Ја споделувате Windows врската? Патот на VPN се менува под неа

Споделен адаптер го претвора компјутерот во рутер, а препратениот сообраќај оди по различен пат од апликациите на домаќинот. Тестирајте од клиентот, не од домаќинот.

Лаптоп ја споделува својата Wi-Fi, домаќинот прелистува низ тунелот без никакво жалење, а таблетот на тоа споделување не стигнува никаде. Домаќинот престана да биде само клиент во моментот кога споделувањето беше вклучено: сега е рутер, а препратените пакети среќаваат различен сет правила. Она што работи на домаќинот не кажува ништо за уредот зад него. Извршете ги проверките од долниот клиент и разликата престанува да биде теоретска.

Успехот на домаќинот не докажува ништо

Споделувањето врска доделува четири задачи на една машина: доделување адреси, препраќање, превод и филтрирање. VPN клиент што го штити локално генерираниот сообраќај може да го смета препратениот сообраќај за надвор од својот опсег, или намерно да го блокира како истекување. Ниту едно од двете однесувања не е грешка, и ниту едно не е запишано на екранот каде што е вклучено споделувањето. Само тестот од долната страна ви кажува кое го имате.

Многу клиенти препраќаат само сообраќај на домаќинот и ништо друго, затоа проверете го делот за споделување во документацијата на клиентот наместо да верувате дека тунелот ќе рутира за таблетот. Видливиот симптом е уред што се поврзува, добива адреса и потоа не успева при првото барање. Клиент што одбива да препраќа и понатаму изгледа сосема здрав на домаќинот.

Кој адаптер се споделува, кој ги опслужува клиентите

Запишете ги двата адаптери, бидејќи носат различни адреси и различни филтри, а промена на погрешниот објаснува многу збунувачки резултати. Домаќинот на споделувањето обично зазема фиксна адреса на долната страна и таму работи мала DHCP и DNS служба. Windows го чува препраќањето по адаптер, а не глобално, па состојбата мора да се чита интерфејс по интерфејс.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Ако препраќањето на споделениот адаптер е прикажано како Оневозможено, ништо долу нема да работи, што и да прави тунелот. Вклучете го само на машина чија политика дозволува да рутира за други уреди.

Препраќање, превод и филтрирање

Препратениот пакет мора да стигне до тунелот, да се преведе во нешто што далечната страна го прифаќа и да се врати низ истиот превод. Секоја од тие три фази може да се скрши, а секое кршење го дава истиот тајмаут на прелистувачот. Фаќање пакети, пребарување рута и лог од далечната страна вредат повеќе од уште еден преглед на дијалогот за споделување. Токму која фаза не успева кажува чија промена е потребна.

На далечната страна може да ѝ треба и повратна рута за споделената подмрежа, опсег што VPN серверот никогаш не го видел. Каде клиентот преведува, серверот ја гледа само адресата на тунелот и повратна рута не е потребна. Каде не преведува, тој што го поседува порталот мора намерно да ја додаде таа рута, и тоа е барање за промена, а не поставка на клиентот.

Проверките правете ги на клиентот, не на домаќинот

Правете ја секоја проверка на клиентот што не успева, не на домаќинот што работи. Држете ја излезната адреса, одговорот на резолверот и тестот на апликацијата во иста сесија, бидејќи резултати собрани со еден час разлика не кажуваат ништо за тоа како се комбинираат трите.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Споредете ја излезната адреса со сопствената на домаќинот и забележете дали двете се совпаѓаат. Различен одговор значи дека препратениот пат го заобиколува тунелот, што е прашање на политика со сопственик, а не брза поправка. Совпаѓачки одговор покрај апликација што не успева ја преместува работата на резолуција на имиња или на политика на далечната страна. Не застанувајте и на резултатот за IPv4: споделувањето може да ги помине сите проверки за IPv4 додека IPv6 излегува низ друг излез, затоа повторете ги проверките за имиња и излез со записот AAAA и деталниот тест за врска.

На управувана машина потврдете дека споделувањето воопшто е дозволено, бидејќи изложување пристап за друг уред е административна одлука, а не прекинувач за удобност. По секоја поддржана промена повторете ги проверките при повторно поврзување и уште еднаш за време на прекин. Чистото повторно поврзување на домаќинот не враќа препратена рута што клиентот никогаш не ја поддржал.

Поврзани статии