General failure, pingojot LAN adresi, kamēr ieslēgts VPN klients
Windows ziņo, ka vispār nevar sasniegt nevienu adapteri, lai gan maršrutēšanas tabula izskatās pareiza. Izlemiet, vai bloķē maršrutēšana, filtrēšana vai klients.
Viens maršruts uz saimnieku, viena adrese, un ping uzreiz neizdodas ar General failure, nevis pieprasījumam beidzoties ar taimautu. Tieši šī atšķirība ir visa diagnostika. Taimauts nozīmē, ka pakete izgāja un kaut kas to ignorēja. General failure nozīmē, ka Windows vispār nevarēja nodot paketi nevienai saskarnei.
Tātad, ja maršrutēšanas tabula izskatās nevainojama un kļūda joprojām ir General failure, bloķēšana notiek zem maršrutēšanas lēmuma, un pakalpojumu sniedzēja klients ir tas, kas tur darbojas.
Lasiet kļūdu pirms maršrutēšanas tabulas
Windows atgriež šo kļūdu, kad nevar atrast saskarni, uz kuru sūtīt, un neko nesaka par to, ko galamērķis būtu darījis ar paketi. Sasniedzamība, ugunsmūri otrā pusē un pakalpojuma pieejamība — tie visi ir vēlāki jautājumi, līdz kuriem vēl neesat nonācis.
Klasiskā konfigurācija šim gadījumam ir maršruts uz saimnieku, kas vienu LAN adresi novirza uz fizisko vārteju, lai tā apietu tuneli. route add to pieņem, route print to parāda, un ping joprojām neizdodas, jo filtra draiveris jau ir nolēmis, ka paketei nav atļauts iziet.
Pirms pieņemat šo skaidrojumu, pārliecinieties, ka maršruts tiešām tiek izvēlēts: pārbaudiet saskarnes indeksu un metriku un pārliecinieties, ka ieraksts pēc atkārtotas savienošanas nav novecojis. Maršruts, kas norāda uz saskarni, kuras vairs nav, rada līdzīgu kļūdu daudz mazāk interesanta iemesla dēļ.
Trīs slāņi, trīs dažādi īpašnieki
Uzvar tas slānis, kas darbojas pēdējais, un šie trīs nav tādā secībā, kādu pieņem vairums.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
Vidējais slānis ir iemesls, kāpēc maršruts var būt vienlaikus pareizs un bezjēdzīgs. Pakalpojumu sniedzēju klienti instalē filtru un ugunsmūra noteikumus, lai trafiks ārpus tuneļa tiktu izmests, un tas ir tas pats mehānisms, kas īsteno viņu kill switch. Nekas maršrutēšanas tabulā šajā lēmumā nepiedalās.
Trešais slānis izskaidro dīvainu ziņojumu, kas nāk regulāri: vietējais apakštīkls nav sasniedzams arī pēc klienta atvienošanas. Pakalpojums joprojām darbojas un filtrs joprojām ir instalēts, tāpēc nebūt savienotam nav tas pats, kas nefiltrēt. Pirms izdariat kādu secinājumu, izejiet no klienta, nevis vienkārši atvienojiet to.
Ko izmēģināt, pēc kārtas
Sāciet ar to funkciju noņemšanu, kuras ir lēti noņemt un viegli atjaunot. LAN atklāšana, ko dažkārt sauc par neredzamību LAN tīklā, bloķē trafiku uz privāto adrešu diapazoniem, lai iekārta paliktu paslēpta no kaimiņiem. Printeri, vietējie failu serveri un pats maršrutētājs pazūd aiz šī slēdža. Draudu aizsardzības funkcijas, kas filtrē DNS, instalē savus āķus, un tiek ziņots, ka tās līdzīgi salauž vietējo sasniedzamību.
Izslēdziet abus, pilnībā izejiet no klienta un pēc tam pārbaudiet adresi. Šī secība atdala trafiku bloķējošu funkciju no tuneļa, kas to maršrutē nepareizi, un tā aizņem divas minūtes, nevis pusi dienas ar statiskiem maršrutiem.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4Ja adrese atbild pēc funkciju izslēgšanas, jums ir politikas lēmums, nevis bojājums: izvēlieties atstāt funkciju izslēgtu, pievienot izņēmumu vai pieņemt, ka iekārta paliks neredzama vietējā tīklā.
Izmantojiet klienta izņēmuma ceļu, šauri
Kad funkcijai jāpaliek ieslēgtai, atbalstītā izeja ir paša klienta sadalītā tunelēšana. Turiet izņēmumu tik mazu, cik prasība atļauj, kas parasti nozīmē vienu saimnieka adresi vienam serverim vai vienu prefiksu vienam segmentam. Noteikums, kas aptver visu privāto diapazonu, ir pastāvīgs caurums, ko neviens neatcerēsies būt pievienojis un ko neviens neuzdrošināsies noņemt.
Pēc tam pārbaudiet vispirms pēc adreses un tad pēc nosaukuma. Ja adrese atbild ar pirmo lēcienu fiziskajā vārtejā, izņēmums darbojas. Ja nosaukums joprojām neizdodas, esat pārgājis uz DNS, jo tuneļa atrisinātājs nezina vietējo zonu un nekādas maršrutēšanas izmaiņas to tam neiemācīs.
Paturiet maršrutu vai izņēmumu, nevis abus, kopā ar piezīmi par to, kurš veic darbu. Divi pārklājoši mehānismi slēpj viens otru, un nākamais cilvēks, kas atkļūdos šo iekārtu, noņems vienu no tiem un neredzēs nekādas izmaiņas.
Kad šķērslis ir klients
Dažas būves filtrē trafiku tā, ka to nevar pārspēt ne statisks maršruts, ne klienta izņēmums. Kad tas ir atradums, godīgās iespējas ir gaidīt apiešanas funkciju vai savienoties ar vienkāršu OpenVPN klientu, izmantojot paša pakalpojumu sniedzēja profilu, ko ieteica arī ražotāja atbalsta atbilde sākotnējā ziņojumā.
Izprotiet maiņu pirms šīs aizstāšanas. Vienkāršs profils uzvedas kā jebkurš parasts tunelis: tas instalē savus maršrutus un nepārkārto pārējo steu, tāpēc šaurs maršruts uz saimnieku joprojām uzvedas tā, kā gaidāt. Jūs zaudējat visu, ko zīmola klients īstenoja ap tuneli, tostarp kill switch un DNS filtrēšanu, un tas ir apzināti jāatveido vai jāpieņem kā neesošs.
Lai ko jūs izvēlētos, pierakstiet, kuram slānim piederēja bloķēšana. Pakete, kas nekad nav atstājusi iekārtu, ir filtra rezultāts, un nekādas maršrutēšanas izmaiņas nevar salabot filtru.