Berkongsi sambungan Windows? Laluan VPN berubah di bawahnya

Komputer riba berkongsi Wi-Fi-nya, hos melayari melalui terowong tanpa rungutan, dan tablet pada perkongsian itu tidak sampai ke mana-mana. Hos berhenti menjadi klien sahaja pada saat perkongsian diaktifkan: ia kini penghala, dan paket yang dimajukan menemui set peraturan yang berbeza. Apa yang berfungsi pada hos tidak berkata apa-apa tentang peranti di belakangnya. Jalankan pemeriksaan dari klien hiliran dan perbezaan itu tidak lagi bersifat teori.

Kejayaan hos tidak membuktikan apa-apa

Perkongsian sambungan memberikan empat tugas kepada satu mesin: penetapan alamat, pemajuan, terjemahan dan penapisan. Klien VPN yang melindungi trafik yang dijana secara setempat boleh menganggap trafik yang dimajukan di luar skopnya, atau menyekatnya dengan sengaja sebagai kebocoran. Kedua-dua tingkah laku itu bukan pepijat, dan tiada satu pun tertulis pada skrin tempat perkongsian dihidupkan. Hanya ujian hiliran memberitahu anda yang mana satu anda ada.

Banyak klien memajukan trafik hos sahaja dan tiada yang lain, jadi semak bahagian perkongsian dalam dokumentasi klien daripada mempercayai terowong akan menghala untuk tablet. Gejala yang kelihatan ialah peranti yang bersambung, menerima alamat dan kemudian gagal pada permintaan pertama. Klien yang enggan memajukan masih kelihatan sihat sepenuhnya pada hos.

Penyesuai mana yang dikongsi, mana yang melayani klien

Catat kedua-dua penyesuai, kerana ia membawa alamat berbeza dan penapis berbeza, dan perubahan pada yang salah menjelaskan banyak hasil yang mengelirukan. Hos perkongsian biasanya mengambil alamat tetap di sisi hiliran dan menjalankan perkhidmatan DHCP dan DNS kecil di sana. Windows menyimpan pemajuan bagi setiap penyesuai dan bukan secara global, jadi keadaan mesti dibaca antara muka demi antara muka.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Jika pemajuan dipaparkan sebagai Dilumpuhkan pada penyesuai yang dikongsi, tiada apa di hiliran akan berfungsi walau apa pun yang terowong lakukan. Dayakan hanya pada mesin yang dasarnya membenarkannya menghala untuk peranti lain.

Pemajuan, terjemahan dan penapisan

Paket yang dimajukan mesti sampai ke terowong, diterjemahkan kepada sesuatu yang diterima sisi jauh, dan kembali melalui terjemahan yang sama. Mana-mana daripada tiga peringkat itu boleh rosak, dan setiap kerosakan menghasilkan tamat masa pelayar yang sama. Tangkapan paket, carian laluan dan log dari sisi jauh lebih bernilai daripada semakan lain dialog perkongsian. Peringkat mana yang gagal itulah yang memberitahu perubahan siapa yang diperlukan.

Sisi jauh mungkin juga memerlukan laluan balik untuk subnet yang dikongsi, julat yang tidak pernah dilihat oleh pelayan VPN. Di mana klien menterjemah, pelayan hanya melihat alamat terowong dan laluan balik tidak diperlukan. Di mana ia tidak menterjemah, pemilik get laluan mesti menambah laluan itu dengan sengaja, dan itu permintaan perubahan, bukan tetapan klien.

Jalankan pemeriksaan pada klien, bukan pada hos

Jalankan setiap pemeriksaan pada klien yang gagal, bukan pada hos yang berfungsi. Simpan alamat keluar, jawapan penyelesai dan ujian aplikasi dalam sesi yang sama, kerana hasil yang dikumpul sejam berbeza tidak berkata apa-apa tentang bagaimana ketiga-tiganya bergabung.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Bandingkan alamat keluar dengan alamat hos itu sendiri dan catat sama ada kedua-duanya sepadan. Jawapan berbeza bermakna laluan yang dimajukan memintas terowong, yang merupakan soal dasar dengan pemilik dan bukan pembetulan pantas. Jawapan sepadan di sebelah aplikasi yang gagal memindahkan kerja kepada penyelesaian nama atau kepada dasar di sisi jauh. Jangan berhenti pada hasil IPv4 juga: perkongsian boleh lulus setiap pemeriksaan IPv4 sementara IPv6 keluar melalui pintu keluar yang berbeza, jadi ulangi pemeriksaan nama dan keluar dengan rekod AAAA dan ujian sambungan terperinci.

Pada mesin terurus, sahkan perkongsian dibenarkan sama sekali, kerana mendedahkan akses kepada peranti lain ialah keputusan pentadbiran dan bukan togol keselesaan. Selepas apa-apa perubahan yang disokong, ulangi pemeriksaan semasa menyambung semula dan sekali lagi semasa gangguan. Hos yang menyambung semula dengan bersih tidak memulihkan laluan yang dimajukan yang tidak pernah disokong oleh klien.