General failure semasa ping alamat LAN dengan klien VPN dihidupkan

Satu laluan hos, satu alamat, dan ping gagal serta-merta dengan General failure bukannya permintaan itu tamat masa. Perbezaan itulah keseluruhan diagnosis. Tamat masa bermakna paket keluar dan sesuatu mengabaikannya. General failure bermakna Windows tidak dapat menyerahkan paket itu kepada mana-mana antara muka sejak awal.

Jadi apabila jadual laluan kelihatan sempurna dan ralat itu masih General failure, sekatan berlaku di bawah keputusan penghalaan, dan klien penyedia ialah perkara yang beroperasi di situ.

Baca ralat sebelum jadual laluan

Windows memulangkan ralat itu apabila ia tidak menemui antara muka untuk menghantar, dan ia tidak berkata apa-apa tentang apa yang destinasi akan lakukan dengan paket itu. Kebolehcapaian, tembok api di hujung jauh dan ketersediaan perkhidmatan semuanya soalan hiliran yang belum anda sampaii.

Konfigurasi klasik untuk kes ini ialah laluan hos yang mengarahkan satu alamat LAN ke get laluan fizikal supaya ia memintas terowong. route add menerimanya, route print memaparkannya, dan ping masih gagal, kerana pemacu penapis sudah memutuskan paket itu tidak dibenarkan keluar.

Sebelum menerima penjelasan itu, sahkan laluan itu benar-benar dipilih: semak indeks antara muka dan metrik, dan pastikan entri itu tidak lapuk selepas menyambung semula. Laluan yang menunjuk ke antara muka yang tidak wujud lagi menghasilkan ralat serupa atas sebab yang jauh kurang menarik.

Tiga lapisan, tiga pemilik berbeza

Lapisan yang menang ialah yang berjalan terakhir, dan ketiga-tiganya bukan dalam susunan yang diandaikan kebanyakan orang.

Lapisan tengah ialah sebab mengapa satu laluan boleh betul dan tidak berguna pada masa yang sama. Klien penyedia memasang penapis dan peraturan tembok api supaya trafik di luar terowong digugurkan, dan itulah mekanisme yang sama yang melaksanakan kill switch mereka. Tiada apa-apa dalam jadual laluan yang menyertai keputusan itu.

Lapisan ketiga menjelaskan laporan pelik yang datang secara berkala: subnet tempatan tidak dapat dicapai walaupun selepas klien diputuskan. Perkhidmatan masih berjalan dan penapis masih dipasang, jadi tidak bersambung bukan sama dengan tidak menapis. Keluar daripada klien dan bukan sekadar memutuskannya sebelum membuat sebarang kesimpulan.

Apa yang perlu dicuba, mengikut urutan

Mulakan dengan membuang ciri yang murah untuk dibuang dan mudah dipulihkan. Penemuan LAN, kadangkala dipanggil ketaknampakan pada LAN, menyekat trafik ke julat alamat persendirian supaya mesin kekal tersembunyi daripada jirannya. Pencetak, pelayan fail tempatan dan penghala itu sendiri semuanya lenyap di sebalik suis itu. Ciri perlindungan ancaman yang menapis DNS memasang cangkuk mereka sendiri dan dilaporkan memecahkan kebolehcapaian tempatan dengan cara yang hampir sama.

Matikan kedua-duanya, keluar sepenuhnya daripada klien, kemudian uji alamat itu. Urutan itu memisahkan ciri yang menyekat trafik daripada terowong yang menghalakan trafik itu dengan salah, dan ia mengambil masa dua minit dan bukan sepanjang petang dengan laluan statik.

ping 192.168.1.50
tracert -d 192.168.1.50
route print -4

Jika alamat itu menjawab selepas ciri dimatikan, anda mempunyai keputusan dasar dan bukan kerosakan: pilih antara membiarkan ciri itu dimatikan, menambah pengecualian, atau menerima bahawa mesin kekal tidak kelihatan pada rangkaian tempatan.

Gunakan laluan pengecualian klien, secara sempit

Apabila sesuatu ciri mesti kekal dihidupkan, terowong berpecah milik klien sendiri ialah jalan keluar yang disokong. Kekalkan pengecualian itu sekecil yang dibenarkan oleh keperluan, yang biasanya bermaksud satu alamat hos untuk satu pelayan atau satu awalan untuk satu segmen. Peraturan yang meliputi seluruh julat persendirian ialah lubang kekal yang tiada siapa akan ingat menambahnya dan tiada siapa akan berani membuangnya.

Kemudian sahkan dahulu melalui alamat dan kemudian melalui nama. Jika alamat menjawab dengan lompatan pertama pada get laluan fizikal, pengecualian itu berkesan. Jika nama masih gagal, anda telah beralih kepada DNS, kerana penyelesai terowong tidak mengenali zon tempatan dan tiada perubahan penghalaan akan mengajarnya.

Kekalkan laluan atau pengecualian, bukan kedua-duanya, berserta nota tentang yang mana satu melakukan kerja itu. Dua mekanisme yang bertindih menyembunyikan satu sama lain, dan orang seterusnya yang akan menyahpepijat mesin ini akan membuang salah satu daripadanya dan tidak melihat sebarang perubahan.

Apabila klien itu penghalang

Sesetengah binaan menapis trafik dengan cara yang tidak dapat dikalahkan oleh laluan statik mahupun pengecualian klien. Apabila itulah dapatan, pilihan jujurnya ialah menunggu ciri pintasan atau menyambung dengan klien OpenVPN biasa menggunakan profil penyedia itu sendiri, seperti yang disyorkan oleh jawapan sokongan vendor dalam laporan asal.

Fahami pertukaran itu sebelum melakukan penggantian tersebut. Profil biasa berkelakuan seperti mana-mana terowong biasa: ia memasang laluannya dan tidak menyusun semula seluruh tindanan, jadi laluan hos yang sempit masih berkelakuan seperti yang anda jangkakan. Apa yang anda hilang ialah segala yang dilaksanakan oleh klien berjenama di sekeliling terowong, termasuk kill switch dan penapisan DNS, dan semuanya mesti dihasilkan semula secara sengaja atau diterima sebagai tiada.

Apa pun pilihan anda, catat lapisan mana yang memiliki sekatan itu. Paket yang tidak pernah meninggalkan mesin ialah hasil penapis, dan tiada perubahan penghalaan boleh membaiki penapis.