Зошто емитувањето престанува да работи откако ќе вклучите рутер VPN
Откривањето оди преку link-local multicast, додека телевизорот сам ја презема медијата. Стандардно правило на политиката може да го фати LAN барањето и да го прати во тунелот.
Емитувањето работеше пред да се вклучи рутер VPN и веднаш потоа откажува, додека обичното прелистување на телефонот сè уште работи. Овие два факти не противречат, бидејќи емитувањето не е една врска. Телефонот го открива и управува приемникот преку локалната мрежа, а потоа приемникот ја презема медијата преку сопствена врска.
Две патеки што откажуваат различно
Контролната патека е локална. Телефонот наоѓа приемник со прашување на локалната мрежа, потоа отвора контролна врска кон научената адреса. Ако приемникот никогаш не се појави во списокот, чекорот на откривање откажал пред да се побара каква било медија.
Медиумската патека не е нужно локална. Многу приемници сами го преземаат текот, преку сопствена врска и со сопствени акредитиви, така што маршрутата на телефонот не ја опишува маршрутата на приемникот. Телефон што изгледа дека излегува низ една точка не кажува ништо за тоа каде оди сообраќајот на телевизорот.
Ова разделување е причината зошто дефектот изгледа чудно. Тунелот ја смени табелата за маршрутирање на телефонот и не ја смени онаа на телевизорот, затоа симптом што се појавува на едната страна од парот мора да се следи на таа страна. Испитувањето на погрешен уред е вообичаената причина поправката да изгледа како да не прави ништо.
Зошто откривањето прво се расипува
Откривањето обично оди преку link-local multicast. mDNS праќа до 224.0.0.251 на UDP порта 5353, а SSDP праќа до 239.255.255.250 на UDP порта 1900. Двете по конструкција се ограничени на еден сегмент, затоа рутерот не ги препраќа меѓу сегменти без помош од повторител или прокси. Рутиран VPN не проширува multicast група, а маршрута на политика не може да направи група што никогаш не го напуштила сегментот да се појави на друг.
Затоа првиот дефект нема врска со шифрирањето. Multicast на телефонот го напушта интерфејсот на кој е пратен, приемникот е во сегмент што никогаш не го гледа, и списокот на уреди се враќа празен. Празен список не е доказ дека телевизорот го загубил пристапот до интернет.
Изолацијата дава идентичен симптом и без никаков VPN. Гостинските мрежи и изолацијата на клиенти на пристапната точка намерно ги спречуваат уредите да разговараат меѓу себе, а вклучувањето рутер VPN врз изолиран сегмент не менува ништо во тоа. Проверете го поставувањето за изолација пред да го проверите тунелот. Тоа е поевтиниот одговор и почестиот.
Распоредот на сегментите е другата половина. Втор рутер, mesh јазол во друг режим или жичен сегмент зад друг NAT сите го ставаат приемникот таму каде сообраќајот за откривање на телефонот не стигнува.
Зошто стандардна маршрута на политиката може да проголта локално барање
Рутер што го насочува целиот сообраќај во тунел поставува стандардна маршрута на тунелскиот интерфејс. Ако LAN префиксот не е исклучен од таа политика, пакетот упатен до уред на два метра сега се совпаѓа со стандардната маршрута, и рутерот го праќа контролното барање во тунелот наместо на комутаторот.
| Stage | What carries it | How a router VPN interferes |
|---|---|---|
| Discovery | Link-local multicast on a single segment | Not extended across segments, and not repaired by a route |
| Control connection | Unicast to the receiver address on the LAN | A policy default can capture the LAN destination and tunnel it |
| Media fetch | The receiver's own connection | Unaffected by the phone's route, but affected by the TV's own policy |
| Account authorization | Tokens held by the application | Can fail for reasons unrelated to any route |
Редоследот на правилата го одлучува исходот. Политиката за маршрутирање ги оценува правилата по приоритет, затоа исклучокот за локалниот префикс мора да стои пред правилото што ја избира тунелската табела. Додавањето исклучок по тунелското правило нема ефект, затоа и исправно изгледна конфигурација сè уште може да праќа LAN сообраќај кон оддалечен излез.
Поправката е тесна: дозволете ги конкретните локални одредишта што и се потребни на текот на емитување, а остатокот од изолацијата оставете го недопрен. Отстранувањето на изолацијата на клиенти како прв чекор го лекува симптомот, но ја отфрла контролата што мрежата ја имала по конструкција.
Брзо проверување на телефонот одлучува кој од двата дефекти го имате. Ако маршрутата до приемникот покажува кон тунелот, проблемот е во политиката. Ако покажува кон LAN, а откривањето сè уште откажува, проблемот е multicast или изолација, и никаква промена на маршрутата нема да помогне.
ip route get 192.168.1.50
ip rule show
avahi-browse -rt _googlecast._tcpТестирајте го променетиот чекор, а не земјата
Забележаните набљудувања се подобри од повторени експерименти. Забележете дали приемникот се појавува во списокот на уреди, дали контролното барање стигнува до него и дали репродукцијата започнува откако ќе се избере тек. Секој одговор отстранува еден чекор од сомнеж.
Потоа тестирајте го секој чекор директно наместо да ги менувате излезните места. Менувањето на земјата на VPN ја тестира медиумската патека и ги остава чекорите на откривање и контрола недопрени, затоа може случајно да изгледа како да помага, без да ве научи ништо.
На страната на приемникот проверете ја неговата сопствена маршрута и состојбата на неговата сметка. Телевизор што презема медија низ друг излез од телефонот е нормална конструкција, а дефектот таму е прашање за мрежната политика на приемникот, а не за тунелот на телефонот.
Запишете го резултатот како една реченица за тоа кој чекор се расипа и што го смени. Таа реченица вреди повеќе од една недела менување земји и го преживува следното ажурирање на фирмверот.
Емитувањето е добар тест случај за општо правило за тунелите. Кога на мрежата ѝ се додава тунел, првото прашање е кои одредишта никогаш не требало да влезат во него, а второто е кои од нив политиката сепак тивко ги прифатила.