VPN ir savienots, bet IP adrese nav mainījusies: kāpēc

Jūs savienojaties, klients saka, ka savienots, un adreses tests joprojām rāda to pašu skaitli, kas jums bija iepriekš. Ar indikatoru viss ir kārtībā; kaut kas starp profilu un lietotni noturēja šo pieprasījumu ārpus tuneļa. Pirms aiztikt jebkuru konfigurāciju izlemiet, kuru no trim lietām jūs skatāties: testu, kas nekad nav mērījis publisko adresi, tuneli, kas aptver tikai daļu trafika, vai otru ceļu, kas uzvar maršrutēšanas lēmumu. Katram ir viena pārbaude, kas aizņem mazāk nekā minūti.

Pārliecinieties, ko tests patiešām izmērīja

Adrese, kas redzama Wi-Fi vai Ethernet dialoglodziņā, ir saskarnes adrese jūsu pašu segmentā, nevis adrese, ko redz vietne, tāpēc tā var palikt nemainīga, kamēr tunelis darbojas nevainojami. Atrašanās vieta atkal ir atsevišķs signāls: saglabātais konta reģions vai atļautais ģeolokācijas nolasījums nepārvietojas, kad maināt izeju, un arī pieteikšanās, kas jūs jau atpazīst, nepārvietojas.

Izmantojiet publiskās adreses atbalsi un jautājiet katrai saimei atsevišķi, jo divkāršās kaudzes testa rezultāts slēpj interesanto gadījumu:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

Palaidiet abus pirms un pēc savienošanās. Ja IPv4 atbilde mainās uz izejas adresi un IPv6 atbilde nemainās, jums nav bojāta tuneļa; viena saime ceļo ārpus tā. Ja abas atbildes paliek vienādas, pieprasījums nekad nesasniedza tuneli un viss pārējais šeit ir spēkā.

Profils var aptvert tikai daļu trafika

Sadalītā tuneļa profils ir ierastā atbilde, un tā nav kļūda. OpenVPN visu sūta pa tuneli tikai tad, kad redirect-gateway ir nodotajās opcijās; bez tā klients saņem dažus konkrētus maršrutus, un jūsu noklusējuma maršruts paliek fiziskajā saitē. Windows sistēmā tas pats slēdzis parādās kā „Izmantot noklusējuma vārteju attālajā tīklā” adaptera IPv4 rekvizītos, un tā noņemšana ir apzināta izvēle, kas pārdzīvo katru atkārtotu savienojumu.

Lietotņu tvērums ir otrais slānis. Android VPN iestatījums katrai lietotnei nosaka, kuras lietotnes ir iekļautas, tāpēc VPN atslēga statusa joslā nepierāda, ka pārlūks ir tajā. Pārlūka paplašinājums, kas starpniekservera ceļā pārsūta savu trafiku, rada spoguļattēlu: pārlūks rāda izejas adresi, bet tajā pašā mašīnā esošais pasta klients vai spēle joprojām rāda jūsējo. Salīdziniet to pašu pieprasījumu divās lietotnēs. Ja viena mainās un otra ne, jūs skatāties tvērumu, nevis nespējīgu tuneli.

Viena adrešu saime joprojām var iet tieši

Lielākā daļa VPN profilu ir rakstīti IPv4, un daudzi tādi joprojām ir. Divkāršās kaudzes tīklā tunelis ņem 10.8.0.x IPv4, bet fiziskā saite saglabā globālu IPv6 adresi un noklusējuma maršrutu, tāpēc vietne, kas atbalsta IPv6, tiek sasniegta tieši, un adrese, ko tā ziņo, ir jūsu pakalpojumu sniedzēja adrese. Tas ir noplūde ar strādājošu IPv4 tuneli, un tā ir neredzama testam, kas runā tikai IPv4.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Lasiet saskarni katrā atbildē. Ja IPv6 meklējums nosauc jūsu Ethernet vai Wi-Fi ierīci, bet IPv4 meklējums nosauc tuneli, šīs saimes politika trūkst, nevis ir salauzta. Izslēdzot IPv6 visā ierīcē, simptoms pazūd un lēmums tiek paslēpts; labāk izlabojiet profila pārklājumu vai atspējojiet saimi tikai šajā savienojumā, un pierakstiet, kuru no abiem izvēlējāties.

Otrs ceļš var uzvarēt meklējumu

Konkurējošs starpniekserveris, otrs VPN klients, virtuālais adapteris no konteinera vai attālās darbvirsmas rīka, vai papildu maršruts tieši tam prefiksam, kuru testējat, var iegūt priekšroku. Konkrēts maršruts vienmēr uzvar noklusējuma maršrutu, tāpēc atlikušais /24 vietnei, kuru mērāt, kas norāda uz jūsu LAN vārteju, turpina sūtīt šo trafiku ārpus tuneļa, lai cik vesels tunelis būtu.

Pirms kaut ko mainīt, veiciet inventarizāciju ar tikai lasīšanas komandām:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

Meklējiet vairāk nekā vienu noklusējuma maršrutu ar ticamu metrisko rādītāju un konkrētu maršrutu, kas aptver galamērķi. Pārlūkā arī pārbaudiet, vai savienojumu pārvalda starpniekservera paplašinājums vai sistēmas starpniekservera iestatījums; paplašinājums var nosaukt savu augšupējo plūsmu un atstāt operētājsistēmas izeju neskartu, kas pārlūkā rada citu adresi nekā tajā pašā mašīnā esošā terminālī.

Mēriet vēlreiz ar svaigu pieprasījumu

Savienojieties vēlreiz un pēc tam atkārtojiet mērījumu no tās pašas lietotnes, ar kuru pārbaudījāt pirmo reizi, jo kešatmiņā saglabāta lapa vai atkārtoti izmantots savienojums ziņo veco stāvokli. Vērojiet klienta žurnālu vai notikumu skatu savienošanās laikā: kļūda maršrutu piemērošanā pēc autentifikācijas ir spēcīgāks pierādījums nekā jebkurš indikators, un tā parasti nosauc neizdevušos maršrutu vai adapteri.

Turiet divus rezultātus atsevišķi. Ja adrese mainās, bet viena vietne jūs joprojām atsakās, tunelis darbojas un vietne noraida datu centra adresi; tā ir cita problēma ar citu atbildi. Ja adrese nekad nemainās, izejiet cauri četriem jautājumiem pēc kārtas: kuru adresi tests izdrukāja, kura saime tā bija, kura lietotne iesniedza pieprasījumu un pa kuru maršrutu šis pieprasījums gāja. Microsoft dokumentācija par VPN maršrutēšanas lēmumiem izskaidro, kā Windows klients izvēlas starp tuneli un fizisko adapteri, kad abiem ir maršruts.