 svetainei, kurią matuojate, nukreiptas į jūsų LAN šliuzą, toliau siunčia tą srautą už tunelio, kad ir koks sveikas tunelis būtų.

Prieš ką nors keisdami sudarykite inventorizaciją tik skaitymo komandomis:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

Ieškokite daugiau nei vieno numatytojo maršruto su tikėtinu metriniu rodikliu ir konkretaus maršruto, apimančio paskirties vietą. Naršyklėje taip pat patikrinkite, ar ryšį valdo tarpinio serverio plėtinys, ar sistemos tarpinio serverio nuostata; plėtinys gali įvardyti savo aukštutinį srautą ir palikti operacinės sistemos išėjimą nepaliestą, todėl naršyklėje atsiranda kitas adresas nei toje pačioje mašinoje esančiame terminale.

Matuokite iš naujo su nauja užklausa

Prisijunkite iš naujo ir pakartokite matavimą iš tos pačios programos, kurią tikrinote pirmą kartą, nes podėlyje esantis puslapis arba pakartotinai naudojamas ryšys praneša seną būseną. Stebėkite kliento žurnalą ar įvykių rodinį jungiantis: klaida taikant maršrutus po autentifikavimo yra stipresnis įrodymas už bet kurį rodiklį, ir ji paprastai įvardija nepavykusį maršrutą ar adapterį.

Laikykite du rezultatus atskirai. Jei adresas pasikeičia, bet viena svetainė vis tiek jus atmeta, tunelis veikia ir svetainė atmeta duomenų centro adresą; tai kita problema su kitu atsakymu. Jei adresas niekada nesikeičia, eikite per keturis klausimus iš eilės: kokį adresą atspausdino testas, kuri tai buvo šeima, kuri programa pateikė užklausą ir kokiu maršrutu ta užklausa nuėjo. Microsoft dokumentacija apie VPN maršrutizavimo sprendimus paaiškina, kaip Windows klientas renkasi tarp tunelio ir fizinio adapterio, kai abu turi maršrutą.